Ιδιωτικά Τηλεφωνικά Κέντρα ( ΙΤΚ ): Επιθέσεις – Υποκλοπές και τρόποι προστασίας

Οι περισσότερες εταιρείες και οργανισμοί, αλλά και διάφοροι επαγγελματίες, διαθέτουν ένα ή περισσότερα Iδιωτικά Tηλεφωνικά Kέντρα, τα οποία όμως πολλές φορές αποτελούν στόχο επιθέσεων, με σημαντικά αρνητικές επιπτώσεις για τη γενικότερη λειτουργία των υποδομών τους.

Τα Iδιωτικά Tηλεφωνικά Kέντρα (ITK ή ΡΒΧ στην αγγλική ορολογία, από τα αρχικά των λέξεων Private Branch Exchange) αποτελούν βασική τηλεπικοινωνιακή υποδομή για την εξυπηρέτηση του ανθρώπινου δυναμικού της μεγάλης πλειοψηφίας των εταιρειών και κάθε είδους Οργανισμών. ΙΤΚ κατασκευάζουν πολλές εταιρείες (π.χ. Siemens, Alcatel, Lucent κ.ά.), οι βασικοί τύποι όμως κατηγοριοποιούνται σε τρεις κύριες κατηγορίες:

• Συμβατικά ΙΤΚ
• Κέντρα βασισμένα στο πρωτόκολλο ΙΡ του διαδικτύου (Full IP ITK)
• Υβριδικά ΙΤΚ (μικτό περιβάλλον συμβατικών κέντρων και ΙΡ μονάδων).

Η χρήση ΙΤΚ βασισμένων στο πρωτόκολλο ΙΡ, όπως και της τηλεφωνίας πάνω από το διαδίκτυο (VoIP – Voice over IP protocol), άρχισε ήδη να επεκτείνεται λόγω του χαμηλού ή και μηδενικού σε πολλές περιπτώσεις κόστους των κλήσεων, όταν χρησιμοποιείται το διαδίκτυο (Internet) ή ενδοδίκτυα (Intranets) σαν μέσο διάδοσης της φωνής. Ήδη, πολλά εκατομμύρια χρήστες σε όλο τον κόσμο χρησιμοποιούν διάφορα προγράμματα επικοινωνίας VoIP, βασισμένα στο πρωτόκολλο SIP (Session Initiation Protocol) ή σε άλλα πρωτόκολλα επικοινωνίας (όπως π.χ. το Skype). Η τεχνολογία VoIP και η ενοποίηση των δικτύων για μετάδοση υπηρεσιών της μορφής triple play (ένα ενιαίο δίκτυο για μετάδοση φωνής, δεδομένων και video-TV) αναμένεται να εκτοπίσει σταδιακά την κλασική μορφή επικοινωνιών (PSTN / ISND / GSM) όπως είναι γνωστή σήμερα, στα επόμενα χρόνια. Πέρα από αυτά, η σύγκλιση κινητών και σταθερών τηλεπικοινωνιών (FMC = Fix Mobile Convergence) αποτελεί μία επιπλέον πρόκληση, αφού οι ενοποιημένες μορφές τηλεπικοινωνιών θα διαδίδονται με ένα ενιαίο πρωτόκολλο, πάνω από τις μελλοντικές πλατφόρμες δικτυακών υποδομών κοινής αρχιτεκτονικής, όπως η IMS (ΙΡ Multimedia Subsystem), οι οποίες αποτελούν αντικείμενο σχεδιασμού και ερευνητικής δουλειάς ανά τον κόσμο, τα τελευταία χρόνια.
Η πλειονότητα των εγκατεστημένων ΙΤΚ, σήμερα, είναι συμβατικής τεχνολογίας, με τα βασικά τους χαρακτηριστικά να είναι ο αριθμός γραμμών εισόδου από τον Τηλεπικοινωνιακό Πάροχο (π.χ. 30 γραμμές «πόλης» όπως λέγονται) που καθορίζει και πόσα εσωτερικά τηλέφωνα μπορούν να μιλούν ταυτόχρονα με εξωτερικές γραμμές, καθώς και τον εξυπηρετούμενο αριθμό εσωτερικών τηλεφώνων.
Ένα τυπικό παράδειγμα μπορεί να είναι ένα Ιδιωτικό Τηλεφωνικό Κέντρο με 4 γραμμές πόλης και 30 εσωτερικά τηλέφωνα για μία μικρή εταιρεία ή 30 γραμμές πόλης και 500 εσωτερικά τηλέφωνα για μία μεγαλύτερη εταιρεία ή Οργανισμό.

Συμβατικό ή ΙΡ Ιδιωτικό Τηλεφωνικό Κέντρο;
Οι εταιρείες και οι Οργανισμοί που ετοιμάζονται να στήσουν μία νέα τηλεπικοινωνιακή υποδομή στα γραφεία τους, δεν έχουν άλλη καλύτερη επιλογή από το να προχωρήσουν άμεσα στην προμήθεια και εγκατάσταση ενός νέας τεχνολογίας Full IP ΙΤΚ. Πολλές εταιρείες υλοποιούν τα ΙΤΚ τους πάνω σε ένα κοινό ηλεκτρονικό υπολογιστή, με δωρεάν λογισμικό (shareware), όπως είναι το ASTERISK. Tα ΙΤΚ του τύπου αυτού, βασισμένα σε τεχνολογία ASTERISK αναμένεται να αντικαταστήσουν τα κλασικά συμβατικά ΙΤΚ στο άμεσο μέλλον.
Τα συμβατικά ΙΤΚ διαθέτουν διάφορες λειτουργίες. Για παράδειγμα, κάποια εσωτερικά τηλέφωνα (π.χ. θυρωρού εισόδου της εταιρείας) είναι φραγμένα και δεν μπορούν να πραγματοποιήσουν κλήσεις προς το εξωτερικό ή κινητά τηλέφωνα, ενώ άλλα δεν μπορούν να καλέσουν Υπηρεσίες Προστιθέμενης Αξίας (Audiotex, υψηλού κόστους κλήσεις π.χ. προς νούμερα 90-11-xxx). ’λλες χρήσιμες λειτουργίες είναι ο προσωπικός τηλεφωνητής, η προώθηση κλήσης κ.ά. Για την υλοποίηση ορισμένων λειτουργιών των συμβατικών ΙΤΚ απαιτούνται συνήθως μονάδες υλισμικού (κάρτες hardware), οι οποίες ανεβάζουν το κόστος αγοράς, αλλά και συντήρησης ενός ΙΤΚ.
Από την άλλη πλευρά, η χρήση υβριδικών ή full IP ΙΤΚ προσφέρει πολλές νέες δυνατότητες στους χρήστες, άγνωστες μέχρι τώρα – και πλεονεκτήματα, τα οποία οι χρήστες των συμβατικών ΙΤΚ δεν έχουν ποτέ συναντήσει. Το σημαντικότερο όμως πλεονέκτημα πέρα από νέες δυνατότητες των ΙΡ ΙΤΚ, είναι το πολύ χαμηλό κόστος χρήσης (λόγω VoIP) και συντήρησης. Επιπλέον, εφόσον συνδυαστούν με λύσεις ασφάλειας και αυτές υλοποιηθούν σωστά (π.χ. δημιουργία VPN) παρέχουν μεγαλύτερη ασφάλεια ως προς τις υποκλοπές επικοινωνιών, πράγμα το οποίο δεν παρέχεται από τα συμβατικά ΙΤΚ σήμερα. Στις επόμενες παραγράφους θα αναφερθούμε στους κινδύνους των συμβατικών και ΙΡ ΙΤΚ, ώστε να γίνουν φανερές οι δυνατότητες και οι αδυναμίες των αντίστοιχων τεχνολογιών. Το σημαντικό πλεονέκτημα των ΙΡ ΙΤΚ είναι ότι η πλειονότητα των λειτουργιών και ευκολιών υλοποιείται προγραμματιστικά (με software), χωρίς ανάγκη αγοράς νέων καρτών, οι οποίες στα συμβατικά ΙΤΚ κοστίζουν.

Συντήρηση ενός ΙΤΚ – Kίνδυνοι υποκλοπών:
Επειδή κάθε εταιρεία, Υπουργείο, Οργανισμός, Φορέας κ.λπ. που χρησιμοποιεί ένα ΙΤΚ δεν παραμένει ποτέ στάσιμος (γραφεία αλλάζουν ή προστίθενται νέα, διευθυντικά στελέχη αλλάζουν γραφείο κ.λπ.), υπάρχει συχνά ανάγκη αλλαγής των παραμέτρων του ΙΤΚ και των εσωτερικών τηλεφώνων που συνδέονται σ’ αυτό. Για το λόγο αυτό, οι μεγάλοι Οργανισμοί και Εταιρείες αναθέτουν τη συντήρηση των λειτουργιών του ΙΤΚ στην προμηθεύτρια εταιρεία (από την οποία αγόρασαν το ΙΤΚ), σε άλλη εταιρεία ή προσλαμβάνουν εξειδικευμένα στελέχη με κύριο έργο τη συντήρηση των λειτουργιών του ΙΤΚ τους. Σε πολλές όμως περιπτώσεις, δυστυχώς δεν υπάρχει άτομο ή εταιρεία που να ασχολείται με τη συντήρηση του ΙΤΚ. Όταν οι εταιρείες αυτές ή οι Οργανισμοί μεγαλώνουν σε μέγεθος, συνήθως χάνεται ο κεντρικός έλεγχος και η επίθεση στο τηλεφωνικό κέντρο γίνεται εύκολη υπόθεση, με αποτέλεσμα ανεξέλεγκτες χρεώσεις ή άλλες ανεπιθύμητες καταστάσεις (π.χ. διακοπή λειτουργίας του ΙΤΚ) ή υποκλοπές. Πολλές εταιρείες ή Οργανισμοί με πολλά υποκαταστήματα (π.χ. Τράπεζες, στρατιωτικές μονάδες κ.λπ.) διασυνδέουν τα τηλεφωνικά τους κέντρα μεταξύ τους, δημιουργώντας ένα τεράστιο πλέγμα με πολλούς κόμβους επικοινωνιών. Στις περιπτώσεις αυτές, μη εξουσιοδοτημένη διείσδυση σε ένα ΙΤΚ ενδέχεται να επιτρέψει την πρόσβαση και στα υπόλοιπα. Τι συνεπάγεται όμως μία πιθανή επιτυχημένη επίθεση και διείσδυση σε ένα ή περισσότερα ΙΤΚ;

Κίνδυνοι και απειλές στα συμβατικά ΙΤΚ
Γιατί όμως κάποιος να θελήσει να κάνει μια επίθεση hacking σε συμβατικό ΙΤΚ; Η συνήθης απάντηση είναι: Για να κερδίσουν οι hackers χρήματα, αποφεύγοντας να πληρώσουν τις τηλεφωνικές κλήσεις. Αυτό μπορεί να γίνει με πολλούς τρόπους. Οι hackers μπορεί να πουλήσουν τους κωδικούς ασφαλείας του κέντρου σε εταιρείες που δρουν παράνομα ή να πουλήσουν υπεραστικές / διεθνείς τηλεφωνικές κλήσεις σε άτομα που ενδιαφέρονται να κάνουν φτηνά τηλεφωνήματα (π.χ. μετανάστες), για τις οποίες φυσικά οι hackers δεν πληρώνουν τίποτε (call selling). Οι τηλεφωνικές κλήσεις πληρώνονται από την εταιρεία- θύμα, στην οποία ανήκει το ΙΤΚ, οι υπεύθυνοι της οποίας δεν μπορούν συνήθως να αντιληφθούν την επίθεση, μιας και οι κλήσεις των απατεώνων χάνονται στην πληθώρα των νόμιμων τηλεφωνικών κλήσεων της εταιρείας. Το αποτέλεσμα είναι αύξηση εξόδων για την εταιρεία, ύψους εκατοντάδων χιλιάδων € σε πολλές περιπτώσεις. Ας σημειώσουμε εδώ ότι οι συνολικές απώλειες λόγω ΡΒΧ hacking, μόνο για την Αμερική υπολογίζονται σε μερικά δις δολάρια κάθε χρόνο!
Σε άλλες περιπτώσεις, η επίθεση στο ιδιωτικό τηλεφωνικό κέντρο μπορεί να έχει μεγαλύτερες συνέπειες, όπως αλλοίωση λειτουργικών παραμέτρων του τηλεφωνικού κέντρου ή και πλήρη κατάρρευσή του, γεγονός που επιφέρει μεγάλη οικονομική ζημία σε οργανισμούς ή επιχειρήσεις με κρίσιμες δραστηριότητες. Ας αναλογιστούμε την περίπτωση κατάρρευσης του ΙΤΚ του Υπουργείου Εξωτερικών ή Εθνικής ’μυνας, σε καιρό κρίσεως ή πολέμου. Αλλαγή των παραμέτρων του τηλεφωνικού κέντρου μπορεί να επιφέρει ακόμη και παράνομη επισύνδεση (υποκλοπή) σε τηλέφωνα διευθυντικών στελεχών, με αποτέλεσμα όλες οι τηλεφωνικές τους κλήσεις να παρακολουθούνται και να υποκλέπτονται από τους hackers.
Η πρόκληση για τους hackers είναι μερικές φορές να μοιραστούν τους κωδικούς ασφαλείας του τηλεφωνικού κέντρου που κατάφεραν να « κτυπήσουν και να σπάσουν», με άλλους φίλους τους μέσω του διαδικτύου, οπότε η οικονομική ζημία μπορεί να πάρει τεράστιες διαστάσεις.
Μερικά παραδείγματα: Η Υπηρεσία Ασφαλείας του ΟΤΕ, που ασχολείται με την πρόληψη της Τηλεπικοινωνιακής Απάτης και του Ηλεκτρονικού Εγκλήματος, έχει πολλά παραδείγματα επιτυχών επιθέσεων σε ΙΤΚ ιδιωτικών εταιρειών, τραπεζών, πανεπιστημίων και ερευνητικών ιδρυμάτων (μερικά των οποίων είναι ήδη γνωστά και από τις ελληνικές εφημερίδες). Σε μία τέτοια περίπτωση, το κόστος απωλειών για μία αεροπορική εταιρεία στην Αθήνα έφθασε τα 4.000.000 Ευρώ, περίπου. Επίσης, μία εταιρεία ταχυμεταφορών χρεώθηκε με 252.000 Ευρώ, ενώ μία από τις μεγαλύτερες Ελληνικές Τράπεζες με πολλά διασυνδεδεμένα ΙΤΚ στην Αθήνα, χρεώθηκε με 150.000 Ευρώ περίπου, όταν αλλοδαποί επιτήδειοι επιτέθηκαν σε 4 διασυνδεδεμένα ΙΤΚ της.
Θα αναφερθούμε όμως και σε εντυπωσιακές περιπτώσεις, όπως η επίθεση στο τηλεφωνικό κέντρο της New Scotland Yard στο Λονδίνο (που κόστισε 1 εκατομμύριο λίρες), όταν οι hackers κατάφεραν να σπάσουν τους κωδικούς της υπηρεσίας DISA (Direct Inward System Access) του τηλεφωνικού κέντρου. Το πρόβλημα είναι μεγαλύτερο για πολλές Εταιρείες και Οργανισμούς, που έχουν πέσει ήδη θύματα hacking χωρίς να το γνωρίζουν ή δεν θα το αντιληφθούν παρά μετά την πάροδο μεγάλου χρονικού διαστήματος.

Τι είναι η υπηρεσία DISA (Direct Inward System Access) του τηλεφωνικού κέντρου;
Η Υπηρεσία DISA είναι μία ιδιαίτερα ελκυστική για τους hackers υπηρεσία ενός ΙΤΚ, μέσω της οποίας (αν καταφέρουν να σπάσουν) έχουν τη δυνατότητα πραγματοποίησης σωρείας καταχρηστικών κλήσεων, τις οποίες θα κληθεί να πληρώσει ο άτυχος κάτοχος του ΙΤΚ. Είναι μία ευκολία του τηλεφωνικού κέντρου, μέσω της οποίας μπορεί ένα διευθυντικό στέλεχος της εταιρείας, από το σπίτι του ή από οποιοδήποτε σημείο της πόλης, να επικοινωνήσει με συγκεκριμένο τηλέφωνο της εταιρείας του (DISA Number), να δώσει ένα κωδικό αναγνώρισης (ΡΙΝ) και στη συνέχεια να κάνει υψηλής χρέωσης τηλεφωνικές κλήσεις προς οποιοδήποτε μέρος του κόσμου, χρεώνοντας το τηλεφωνικό κέντρο της εταιρείας του, ενώ αυτός χρεώνεται μόνο με το κόστος μιας αστικής συνδιάλεξης. Σε περίπτωση που κάνει χρήση ενός αριθμού μηδενικής χρέωσης (800-xxx – free phone number), δεν πληρώνει ούτε το κόστος της αστικής συνδιάλεξης προς το ΙΤΚ της εταιρείας του. Στα περισσότερα τηλεφωνικά κέντρα, η υπηρεσία DISA είναι ενεργοποιημένη χωρίς τη γνώση των υπευθύνων της εταιρείας, ενώ ο κωδικός (ΡΙΝ) είτε δεν υπάρχει ή παραμένει ο ίδιος μετά την εγκατάσταση του τηλεφωνικού κέντρου (κανείς δεν φρόντισε να απενεργοποιήσει την υπηρεσία DISA ή να αλλάξει το ΡΙΝ), όπως όταν το κέντρο βγήκε από το εργοστάσιο παραγωγής (default value). Π.χ., το ΡΙΝ είναι “1111” ή ‘7777’. Αποτέλεσμα, η επίθεση hacking να είναι πανεύκολη υπόθεση, αφού οι hackers χρησιμοποιούν ειδικά προγράμματα (dialers) που κατεβάζουν δωρεάν από το διαδίκτυο για να εντοπίσουν το τηλέφωνο με την υπηρεσία DISA, του τηλεφωνικού κέντρου- στόχος. Σε μερικά web sites (π.χ. στην password database του site www.virus.org) μπορούν να βρουν κωδικούς πρόσβασης για κάθε τύπο Ιδιωτικού Τηλεφωνικού Κέντρου! Ας σημειωθεί ότι οι περισσότεροι τύποι ΙΤΚ εκτός των γνωστών κωδικών πρόσβασης (τους οποίους μπορεί να έχει αλλάξει ο administrator) διαθέτουν και άλλους άγνωστους στο ευρύ κοινό κωδικούς, μέσω των οποίων μπορεί να γίνει πρόσβαση στο λογισμικό του κέντρου.

Ενδείξεις επίθεσης hacking τηλεφωνικού κέντρου
Ποια όμως είναι τα προειδοποιητικά σημεία για τον εντοπισμό επίθεσης hacking τηλεφωνικού κέντρου; Υπάρχουν αρκετά σημεία που μπορούν να οδηγήσουν τον υπεύθυνο του τηλεφωνικού κέντρου στην υποψία ότι το κέντρο του έπεσε θύμα hacking. Για παράδειγμα, αναφέρουμε τα ακόλουθα:

• Υπάλληλοι αδυνατούν να πάρουν εξωτερική γραμμή ή να ανοίξουν το φωνητικό τους ταχυδρομείο (voice mailbox – αυτόματος τηλεφωνητής), γιατί αυτό έπεσε θύμα hacking.
• Η πρόσβαση προς το τηλεφωνικό κέντρο από εξωτερικές γραμμές είναι πολύ δύσκολη, αφού όλες οι εισερχόμενες γραμμές του κέντρου φαίνονται μόνιμα κατειλημμένες.
• Κάποιοι άγνωστοι καλούν (π.χ. εκ μέρους της Τηλεφωνικής Εταιρείας ή της εταιρείας που εγκατέστησε το τηλεφωνικό κέντρο) και ζητούν τους κωδικούς πρόσβασης (δήθεν για λόγους συντήρησης).
• Αύξηση των εισερχόμενων και εξερχόμενων διεθνών κλήσεων προς και από το τηλεφωνικό κέντρο, ιδιαίτερα σε χώρες με τις οποίες δεν υπάρχει κανονικά δραστηριότητα της εταιρείας – Οργανισμού.
• Κλήσεις μετά τις εργάσιμες ώρες (βραδινές ώρες) ή τα Σαββατοκύριακα – αργίες προς και από το τηλεφωνικό κέντρο της εταιρείας – Οργανισμού.
• Κλήσεις ιδιαίτερα μεγάλης διάρκειας (πολλές ώρες ή ακόμη και μέρες).

Οδηγίες για τους υπεύθυνους της λειτουργίας των επικοινωνιών
Για την αντιμετώπιση του hacking στα ιδιωτικά τηλεφωνικά κέντρα, δίνονται στη συνέχεια μερικές οδηγίες οι οποίες μπορούν να βοηθήσουν στην αντιμετώπιση του προβλήματος:

• Βεβαιωθείτε ότι κάποιος από την εταιρεία είναι υπεύθυνος για την παρακολούθηση της χρήσης του τηλεφωνικού κέντρου. Σε πολλές εταιρείες, το άτομο αυτό απλά δεν υπάρχει.
• Ενημερώστε το προσωπικό για τους κινδύνους hacking. Ιδιαίτερα αυτούς που εργάζονται στην υποδοχή (reception) και χειρίζονται τις εισερχόμενες κλήσεις της εταιρείας. Ενημερώστε τους να μη δίνουν ποτέ σε αγνώστους τους κωδικούς ασφαλείας (έστω και αν ο καλών δηλώνει υπεύθυνος συντήρησης) ούτε τον τύπο του τηλεφωνικού κέντρου. Αν ο hacker πληροφορηθεί τον τύπο του κέντρου, τότε εύκολα από το διαδίκτυο θα βρει ένα τουλάχιστον κωδικό ΡΙΝ, με τον οποίο ενδέχεται να «σπάσει» την ασφάλεια του ΙΤΚ.
• Ενεργοποιήστε τις τεχνικές ασφάλειας του τηλεφωνικού κέντρου, απενεργοποιήστε τις υπηρεσίες που δεν χρειάζεστε και βάλτε κωδικούς ασφάλειας (ΡΙΝ) στις υπηρεσίες που χρησιμοποιείτε. Αλλάζετε τους κωδικούς ΡΙΝ σε τακτικά χρονικά διαστήματα. Τους κωδικούς πρέπει να γνωρίζουν μόνο τα εξουσιοδοτημένα άτομα.
• Παρακολουθείτε με ειδικά προγράμματα (π.χ. προγράμματα χρεωστικού πακέτου) τους αριθμούς τηλεφώνων που καλούνται από το τηλεφωνικό σας κέντρο, τη διάρκειά τους, την ημερομηνία και ώρα κλήσης (βραδινές ώρες, Σαββατοκύριακα, αργίες). Εν ανάγκη, κάνετε συμβόλαιο με ειδικευμένη εταιρεία η οποία μπορεί τακτικά να κάνει τους σχετικούς ελέγχους.
• Αλλάξτε τις αρχικές εργοστασιακές ρυθμίσεις του κέντρου (default settings) κατά περίπτωση. Ιδιαίτερη προσοχή χρειάζεται η υπηρεσία ‘προώθησης κλήσης’ (call forwarding). Σε μερικές περιπτώσεις, υπάλληλοι της εταιρείας προωθούσαν τις κλήσεις του τηλεφώνου του γραφείου τους σε τηλέφωνα άσχετα (όπως κινητά τηλέφωνα, τηλέφωνα του εξωτερικού, τηλέφωνα Audiotex-τηλεπαρέα, ροζ γραμμές κ.λπ.), χρεώνοντας την εταιρεία με υπέρογκα ποσά.
• Μπλοκάρετε από το τηλεφωνικό κέντρο (call barring) κλήσεις προς Audiotex-ροζ γραμμές ή χώρες του εξωτερικού, με τις οποίες δεν υπάρχει ανάγκη επικοι¬νωνίας (λόγω της φύσεως εργα¬σιών της εταιρείας).
• Προσέχετε ιδιαίτερα τη χρήση της υπη¬ρε¬σίας DISA, αλλά και του φωνητικού ταχ¬¬υ¬δρομείου (voice mail), από την οποία μπορεί να γίνει με εύκολο τρόπο hacking του τηλεφωνικού κέντρου.
• Απενεργοποιήστε τη δυνατότητα να λάβει κάποιος σήμα κέντρου (dial tone), από διάφορες υπηρεσίες του κέντρου (voice mail, οδηγίες για αποστολή fax κ.λπ.).
• Αν η υπηρεσία DISA χρησιμοποιείται από το προσωπικό της εταιρείας, ενεργοποιείτε πάντα κωδικό για τη χρήση της και αλλάζετε τον κωδικό τακτικά.
• Αποφύγετε τη χρήση τόνων από το τηλεφωνικό κέντρο, προκειμένου να ζητηθεί το ΡΙΝ. Αυτοί οι τόνοι ανα¬γνωρίζονται αμέσως από τα προγράμματα hacking των τηλεφωνικών κέντρων.
• Αποκόψτε κάθε λειτουργία που επιτρέπει πρόσβαση από το σύστημα φωνητικού ταχυδρομείου προς το σύστημα τόνου κλήσης (dial tone).
• Ενεργοποιήστε την αυτόματη αποκοπή κλήσεων μετά από τρεις αποτυχημένες χρήσεις λανθασμένου ΡΙΝ αριθμού (αν αυτό είναι διαθέσιμο από το κέντρο).
• Ενεργοποιήστε τη χρήση κλήσεων με μοναδιαίο ΡΙΝ (ένα ΡΙΝ ανά άτομο). Στην περίπτωση αυτή, μία δεύτερη, παράλληλη με την πρώτη τηλεφωνική κλήση θα αποκόπτει την πρώτη, ώστε να δημιουργείται πρόσθετο πρόβλημα στους hackers.
• Αυξήστε το χρόνο ring delay (αριθμός κουδουνισμάτων πριν το κέντρο απαντήσει). Πολλά προγράμματα hacking αποκόπτουν την κλήση μετά από τρία κουδουνίσματα του τηλεφώνου και έτσι δυσκολεύετε την εργασία του hacker.
• Τα εγχειρίδια χρήσεως του τηλεφωνικού κέντρου αποτελούν εμπιστευτικό υλικό που πρέπει να τηρείται με ασφάλεια. Η εργασία του hacker είναι ευκολότερη, όταν έχει στα χέρια του τέτοιο υλικό.
• Έστω και αν σας φαίνεται περίεργο, πολλές πληροφορίες αντλούν οι επίδοξοι hackers από τα σκουπίδια της εταιρείας (καταστρέφετε τα εμπιστευτικά έγγραφα, στα οποία ανήκουν και οτιδήποτε αφορά το ΙΤΚ).
• Επικοινωνείτε συχνά με την εταιρεία που σας προμήθευσε το τηλεφωνικό κέντρο και βεβαιωθείτε ότι εγκαθίστανται κανονικά νέες εκδόσεις του λογισμικού του κέντρου, που εξασφαλίζουν την ασφάλειά του. Αναθεωρείτε την πολιτική ασφαλείας του τηλεφωνικού κέντρου σε τακτά χρονικά διαστήματα και ελέγχετε περιπτώσεις κακής εφαρμογής της.
• Αν η εταιρεία σας προσφέρει Free-Phone (800) πρόσβαση (υπηρεσία του ευφυούς δικτύου, Intelligent Network Service), οι hackers μπορεί να τη χρησιμοποιούν για δωρεάν τηλεφωνήματα στο εξωτερικό.
• Απενεργοποιήστε τη δυνατότητα προώθησης κλήσης (call forwarding) στα τηλέφωνα του κέντρου που δεν χρειάζεται να υπάρχει.
• Τηλέφωνα που δεν χρησιμοποιούνται για μεγάλο χρονικό διάστημα, θα πρέπει να απενεργοποιούνται.
• Σιγουρευτείτε ότι ασφαλίσατε τη θύρα (τηλε)συντήρησης του κέντρου (remote maintenance). Σε περίπτωση που ο hacker καταφέρει να παραβιάσει τη θύρα συντήρησης του τηλεφωνικού κέντρου, έχει στη διάθεσή του τη δυνατότητα να κάνει οποιαδήποτε παρέμβαση στο λογισμικό του τηλεφωνικού κέντρου (ακόμη και παρακολούθηση τηλεφώνων ή πλήρη διακοπή εργασίας του κέντρου).
• Μην επιτρέπετε τη σύνδεση καλούντος από εξωτερική γραμμή, με modem του κέντρου, αν δεν επιβεβαιωθεί επαρκώς η ταυτότητά του.
• Αλλάζετε τακτικά το μυστικό κωδικό πρόσβασης (password) για administrating και (τηλε)συντήρηση.
• Χρησιμοποιείτε password, δύσκολα να ανακαλυφθούν κατά τύχη.
• Αν χρησιμοποιείτε RAS (Remote Access Service) υπηρεσία για τηλε-συντήρηση του κέντρου από απόσταση, ενεργο¬ποιήστε την επανάκληση σε προκ¬α¬θορισμένο τηλεφωνικό αριθμό (call back to predefined number ) για πρόσθετη ασφάλεια. Ο τηλεφωνικός αριθμός που χρησιμοποιείτε για τηλεσυντήρηση (remote access) να είναι εκτός του φάσματος αριθμών του τηλεφωνικού κέντρου, ώστε να είναι δύσκολο να ανακαλυφθεί από τους hackers.
• Οι κλήσεις του κέντρου συνήθως καταγράφονται μετά την ολοκλήρωσή τους. Έτσι, κλήσεις μεγάλης διάρκειας (πολλών ωρών ή ημερών) δεν καταγράφονται άμεσα, με αποτέλεσμα o hacker να έχει στη διάθεσή του (με συνεχή κατάληψη) ένα κύκλωμα του τηλεφωνικού κέντρου για μεταπώληση τηλεφωνικών κλήσεων, σε συνεχή βάση. Αν αυτό είναι δυνατό, το λογισμικό του κέντρου θα πρέπει να ενεργοποιεί ένα συναγερμό (alarm), όταν η διάρκεια μιας κλήσης ξεπεράσει ένα προκαθορισμένο όριο (π.χ. 2 ώρες).
• Όταν ένας υπάλληλος φεύγει από την εταιρεία, οι κωδικοί πρόσβασης που κατείχε πρέπει να απενεργοποιούνται αμέσως.
• Διατηρείτε πάντα αρχείο, όπου καταγράφονται όλες οι εργασίες συντήρησης (audit trail for maintenance & administration) και ελέγχετε το αρχείο αυτό σε τακτά χρονικά διαστήματα.

Οι κίνδυνοι στα νέου τύπου ΙΡ Ιδιωτικά Τηλεφωνικά Κέντρα:
Εφόσον τα νέα Full IP ITK δεν παραμετροποιηθούν σωστά, αφήνουν πολλές τρύπες ασφαλείας ανοικτές για επιθέσεις, π.χ. υποκλοπές και ανεξέλεγκτες χρεώσεις. Οι υποκλοπές στα ΙΡ ΙΤΚ και στις επικοινωνίες VoIP γίνονται με τη βοήθεια ειδικού λογισμικού. Σχετικά προγράμματα κυκλοφορούν ελεύθερα (χωρίς κόστος στο διαδίκτυο). Για παράδειγμα, αναφέρουμε το πρόγραμμα VOMIT. Καλό είναι στις περιπτώσεις που χρησιμοποιούνται ΙΡ ΙΤΚ να υπάρχει Firewall από την πλευρά του διαδικτύου και να προστατεύονται οι μονάδες του Κέντρου από επίθεση δικτυοπειρατίας. Αυτό, διότι είναι πιθανή η διείσδυση (hacking) μέσω του διαδικτύου στο ΙΤΚ και στη συνέχεια στο εσωτερικό δίκτυο (στους servers και τους υπολογιστές της εταιρείας ή Οργανισμού, συνδεδεμένους στο INTRANET) με ανυπολόγιστες συνέπειες. Θα πρέπει να τονιστεί ότι σωστά «στημένα» ΙΡ ΙΤΚ, με κατάλληλα μέτρα ασφαλείας (π.χ. με χρήση κρυπτογραφίας – VPN) παρέχουν ασφάλεια μεγαλύτερη από εκείνη των συμβατικών ΙΤΚ. Αυτό, διότι λόγω της χρήσης κρυπτογραφίας, οι συνομιλίες των χρηστών του ΙΡ ΙΤΚ δεν είναι δυνατό να υποκλαπούν με απλή επισύνδεση στην τηλεφωνική γραμμή.

Μιχάλης Μαβής
Μηχανικός Ασφαλείας
Τηλεπικοινωνιακών και Πληροφοριακών Συστημάτων
msec00@gmail.com