Por COMPUTERWORLD

As redes VoIP baseiam-se atualmente nos protocolos SIP (Session Initiation Protocol) e RTP (Real-time Transport Protocol) para sinalização de chamadas e entrega de mensagens de voz. Estes protocolos, assim como os protocolos de descrição de sessão e os protocolos de controle RTP complementares (SDP, RTCP), não fornecem medidas adequadas de autenticação de chamadas, proteção à integridade e confidencialidade na  sinalização de chamadas e dados de chamadas. Até estes recursos de segurança estarem implementados e em serviço, os atacantes ainda têm muitos vetores para explorar.

Hoje, os protocolos SIP e RTP não criptografam os pacotes de sinalização de chamadas e os streams de voz. Identidades, credenciais e números de chamadores podem ser capturados com ferramentas de coleta de tráfego (sniffers), usadas tanto nas redes locais tradicionais como nas redes sem fio.
Um invasor pode usar as informações da conta capturada e se passar por um usuário real para um representante do cliente ou até mesmo no portal self-service, onde pode alterar o plano de chamadas para permitir ligações para números 0800 ou números internacionais bloqueados. Ele também pode acessar o correio de voz ou ainda mudar o número de transferência de chamadas.

Esses ataques de personificação normalmente são usados para fraudar o sistema de telefônica, mas invasores com motivação financeira também podem capturar conversas de voz e reproduzi-las para obter informações corporativas ou pessoais sigilosas.

Inundar os alvos VoIP com mensagens de sinalização de chamadas SIP pode degradar o serviço, forçar o descarte prematuro de chamadas e tornar determinados equipamentos de VoIP totalmente incapazes de processar chamadas. Além disso, os equipamentos de VoIP também podem ser vulneráveis a ataques DoS contra protocolos de internet. Os sistemas VoIP também podem ser paralisados por ataques específicos a mídias, como broadcast storms em Ethernet e jamming (geração de ruído) de rádio Wi-Fi.

Os softphones VoIP também podem gerar um problema exclusivo e espinhoso. Aplicações softphone rodam em sistemas de usuários (PCs, PDAs) e, assim, estão vulneráveis a ataques de código malicioso contra aplicações de dados e voz. Os administradores de TI têm que considerar a possibilidade de um invasor tentar driblar a proteção convencional de PCs, injetando código malicioso via aplicação softphone VoIP.