[en] As a result of the many benefits over traditional telephony, companies are increasingly opting to migrate or implement their own voice over IP or unified communications systems. This popularity, combined with the relative ease with which crackers can generate almost immediate economic benefits from attacking these systems, has become a popular target that generates million-dollar losses for businesses. The lack of specialized profiles, both in VoIP with knowledge in security, and, on the contrary, security experts with knowledge in VoIP, generates, on many occasions, environments with insecure configurations and designs thus increasing the probability of being attacked successfully. For all these reasons, we wanted to conduct a study of the state of the art in the context of the security of VoIP environments, more specifically environments that make use of open source software. In order to do this, we wanted to trace a brief history of security in telecommunications to the present day, followed by a taxonomy proposal for the threats to which these systems are exposed, to finally make a compilation and exemplified analysis of the most common current attacks. With this analysis, it has been found that one of the attack vectors studied in the Asterisk platform, did not have a specific utility that could serve as support for the work of an auditor or pentester, so a tool has been developed with functions of exploitation and post-exploitation. To conclude, we have proposed a set of good practices that should be considered in any system of voice over IP supported by the design of an architecture that can serve as a basis for a secure implementation.

[es] Debido a los numerosos beneficios que aporta frente a la telefonía tradicional, las empresas, cada vez más, optan por migrar o implementar sus propios sistemas de voz sobre IP o comunicaciones unificadas. Esta popularidad, sumada a la relativa facilidad con la que los piratas informáticos puede generar beneficios económicos de manera casi inmediata con el ataque a estos sistemas, hace que se haya convertido en un objetivo apreciado que genera pérdidas millonarias a las empresas. La falta de perfiles especializados, tanto en VoIP con conocimientos en seguridad, como, por el contrario, expertos en seguridad con conocimiento en VoIP, genera, en muchas ocasiones, entornos con configuraciones y diseños inseguros aumentando así la probabilidad de ser atacados con éxito. Por todo ello, se ha querido realizar un estudio del estado del arte en el marco de la seguridad de entornos VoIP, más concretamente de entornos que hacen uso de software de código abierto. Para esto, se ha querido trazar una breve historia de la seguridad en las telecomunicaciones hasta llegar a la actualidad, seguida de una propuesta de taxonomía para las amenazas a las que están expuestos estos sistemas, para finalmente realizar una recopilación y análisis ejemplificado de los ataques actuales más comunes. Con este análisis, se ha encontrado que uno de los vectores de ataque estudiados en la plataforma Asterisk, no disponía de una utilidad específica que pudiese servir de soporte para el trabajo de un auditor o pentester, por lo que se ha desarrollado una herramienta con funciones de explotación y post-explotación. Para concluir, se ha propuesto un conjunto de buenas prácticas que deberían ser contempladas en cualquier sistema de voz sobre IP, apoyadas por el diseño de una arquitectura que pueda servir como base para una implementación segura.