Sécurité VoIP : protéger votre plateforme SIP, votre facture et les données de vos appelants

La sécurité VoIP regroupe tout ce qui empêche l’usage abusif d’une plateforme de téléphonie IP : attaquants qui devinent les mots de passe SIP, fraudeurs qui font grimper la facture d’appels internationaux, écoute d’appels non chiffrés, fuite d’enregistrements ou de transcriptions. Tout service SIP joignable depuis Internet est balayé en permanence par des outils automatisés : ces risques n’ont rien de théorique. Voxivra durcit les plateformes Asterisk et SIP avec des protections en couches, et intègre la sécurité à l’architecture plutôt que de l’ajouter en fin de projet.

Connaître les menaces

• Balayage et force brute : des outils sondent les ports SIP, énumèrent les postes et testent des mots de passe à haute cadence.
• Fraude téléphonique (toll fraud) : une fois entrés, les attaquants appellent des destinations surtaxées ou internationales coûteuses (on parle souvent d’IRSF, fraude au partage de revenus international). Les pertes peuvent s’accumuler très vite en un week-end.
• Détournement du dialplan : un contexte mal configuré laisse un appel entrant ou non authentifié atteindre les trunks sortants.
• Interfaces d’administration exposées : AMI, ARI, interfaces web ou ports FastAGI accessibles depuis Internet.
• Écoute et altération : SIP et RTP non chiffrés sur des réseaux non fiables.
• Usurpation d’identifiant d’appelant et appels robotisés, qui minent la confiance envers vos numéros.
• Déni de service : inondations SIP qui saturent la plateforme.

Contrôle réseau et contrôle d’accès

La première couche consiste à s’assurer que seuls les interlocuteurs attendus peuvent joindre vos services SIP.

• Listes d’autorisation au pare-feu : ports SIP et RTP ouverts uniquement aux plages de signalisation et de média de vos opérateurs, à votre SBC et aux sites distants connus. Les télétravailleurs passent par un VPN ou un SBC dédié plutôt qu’en direct.
• Identification des opérateurs par IP : avec PJSIP, les trunks sont reconnus par leur adresse source grâce à une section identify, au lieu de reposer sur un simple mot de passe d’enregistrement.
• ACL par poste : règles permit/deny sur les endpoints, ou ACL nommées, pour qu’un mot de passe volé ne soit pas utilisable de n’importe où.
• Aucun accès anonyme : pas d’endpoint fourre-tout pour les appels non authentifiés, et chaque chemin entrant aboutit dans un contexte restreint.
• Isolement du plan de gestion : AMI, ARI et FastAGI n’écoutent que sur des interfaces privées, avec TLS pour ARI lorsqu’elle traverse des réseaux, et des identifiants robustes et uniques.

Un court exemple PJSIP pour un opérateur identifié par IP :

[carrier]
type=endpoint
context=from-carrier
disallow=all
allow=ulaw,alaw
aors=carrier

[carrier]
type=aor
contact=sip:203.0.113.10:5060

[carrier]
type=identify
endpoint=carrier
match=203.0.113.10

Protection active : fail2ban et limitation de débit

Asterisk journalise les échecs d’authentification et d’autres événements de sécurité (son canal de journal de sécurité est prévu pour cela). fail2ban lit ces journaux et bloque au pare-feu les adresses fautives après un nombre d’échecs donné. En amont d’Asterisk, un proxy SIP ou un SBC comme Kamailio peut limiter le débit par source (par exemple avec son module pike) et rejeter le trafic malformé ou suspect avant qu’il n’atteigne le PBX. Ces outils réduisent le bruit et le risque de force brute ; ils ne remplacent pas les listes d’autorisation.

Prévenir la fraude dans le dialplan

Même avec un bon périmètre, nous partons du principe qu’un compte peut être compromis un jour, et nous limitons les dégâts :

• Contextes séparés pour les utilisateurs internes, les appels entrants et les applications, afin qu’un appel entrant ne puisse jamais atteindre les routes sortantes.
• Listes de destinations autorisées : préfixes internationaux et surtaxés bloqués par défaut, ouverture uniquement des pays réellement appelés.
• Limites par utilisateur et par trunk sur les appels simultanés (par exemple avec GROUP() et GROUP_COUNT()), la durée et le nombre d’appels par heure.
• Règles horaires : limites plus strictes en dehors des heures d’ouverture.
• Garde-fous chez l’opérateur : plafonds de dépenses et blocages de destinations configurés avec votre fournisseur SIP, en seconde ligne de défense.
• Alertes en temps réel sur les comportements inhabituels, comme une hausse soudaine des appels internationaux ou des appels à 3 h du matin.

Chiffrement : SIP sur TLS et SRTP

• SIP sur TLS (généralement le port 5061) protège la signalisation, y compris les identifiants et numéros, entre postes, SBC, Asterisk et opérateurs qui le prennent en charge. Nous configurons des versions TLS récentes et des certificats valides.
• SRTP chiffre l’audio. Dans Asterisk, il s’active par endpoint avec media_encryption=sdes (clés échangées dans SIP, qui doit donc passer par TLS) ou media_encryption=dtls, utilisé par les clients WebRTC.
• Connaître les limites : Asterisk déchiffre le média pour le traiter (SVI, enregistrement, IA), et les appels vers le réseau public ne sont généralement plus chiffrés au-delà de l’opérateur. Le chiffrement protège les segments que vous maîtrisez.

Au Canada et aux États-Unis, les opérateurs appliquent aussi l’authentification d’identifiant d’appelant STIR/SHAKEN. Nous veillons à ce que vos numéros sortants soient présentés conformément aux exigences de vos opérateurs, pour que vos appels légitimes ne soient pas signalés.

Protéger les données vocales

Enregistrements, transcriptions et journaux d’IA contiennent souvent des renseignements personnels, parfois financiers ou de santé. Nous concevons pour :

• La minimisation : n’enregistrer ou ne transcrire que le nécessaire, suspendre l’enregistrement pendant les étapes sensibles et recueillir les numéros de carte en DTMF masqué plutôt qu’à la voix. Notre étude de cas sur le voicebot de paiement sécurisé illustre cette approche dans un contexte PCI-DSS.
• Le chiffrement au repos et en transit, le contrôle d’accès et la journalisation des consultations.
• Des politiques de conservation et de suppression alignées sur vos obligations.
• L’évaluation des fournisseurs de STT, TTS et LLM : lieu de traitement, conservation des données, usage éventuel pour l’entraînement.

Les obligations découlant de la Loi 25 au Québec, de la LPRPDE, du RGPD ou des règles sectorielles dépendent de votre contexte ; nous recommandons de les confirmer avec un conseiller juridique. Notre page services financiers aborde les enjeux propres à ce secteur.

Mises à jour et supervision

Asterisk, PJSIP, Kamailio et les systèmes d’exploitation reçoivent régulièrement des correctifs de sécurité. Nous suivons les avis de sécurité, maintenons des versions supportées, testons les mises à jour en préproduction et les déployons sans interruption lorsque la plateforme est conçue pour cela, l’une des raisons pour lesquelles sécurité et haute disponibilité VoIP vont de pair. La supervision couvre les échecs d’authentification, les profils d’appels inhabituels, l’expiration des certificats et les dérives de configuration.

Quand Voxivra recommande un audit de sécurité

Nous recommandons un audit avant d’exposer une nouvelle plateforme sur Internet, après tout incident présumé ou toute facturation inexpliquée, lors de la reprise d’un système non documenté, et avant d’ajouter des parcours d’IA ou de paiement qui traitent des données sensibles. Un audit couvre généralement l’exposition réseau et le pare-feu, la configuration PJSIP et du dialplan, les interfaces d’administration, le chiffrement, les contrôles antifraude et le traitement des données, avec des correctifs priorisés. Demandez-nous un audit de sécurité de votre environnement Asterisk ou SIP.