Анализ безопасности SIP-телефонии: уязвимости и моделирование угроз

SIP-сообщения по умолчанию передаются в открытом тексте. Это позволяет атакующему перехватить IP-адреса, пароли аутентификации, номера телефонов и данные о местоположении абонентов. Для шифрования применяется TLS, однако далеко не все softphone-решения предлагают его в базовой конфигурации.

DoS-атаки на уровне приложений

INVITE Flood

Массовая отправка INVITE-запросов на softphone или сервер. Перегружает очередь обработки и препятствует установлению легитимных вызовов.

REGISTER Flood

Поток REGISTER-запросов с произвольными именами пользователей. Истощает ресурсы SIP-сервера, обрабатывающего попытки аутентификации.

CANCEL Flood

Ложные CANCEL-сообщения на активные вызовы. Вызывает преждевременное завершение звонков.

SIP Amplification

Атакующий подменяет исходный адрес на адрес жертвы и рассылает короткие INVITE-запросы множеству SIP-серверов. Серверы отвечают объёмными пакетами непосредственно на адрес жертвы.

DDoS-атаки на сетевом и транспортном уровнях

IP-фрагментация

Передача большого количества фрагментов IP-пакетов перегружает вычислительные ресурсы всех узлов-обработчиков на пути к цели, замедляя обработку легитимного трафика.

DNS Amplification

Поддельный DNS-запрос к уязвимому резолверу порождает ответ значительно большего размера, направляемый на адрес жертвы. Канал жертвы переполняется ответными пакетами.

TCP / UDP флуд

Открытие множества TCP-соединений или отправка UDP-пакетов на случайные порты SIP-сервера истощает дескрипторы и буферы сокетов.

Для практического исследования развёрнута тестовая VoIP-система: сервер Asterisk (open source PBX, Digium, 1999) и softphone-клиенты Linphone (Linux/Windows/macOS/iOS/Android). Конфигурация — через файл asterisk-custom.conf.

Конфигурация Fail2Ban

Fail2Ban сканирует лог Asterisk в реальном времени и блокирует IP при совпадении с failregex. Правило фиксирует любую строку вида failed for '<HOST>' — Failed to authenticate и немедленно добавляет адрес в список блокировки UFW.

Использована методология OCTAVE (Operationally Critical Threat, Asset and Vulnerability Evaluation). Рассмотрены два типичных сценария развёртывания VoIP-сервера.

Сценарий 1 — публичный Asterisk-сервер

Активы

SIP/RTP-сервисы; данные пользователей SIP-клиентов; содержимое голосовых вызовов.

Угрозы

• Перехват трафика: в классической конфигурации без TLS атакующий пассивно прослушивает вызовы и перехватывает учётные данные.
• Сканирование: автоматизированный сбор информации об открытых портах и сервисах.
• Брутфорс: массовый подбор паролей — 73 IP за первые сутки.
• DoS: высокая нагрузка от обработки поддельных запросов нарушает работу легитимных клиентов.

Уязвимости

• Отсутствие шифрования SIP/RTP — ключевая техническая уязвимость.
• Публичная доступность SIP-сервисов без ограничений по IP.
• Зависимость от реактивной IP-фильтрации (Fail2Ban, UFW).

Меры защиты

UFW (минимизация поверхности атаки) + Fail2Ban (блокировка брутфорса). Остаточный риск: трафик с уже разрешённых адресов не проверяется; при DDoS возможно исчерпание ресурсов сервера.

Сценарий 2 — Asterisk за VPN

Активы

Сервис Asterisk (изолирован от интернета); VPN-шлюз и его конфигурация.

Угрозы

• Компрометация VPN: брутфорс или утечка учётных данных открывает доступ к внутренней сети.
• Инсайдерские атаки: авторизованные пользователи VPN могут совершать злонамеренные действия.
• Ошибки конфигурации: некорректные правила маршрутизации могут «пробить» трафик Asterisk в публичную сеть.

Уязвимости

• SIP/RTP-трафик между клиентами и Asterisk внутри VPN остаётся незашифрованным.
• Слабые учётные данные VPN могут привести к утечке трафика в публичную сеть.
• Высокая сложность конфигурации сетевых правил и маршрутизации.

Меры защиты

Asterisk недоступен из интернета; подключение только через VPN-клиент. Остаточный риск: внутренние угрозы становятся доминирующими; голосовой трафик внутри VPN не защищён.

• VoIP-сегментация через VPN снижает риски от внешних угроз, но не обеспечивает защиту от инсайдеров и гибридных атак.
• Авторизованный или неавторизованный нарушитель способен атаковать любой атрибут безопасности: конфиденциальность (перехват сигнализации и медиа), целостность (подмена данных пользователей), доступность (DoS-атаки).
• Для систем, не являющихся критичной инфраструктурой, связки UFW + Fail2Ban + VPN может быть достаточно.
• В остальных случаях необходима полная переработка архитектуры VoIP-телефонии с применением парадигмы Zero Trust: непрерывная верификация, минимальные привилегии, шифрование всего трафика вне зависимости от сегмента сети.

• Оригинальная статья: Smirnov Y. V., Nikiforova A. V. «Security Analysis of the Session Initiation Protocol (SIP): Vulnerability Assessment and Threat Modeling» — 2026 ElCon Conference of Young Researchers in Computing & Processing, and Information Security (ElCon-CP), 2026-02-03.
  DOI: 10.1109/elcon-cp69823.2026.11452202