Newsgroup: it.comp.sicurezza.varie
Titolo: Fibra+voip e rischio furto credenziali e telefonate

Con un noto provider fibra+voip (ma a questo punto presuppongo anche 
con gli altri * ) per chi ha lo zyxel come modem-router, inviando una 
determinata stringa al modem, quest'ultimo risponde con la 
configurazione voip, con tanto di password in chiaro.
 
http://ip-del-router/cgi-bin/SIP?oid=RDM_OID_VOICE_LINE_SIP
 
 
(sì, teoricamente bisogna essersi loggati al router, ma quanti lasciano 
la password di default?)
 
Questo significa che se qualcuno ha il wifi aperto o dà la password del 
wifi a conoscenti traditori, oppure semplicemente i bar che danno ai 
clienti le password del proprio wifi, sono a rischio.
 
(poi ci potrebbero essere i folli che rendono il router raggiungibile 
dall'esterno).
 
Ho recuperato le credenziali del mio voip e quello dei miei genitori 
(in un'altra città), messe sullo smartphone, sotto un'altra rete e.... 
va.
Cioè in realtà non è così immediato, usano una piccola blanda 
protezione che consiste nel fatto che il dominio di terzo livello 
sip.nomeprovider.it
 punta a un ip sbagliato. Se non si usa un loro 
specifico dns, basta mettere l'indirizzo ip giusto al posto di 
sip.nomeprovider.it
 
 
Quindi da un ip diverso da quello dell'adsl che dovrebbe avere quel 
numero riesco a ricevere e telefonare.
 
Questo pone il rischio di furto di credenziali e, non essendo un 
servizio prepagato, potenzialmente la totalizzazione di bollette a n 
cifre, magari da parte di hacker in combutta con gestori di 899 che 
dalle linee crackate richiamano il proprio servizio.
COME AI TEMPI DEL VIDEOTEL.
 
Eppure basterebbe che il server autorizzasse i login al server SIP solo 
se provenienti dall'IP che è stato assegnato a quello specifico utente.
E' così difficile? Dovrebbero in qualche modo far dialogare il server 
radius e asterisk?
 
Io oltretutto la fonia non la uso, vorrei farla disattivare "lato 
server" ma non si puo'. Neanche sbagliando 10 volte la password o 
facendo un brute force sulla PROPRIA password sperando che scatti un 
meccanismo di blocco.
 
:-(
 
(*) ho detto presumo anche con gli altri provider, a meno che non 
effettuino il controllo dell'indirizzo IP.

effettuino il controllo dell'indirizzo IP.
 
M'hai incuriosito: chiederò.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(


Sarei curioso di provare a scollegare l'adsl, poi fare telefonate da un 
IP di hong kong sulla (tramite vpn) mia linea. Poi contestarle, 
mostrando che, oltretutto (dal sito del provider si vedono le 
connessioni adsl) la mia adsl era sconnessa. Chissà come andrebbe a 
finire. Ovviamente non lo faccio.... ma metterebbe in luce un problema 
di sicurezza non da poco... si pensi al bar che dà la password del wifi 
ai clienti e magari ha lasciato la password di default del router.
 
(nota: un altro problema di sicurezza sono quei provider che 
AUTO-AUTENTICANO sulla home page dell'area clienti l'utente che si 
connette dal suo IP.... tutto bello finche' l'utente sei tu, ma se 
l'utente è il cliente di un bar, puo' scaricare le fatture, fare 
variazioni di piano tariffario ecc.... dovrebbe essere un servizio 
quantomeno disattivato di default)

 
 
 
Ciao,
 
sarebbe utile sapere il nome dell'ISP.
Poi segnalarlo al provider stesso, all'AGCOM e al Garante Privacy; questa è l'ennesima dimostrazione che non sempre il provider garantisce la sicurezza che ci si aspetta.
Siccome per motivi che al momento non spiego ne sto parlando col mio di provider di questi argomenti, ritengo che queste discussioni vadano ampliate e portate il più possibile al pubblico e ai vari Garanti.
 
Gabriele

 sarebbe utile sapere il nome dell'ISP. 
 
In privato quando vuoi.
 
Pubblicamente, dopo essermi beccato anni fa una querela (pretestuosa) 
poi finita con un'archiviazione ma con un bel po' di notti insonni, ci 
vado cauto.

hai posta

 vado cauto.
 
Ho esperienza in tal senso...
 
ciao,
Gabriele

 che ci si aspetta. 
 
Almeno permettesse di bloccare, con un pin, le chiamate in uscita. Mi 
accontenterei di bloccare le internazionali.
Il rischio è che un hacker dall'esterno tramite un bug del modem rubi 
la password. E se lo fa, poi la usa per rivendere chiamate 
internazionali, non per chiamare in Italia, quindi mi accontenterei di 
bloccare le internazionali (anche sei io bloccherei tutto, non uso la 
funzione fonia).
 
La cosa migliore sarebbe comunque legare il login all'ip del cliente.


 
appena parlato col servizio clienti e bloccate chiamate internazionali 
e servizi a superpagamento 899.
Se poi un hacker mi fa chiamate nazionali (al solo costo dello scatto 
alla risposta) amen.... ma tanto l'hacker se ruba l'account lo ruba per 
fare chiamate internazionali

 
 
[cut]
 
Sto facendo una riflessione sul GDPR per i casi in cui il router/modem sia del provider; un apparato di terzi dentro la tua LAN di cui non puoi garantire la sicurezza.


wrote:

Del tipo?