Sécurité VoIP et téléphonie d'entreprise
🔒 Sécurité regroupe les outils, protocoles et méthodes qui protègent votre système de téléphonie d'entreprise contre les attaques, les écoutes clandestines et la fraude. Cette section contient 14 termes, allant des normes de chiffrement telles que TLS et SRTP aux menaces courantes comme la fraude aux surtaxes et les attaques par force brute.
Sur cette page : TLS · SRTP · SRTP/SDES · SRTP/DTLS · Fraude VoIP / Fraude aux surtaxes · Attaque par force brute · Balayage SIP / Balayage de ports · Détournement d'enregistrement · Écoute clandestine / Interception d'appels · Attaque DoS/DDoS · Fail2Ban · Authentification Digest · Certificat / Certificat TLS · VPN pour VoIP · ACL
Sections associées
Le protocole de signalisation qui alimente les appels VoIP
Comment votre PBX se connecte au réseau téléphonique
Bases des pare-feux, du NAT, des ports et des VPN
RGPD, consentement à l'enregistrement et souveraineté des données
TLS (Transport Layer Security)
Protocole cryptographique qui chiffre la signalisation d'un appel VoIP. Le protocole TLS protège les messages SIP (établissement d'appel, enregistrement, identification de l'appelant) lors de leur transit entre votre téléphone et le serveur. Sans TLS, ces messages sont transmis en clair et peuvent être lus par n'importe qui sur le réseau. La plupart des fournisseurs de PBX Cloud utilisent TLS par défaut. C'est la même technologie qui sécurise les sites web HTTPS.
Articles connexes : SRTP · Certificat / Certificat TLS · Protocole SIP
SRTP (Secure Real-Time Transport Protocol)
Protocole qui chiffre le flux audio (voix) d'un appel VoIP. Alors que TLS protège la signalisation, SRTP protège la conversation proprement dite. Sans SRTP, toute personne interceptant le trafic de votre réseau pourrait écouter vos appels. SRTP ajoute le chiffrement et l'authentification des messages aux flux audio RTP standard. Il est largement pris en charge par les téléphones SIP modernes et les systèmes de PBX Cloud.
Articles connexes : TLS · RTP · SRTP/SDES
SRTP/SDES (Session Description Protocol Security Descriptions)
Méthode d'échange de clés pour le protocole SRTP. Avec SDES, les clés de chiffrement sont incluses directement dans les messages de signalisation SIP (dans le corps SDP). Cette approche, plus simple et plus courante, implique toutefois que le niveau de sécurité des clés dépend entièrement de celui du canal de signalisation. Si le protocole TLS n'est pas utilisé, les clés transitent en clair. C'est pourquoi le SDES doit toujours être associé au TLS.
Articles connexes : SRTP · SRTP/DTLS · TLS
SRTP/DTLS (Datagram Transport Layer Security)
Une méthode alternative d'échange de clés pour le protocole SRTP. Au lieu d'insérer les clés dans la signalisation SIP, DTLS négocie les clés de chiffrement directement entre les deux points de terminaison sur le canal média (audio). Ainsi, les clés n'apparaissent jamais dans les messages de signalisation. DTLS est considéré comme plus sécurisé que SDES, car le chiffrement audio ne dépend pas du chiffrement de la signalisation. Il est utilisé dans WebRTC.
Articles connexes : SRTP · SRTP/SDES · WebRTC
Fraude VoIP · Fraude sur taxation (Toll Fraud)
Utilisation non autorisée de votre système téléphonique pour passer des appels coûteux, généralement vers des numéros surtaxés ou internationaux. Des attaquants s'introduisent dans un PBX (souvent en exploitant des mots de passe faibles ou des ports SIP exposés) et passent des milliers d'appels en peu de temps. Le chef d'entreprise reçoit alors une facture téléphonique astronomique. La fraude aux appels coûte chaque année des milliards d'euros à l'industrie des télécommunications à l'échelle mondiale. Des mots de passe robustes, des restrictions IP et des plafonds de dépenses d'appels constituent les principales lignes de défense.
Articles connexes : Attaque par force brute · Détournement d'enregistrement · ITSP
Attaque par force brute
Une attaque automatisée qui teste des milliers de combinaisons de noms d'utilisateur et de mots de passe pour deviner des identifiants SIP valides. Les attaquants utilisent des logiciels qui envoient rapidement des requêtes SIP REGISTER avec différents mots de passe. S'ils réussissent, ils peuvent détourner votre compte et passer des appels à vos frais. La protection comprend des mots de passe robustes, Fail2Ban et la limitation des tentatives de connexion.
Articles connexes : Fail2Ban · Fraude VoIP / Fraude surtaxée · Authentification Digest
Balayage SIP / Scan de ports
Le processus de sondage systématique d'adresses IP et de ports pour identifier des serveurs SIP ou des téléphones actifs. Les attaquants utilisent des outils automatisés pour scanner Internet à la recherche d'appareils à l'écoute sur les ports SIP (généralement 5060 et 5061). Une fois une cible trouvée, ils lancent des attaques par force brute ou exploitent des vulnérabilités connues. Modifier le port SIP par défaut et utiliser des pare-feu permet de réduire l'exposition.
Articles connexes : Attaque par force brute · ACL · SIP
Détournement d'enregistrement
Attaque par laquelle un tiers prend le contrôle de votre enregistrement SIP en envoyant un nouveau message REGISTER au serveur avec vos identifiants. Le serveur met à jour l'adresse de contact pour pointer vers l'appareil de l'attaquant. Dès lors, les appels entrants qui vous sont destinés sont acheminés vers l'attaquant. Cette méthode peut être utilisée pour de l'écoute clandestine ou des fraudes. L'utilisation de TLS et d'une authentification robuste permet de l'éviter.
Articles connexes : TLS · Authentification Digest · REGISTER
Écoute clandestine / Interception d'appels
Écoute discrète d'appels VoIP par capture du trafic réseau. Si les appels ne sont pas chiffrés (absence de TLS pour la signalisation, absence de SRTP pour l'audio), toute personne ayant accès au même segment réseau peut enregistrer et réécouter les conversations. Ce risque est particulièrement élevé sur les réseaux Wi-Fi publics ou partagés. L'activation conjointe de TLS et de SRTP élimine cette menace.
Articles connexes : TLS · SRTP · VPN pour la VoIP
Attaque DoS / DDoS
Une attaque par déni de service (DoS) ou par déni de service distribué (DDoS) submerge votre serveur VoIP d'un volume massif de trafic, le rendant incapable de traiter les appels réels. Les attaques DDoS proviennent de nombreuses sources simultanément, ce qui les rend plus difficiles à bloquer. Il en résulte des appels coupés, une mauvaise qualité audio ou une interruption totale du service téléphonique. Les fournisseurs de PBX Cloud intègrent généralement des mécanismes de mitigation des attaques DDoS.
Articles connexes : QoS · ACL
Fail2Ban
Outil de sécurité open source qui surveille les fichiers journaux à la recherche de tentatives de connexion infructueuses répétées et bloque automatiquement l'adresse IP de l'attaquant. En VoIP, Fail2Ban analyse les journaux d'enregistrement SIP. Après un nombre défini de tentatives infructueuses (par ex. 5 en 60 secondes), il ajoute une règle de pare-feu pour bannir cette IP. C'est l'une des protections les plus simples et efficaces contre les attaques par force brute.
Articles connexes : Attaque par force brute · ACL
Authentification Digest
Méthode SIP standard pour vérifier les noms d'utilisateur et les mots de passe. Lorsque votre téléphone ou votre PBX envoie une requête SIP, le serveur répond par un défi (une réponse 401 ou 407). Votre appareil renvoie alors la requête accompagnée d'une version hachée du mot de passe. Le mot de passe en clair n'est jamais transmis sur le réseau. Cette méthode est plus sécurisée que l'authentification de base, mais moins robuste que les solutions basées sur TLS.
Articles connexes : Authentification par identifiants · Attaque par force brute
Certificat / Certificat TLS
Fichier numérique attestant de l'identité d'un serveur (ou parfois d'un client). Lorsque votre téléphone se connecte à un serveur de PBX Cloud via TLS, ce dernier présente son certificat. Votre téléphone vérifie alors que le certificat a été émis par une autorité de confiance et qu'il n'a pas expiré. Cette vérification prévient les attaques de type « man-in-the-middle », où un tiers malveillant se fait passer pour le serveur.
Articles connexes : TLS · SIP sur TLS
VPN pour la téléphonie VoIP
Utilisation d'un réseau virtuel privé (VPN) pour créer un tunnel chiffré pour l'ensemble du trafic VoIP entre votre bureau et le fournisseur de PBX Cloud. Un VPN sécurise à la fois la signalisation et les flux audio, même si les protocoles TLS et SRTP ne sont pas configurés. Cette solution s'avère particulièrement utile pour les collaborateurs distants ou les agences connectées via l'internet public. L'inconvénient réside dans le fait qu'un VPN peut introduire de la latence, ce qui risque d'altérer la qualité des appels.
Articles connexes : TLS · SRTP · Écoute clandestine / Interception d'appels
ACL (Access Control List)
Un ensemble de règles de pare-feu qui définissent quelles adresses IP sont autorisées ou non à accéder à votre système VoIP. Les ACL sont utilisées pour restreindre le trafic SIP et RTP à des adresses IP de confiance (par exemple, l'IP de votre bureau ou les serveurs de votre opérateur). Cela empêche les appareils non autorisés d'atteindre votre système téléphonique. Les ACL constituent une couche fondamentale de la sécurité VoIP.
Articles connexes : Authentification IP · Fail2Ban · Analyse SIP / Analyse de ports
Explorer le reste du guide
Cette comparaison ne représente qu'une partie de pbx.lu. Le reste du site détaille les fonctionnalités, l'adéquation du Cloud PBX à des secteurs spécifiques ainsi que le lexique technique.
Découvrez le rôle de chaque fonctionnalité Cloud PBX et son importance pour votre entreprise. 14 guides dédiés.
Consultez la liste des fournisseurs de Cloud PBX au Luxembourg et à l'international.
Découvrez le fonctionnement du Cloud PBX dans 12 secteurs d'activité, des cabinets juridiques aux réseaux de distribution.
❓ FAQ
43 questions concernant l'installation, la tarification, la portabilité des numéros, le matériel et la sécurité.
📅 Prêt à découvrir le standard Cloud pour votre entreprise ? Planifiez un bref entretien avec un consultant. Nous couvrons les solutions Cloud PBX pour les entreprises au Luxembourg, en Belgique, en France et en Allemagne.