Новости / Безопасность
Предупреждение по Asterisk говорит о риске DoS в IAX2
Предупреждение по безопасности 2006 года сообщало, что поток запросов вызова IAX2 способен вызвать отказ в обслуживании Asterisk PBX, исчерпав возможность обрабатывать новые телефонные вызовы.
Мера, зависящая от конфигурации
Internet Security Systems утверждала, что проблема затрагивает старые версии Asterisk и неверно настроенные установки тогдашнего текущего релиза. IAX2 описывался как протокол для установления VoIP-вызовов и передачи их содержимого между системами Asterisk; риск возникал, когда атакующий отправлял достаточно запросов, чтобы перегрузить PBX.
По данным консультации, версия 1.2.10 могла ограничивать одновременные неаутентифицированные вызовы от одного пользователя, но для каждой установки порог следовало подбирать так, чтобы снизить риск и не помешать обычной работе. Это устаревшее предупреждение о конкретной версии и настройке, а не современная инструкция по защите.
Под угрозой доступность
Консультация описывает атаку как поток запросов вызовов, который может лишить PBX способности принимать новые звонки. Поэтому главное последствие — доступность услуги, а не незаметная потеря одной функции. В голосовой среде невозможность совершать или принимать звонки может иметь операционное значение даже без раскрытия данных.
Порог — это компромисс
Это важно, потому что более низкий порог может снижать риск, но и отвергать больше законной активности. В ней нет безопасного числа, примера конфигурации или независимого теста.
Версия и настройка ограничивают утверждение
Материал 2006 года надо сохранять как датированное предупреждение, не расширяя его за пределы заявленного охвата.
Граница безопасности
Консультация называет датированный риск доступности и компромисс настройки. Исторически названное смягчение неотделимо от точной версии, настройки и обычной нагрузки вызовов конкретной установки.
Как связаны элементы
Запросы вызова IAX2 доходили до PBX до того, как система устанавливала право звонящего на использование сервиса. Поэтому предложенное ограничение одновременных неаутентифицированных вызовов защищает конечный ресурс обработки на входе в услугу. Компромисс прямой: очень низкий предел может раньше остановить атаку, но также отклонит законные всплески новых вызовов. Полезный операционный вывод — не «волшебное» число, а соотнесение порога с нормальным рисунком неаутентифицированного установления вызова в конкретной установке.
Предупреждение описывало в IAX2 и установление вызова, и его содержимое, поэтому эффект отказа легко представить: работа по установлению может занять емкость PBX прежде, чем будут приняты полезные звонки. Ограничение неаутентифицированного установления защищает этот вход, оставляя администраторам решить, какой объем законного нового трафика обычно нужно допускать их среде.