Segurança das ligações telefônicas usando Internet

A HDDLAB Brazil é uma empresa que trabalha na área de segurança de dados, e vem fazendo isso desde os anos 80 (precisamente 1987), a preocupação com a segurança faz parte de nosso dia a dia, em um primeiro momento a simples recuperação de um arquivo digital deletado por engano e na evolução do conhecimento (após quase 30 anos) avançamos para a investigação Digital área conhecida com Digital Forensic Research.

Nos dias atuais o VOIP não esta em alta mas seu uso sim, as chamadas Whatsapp são chamadas usando a tecnologia VOIP.

O artigo que aqui transcrevo, não foi escrito por mim e sim por um especialista em VOIP chamado Cesar Romani da 3CX (pelo menos a época em que escreveu o mesmo ele estava na empresa) e foi publicado no site Imasters em 30 de outubro de 2006.

VOIP, a explosão sem precaução - Parte 2 (O Ataque)

A tecnologia VoIP não conta muito com a segurança, salvos algumas novas soluções no mercado, mas até ontem não existia segurança alguma para fazer chamadas por VoIP.
Gostaria de apresentar uma técnica onde consigo interceptar uma chamada VoIP através de um switch.

Quero deixar claro que não tenho nada contra a tecnologia VoIP, muito pelo contrário, sou um usuário frequente, mas que com olhos abertos aprecio a tecnologia ao mesmo tempo em que consolido a segurança e a beleza de seu funcionamento perfeito.

Os Softwares para análise de tráfego, softwares para captura entre outros, são distribuídos livremente. O software que utilizo na demonstração, no caso, é free.

Não divulgarei o nome do software utilizado por motivos de segurança, uma vez que não desejo que este artigo seja utilizado para fins maléficos, e não tenho a intenção de ensinar, ou mesmo dar aquela “receita de bolo” para aqueles “anarquistas de plantão”. Caso queira conhecer, pode entrar em contato comigo e me relatar duvidas e ou sugestões. Entretanto, o software está disponível na web livremente, mas sugiro que entenda mais sobre tecnologia VoIP e Segurança, antes de qualquer coisa.

Dúvidas sobre quais bibliografias seguir, ou mesmo documentações, entre em contato comigo.
Muito bem, para efeitos de demonstração, construí um Lab utilizando duas Máquinas (Máquina real e uma Máquina Virtual), um softphone** e um IAD Voip**

Em minha máquina real estão instaladas as ferramentas como Sniffers e o Softphone, além, é claro, do Servidor da Máquina Virtual.

Na máquina virtual está instalado um sistema Operacional Linux, mais precisamente uma Distribuição Debian-Sarge com um Servidor SIP**, onde estão registrados os usuários do meu IAD e do Softphone.

Para colocar de forma mais explícita, seguem as configurações das máquinas e softs utilizados:

Máquina Real (chamaremos de SoftPhone):
IP: 10.1.2.53
Usuário no Servidor SIP: 1000
Servidor SIP:IP: 10.1.2.107
IAD Voip:IP: 10.1.2.49
Usuário no Servidor SIP: 1001
Gateway da rede:IP: 10.1.2.252

Temos a seguinte topologia:
Todos os Equipamentos estão ligados a um switch, sim um switch, este software é capaz sim de capturar trafego mesmo estando conectados a um switch.
Abaixo, temos uma primeira tela do software, onde vasculhamos nossa rede com o intuito de descobrir todos os equipamentos disponíveis no range de ip da rede.



Agora, sabemos quais equipamentos temos conectados em nossa rede 10.1.2.0, e só precisamos filtrar aqueles que nos interessam. Observe que há uma Descrição, na verdade, uma identificação do equipamento, através dele é que vamos saber quais os dispositivos que vamos utilizar em nossa captura.
Depois de identificar o equipamento, o qual queremos colher as informações, em nosso caso, queremos capturar tudo que passa pelo servidor SIP (10.1.2.107), na verdade não precisamos de mais nenhum.



A técnica utilizada se chama ARP Poisoning (Envenenamento da tabela ARP), isto ocorre quando escolhemos um dispositivo da rede e enganamos passando por outro dispositivo. No caso do gateway, todas as informações que devem passar por ele, os dispositivos encaminham informações para a minha máquina, onde ela capta e, em seguida, encaminha para o verdadeiro destino.

Em nosso caso, vamos nos passar pelo Servidor SIP, assim, todas as chamadas irão passar pela minha máquina onde vamos capturar as chamadas, como vemos a seguir:



Na figura acima, a demonstração de uma chamada sendo feita através de um softphone para o IAD. A Seguir, a conexão é estabelecida, utilizando o codec de áudio G711u:



Neste momento, a conexão foi estabelecida e já há trafego de voz, observe na figura a seguir que o software está capturando o trafego de voz entre dois hosts 53 e 49, no momento em que grava o mesmo.



Por final, quando uma das pontas desliga o telefone, os equipamentos enviam uma mensagem do tipo (BYE, desconectando), e o software entende que não está passando mais áudio no canal, assim o software termina a gravação identificando o canal de Áudio RTP, salvando o mesmo com uma extensão WAV, pronto para ouvir.




Caso haja duvidas em relação à veracidade deste artigo, me coloco a disposição para atendimento.
Esta técnica foi utilizada em um Lab, onde o Servidor SIP foi instalado com os requisitos mínimos e sem a utilização de qualquer tipo de criptografia, túneis vpn, etc.
Mas podemos comprovar que apenas pelo fato de os equipamentos estarem em um switch e não mais em Hubs, como antigamente, sua rede não está segura de ataques conhecidos como Man-in-the-middle (Arp poison).

Espero que, com esta matéria, profissionais da área de redes, e, principalmente, profissionais na área de implantação de sistemas Voip, analisem profundamente o cenário e os procedimentos básicos de segurança, pois a redução de custo do Voip em relação ao desastre que pode ocorrer com informações claras expostas na rede acaba saindo mais caro, muito mais caro.

Autor e copyright: CESAR ROMANI (30 de outubro de 2006)
Os artigos pulicados na Internet normalmente possuem o copyright licenciado sob uma Licença Creative Commons com base nesse preceito estamos republicando o artigo.

DGO – Diretor de Operações Gerais

"Uma empresa não se define pelo seu nome,
estatuto ou produto que faz; ela se define pela sua missão.
Somente uma definição clara da missão é razão
de existir da organização e torna possíveis,
claros e realistas os objetivos da empresa.” Peter Drucker



O DGO é o profissional responsável pela Gerência de operações (ou administração da produção de bens e serviços) de uma organização. Exerce responsabilidade particular de administrar algum ou todos os recursos envolvidos pela função produção (reunião de recursos destinados à produção de bens e serviços) da organização.
Uma organização é uma combinação intencional de pessoas e de tecnologias para atingir um determinado objetivo. Toda empresa é uma organização.

Organização é o modo em que se organiza um sistema, segundo a conhecida sigla usada em administração, POCCC (Planejar, Organizar, Controlar, Coordenar e Comandar), atribuída a Fayol, é do planejamento (o "P" da sigla), que se atinge à organização (o "O", da sigla) e a desenvolve pelas diversas categorias de "Com - mando" , segundo Fayol, facilitando, dessa forma, pela consecução dos diversos objetivos dessa organização, o alcance final de um objetivo fim, que é o cerne de uma organização.

A estrutura de uma organização é representada através do seu organograma, fluxograma e Contabilidade. Em Administração, organização tem sempre e necessariamente dois sentidos:
- Combinação de esforços individuais (trabalho em equipe) que tem por finalidade realizar propósitos coletivos.
- Modo como será estruturado, dividido e sequenciado o trabalho. Este trabalho deverá ser um conjunto determinado de procedimentos necessários, que serão divididos e sequenciados para a realização das tarefas próprias de um trabalho.

Quais os tipos de Organização mais comuns: Em conceitos modernos uma abordagem rápida pode-se dizer que existem três tipos tradicionais básicos de estrutura organizacional: a organização linear, a organização funcional e a organização linha-staff.

A Administração da Produção ou Administração de operações é a função administrativa responsável pelo estudo e pelo desenvolvimento de técnicas de gestão da produção de bens e serviços. Segundo Slack (1996, p.34) a produção é a função central das organizações já que é aquela que vai se incumbir de alcançar o objetivo principal da empresa definido em sua missão, ou seja, sua razão de existir.

A Administração de Operações em organizações de prestação de serviços se preocupa principalmente com os seguintes assuntos:
Estratégia dos serviços as diversas formas de organizar os serviços para atender a demanda e ser competitivo.
Projeto de produtos e serviços: criação e melhora de produtos e serviços.
Criação de Sistemas de serviços: arranjar fisicamente e criar fluxos de serviços produtivos.
Arranjos de serviços produtivos: produção de serviços específicos, produção de serviços em face de demanda e produção de serviços enxuta.
Ergonomia.
Estudo de tempos e movimento.
Planejamento dos serviços: estudo e planejamento de capacidade, agregado, plano mestre de produção de serviços e sequenciamento.
Planejamento e controle de projetos com vistas a aumento de eficiência e diminuição de custos.

As responsabilidades diretas inerentes ao cargo de DGO:

O DGO deve procurar entender a razão dos objetivos estratégicos dos serviços prestados, definir onde sua interferência se situa no contexto da organização em questão, obter conhecimento de objetivos relativos ao desempenho dos serviços com base na qualidade, confiabilidade, velocidade, flexibilidade e custos.

Faz parte da função de DGO definir uma estratégia para execução dos serviços prestados pela Organização em questão. Essa estratégia devera necessariamente estar em consonância com a estratégia global da organização, preservando as pressões que a organização sofre a partir do entendimento dos pretensos e possíveis usuários.

É obrigação da função montar um projeto organizacional dos serviços prestados pela organização e dos que irão ou deverão advir em futuro. Neste composto estão as definições do como serão prestados os serviços e quais serão os processos e procedimentos envolvidos ou a serem incorporados.

Um PCS (Planejamento e Controle dos Serviços), neste quesito o DGO deverá estar com objetivos bem definidos para poder de forma racional colaborar na melhor aplicação dos recursos disponíveis e dessa forma estar preservando a execução de forma integral do que foi planejado para o período definido no planejamento, podendo ou ser temporal ou atemporal as definições e o planejamento face a especificidade dos serviços prestados.

Um estudo de viabilidade de inserção da organização em um programa para obtenção das certificações necessárias a uma Gestão de Qualidade passando pelos ISOs necessários, esta deve ser uma proposição com vistas a melhoria da eficiência, aumento da capacidade de atendimento e execução dos serviços, com diminuição sistemática de custos.

Toda organização nos dias de hoje tem uma obrigação comum (dentre outras), no destaque a Proteção Ambiental (Certificação Gestão Ambiental - ISO 14001), cabe ao DGO fazer um estudo do contexto em que os serviços prestados pela organização estão inseridos e enquadrar a organização dentro das normas e padrões técnicos necessários para estar em consonância com o tema.

Planejamento de Marketing, a partir dos objetivos da organização e estudos de necessidades e exigências do mercado a ser atendido, neste ponto tem-se a minimização do impacto das restrições e capacitações dos serviços a serem prestados.

Analise das informações que devem ser fornecidas pela área contábil financeira, para planejamento dos recursos e planejamento de projetos para busca e obtenção de novas fontes de recursos.

Estudo sistemático das tecnologias envolvidas nos processos tanto processos de execução quanto os administrativos para buscar na área de TI novas soluções e incrementá-las aos de sucesso já implantados e ou em fase de implantação.

Todo trabalho em qualquer organização seja ele de qual área for passa pela coesão da equipe de trabalho, por isso o DGO deve estar em sintonia diária com o RH da organização, procurando através das informações obtidas colaborar na obtenção de desenvolvimento e novos treinamentos para o ininterrupto processo de aperfeiçoamento dos trabalhos e serviços prestados.

Como toda a área profissional o DGO necessita de algumas certificações, entre as necessárias destaco a certificação PMP-PMI (que estou fazendo ha algum tempo, uma vez que é uma certificação para gerenciamento de projetos em geral), outra certificação interessante, mas infelizmente não temos no Brasil é o Certified in Production and Inventory Management, que pode ser obtido em entidade dos EUA.

“O problema fundamental das empresas atualmente é o fato de não distinguirem entre planejar e "estrategizar". Planejar tem que ver com programar, não com descobrir. Planejar é para tecnocratas, não para sonhadores. Dar aos planejadores a responsabilidade de criar a estratégia é como pedir a um pedreiro que crie a Pietà de Michelangelo”. Gary Hamel


Recentemente, fui gentilmente convidado a participar de uma oportunidade de trabalho em um Hospital, o cargo era de DGO (não obtive exito mas a experiencia me ajudou sobremaneira), para saber quais seriam as funções e obrigações fiz na oportunidade uma pesquisa e publico-a para que possa ajudar outras pessoas.

Como ter um endereço IP virtual no seu computador sem usar VPN ou Proxies

Isto é algo que eu quis fazer o teste para poder provar a mim mesmo que funciona. Se você é uma dessas pessoas que esta procurando privacidade quando usa internet, navegando ou mesmo fazendo downloads através do uso de redes privadas - VPN - ou mesmo usando proxy ou proxies servers, não importa qual a razão que o leva a fazer esta procura,  este artigo esta sendo escrito para você, leia-o com atenção.

Usando um servidor de Proxy (uma explicação mais detalhada sobre proxy você pode encontrar aqui neste link) ou uma rede virtual privada (você poderá ter mais informações sobre rede virtual privada -VPN- aqui no Blog em dois artigos - VPN porque navegar, com segurança, é preciso e Como deixar qualquer VPN mais segura) estes serviços podem esconder sua identidade e seu real endereço (IP) quando você estiver se conectando a Internet, estes serviços irão prover a você um novo mas falso endereço de IP mostrando que você esta com uma conexão com endereço de outro país, como por exemplo um usuário de São Paulo vai ter alocado em seu computador um endereço IP  de uma cidade dos Estados Unidos.

Um endereço IP que é conhecido como Internet Protocol Adress ou Adresses nada mais é do que um\ numero único que é atribuído a um dispositivo tipo um computador, um notebook ou um smartfone que permite o acesso a internet ou ate mesmo a uma Intranet ou uma rede pessoal, estes números são normalmente quatro sequencias de três números separados por pontos por exemplo 127.0.255.1.

Voltando ao nosso ponto sobre o uso de uma VPN ou de um Proxy é possível para qualquer usuário ter um endereço IP virtual em seu dispositivo - computador e outro - sem ter que fazer download de um software ou mesmo comprar um serviço VPN ou de um Proxy Server.

Eu encontrei uma forma de ter um endereço virtual sem ter que lançar mão de serviços, ao fazer uma pesquisa na Internet para ter acesso a um fórum espanhol que esta com problemas com a justiça espanhola. Foi muito simples a troca de meu IP brasileiro por um IP internacional e foi interessante da mesma forma que nós chegamos a um interruptor e ligamos uma lâmpada, não sabemos o que ou mesmo como acontece, mas a lâmpada acende.

Ao ter alguns problemas com meu navegador nativo do Windows, o Internet Explorer,  passei a fazer pesquisas para trocar de navegador e em minha primeira impressão entendi que o Mozilla Firefox seria a melhor opção para substituir o meu navegador, passados alguns meses e passei a ter problemas semelhantes aos anteriores usando o Firefox, isso me forçou a fazer uma nova investida na Internet buscando uma solução para os problemas que retornaram. Nessa minha busca me deparei com o Opera um browser open source que tem algumas propostas bem interessantes, como é de meu hábito antes de começar a usa-lo busquei algumas informações e alguns tutoriais sobre o Opera, nessa minha investida me deparei com um artigo se referindo a uma função do Opera para aumentar a velocidade de navegação para as pessoas que possuem uma internet com baixa velocidade esta é uma função interna do Opera conhecida como Opera Turbo, nada mais sendo do que um Proxy interno do Opera que muda seu IP e lhe permite uma navegação incógnita.

Explicando melhor, o Opera Turbo é um serviço 100% gratuito que foi desenhado para aumentar a velocidade de navegação e também de download do Opera browser. Em um primeiro momento o serviço visava o usuário que tinha uma conecção de internet do tipo discada e usando o serviço este usuário passa a ter a mesma performance que um usuário com uma conecção "broadband", fazendo com que a navegação se tornasse muito boa. Como esse processo funciona? O Opera Turbo usa um servidor proxy que comprime os dados recebidos através da rede em até 80% e mantem a qualidade dos dados igual a de uma conecção sem o serviço.
Qual é a diferença entre o Opera Turbo proxy e outros serviços VPN e ou proxies? A diferença é muito simples o Opera Turbo não requer a adição de nenhum serviço ou programa ou qualquer outra ação para seu funcionamento e não usa a função frame para sua navegação. Como ativar o serviço? Muito simples,  você faz o download e a instalação do Opera Browser e apos instalar o browser entre na opção de configuração do browser e selecione a opção Turbo, o que ira acontecer após isso é que você passara a navegar em modo proxy o que significa que um novo endereço Ip será atribuído a você sem mais nada a ser feito.

Observe a foto abaixo para saber como colocar o browser Opera em modo turbo.

VPN PPTP como instalar e configurar

VPN ancônimo inglês de Virtual Private Network em português:  rede virtual privada. PPT (Point-to-Point Tunneling Protocol) é o protocolo de Tunelamento Ponto-a-Ponto usado para implementação de uma rede virtual privada - VPN.

O protocolo PPT tem um limite de encriptação de 128 bits isso significa que para os padrões atuais ele tem um baixo nivel de segurança, por outro lado ele possui implementações de vários níveis de autenticação o que em tese aumenta o seu nível de segurança. Todos os protocolos possuem um RFC - acrónimo em inglês de Request for Comments ou "pedido para comentários" em português. Os RFCs são documentos técnicos desenvolvidos e mantidos pelo IETF (Internet Enginnering Task Force), instituição que especifica os padrões que serão implementados e utilizados em toda a internet. A especificação PPT tem o RFC 2637 (https://tools.ietf.org/html/rfc2637) e foi publicado pela primeira vez em 1999.

Instruções para instalar e configurar o serviço Super VPN em um Smartfone Android.

Antes de instalar e configurar você irá precisar verificar a versão de do Android de seu Smartfone que para funcionar com essa configuração deverá ser superior a versão 3.0 do Android. Não é necessário fazer root em seu Smartfone.

Como instalar o VPN PPT

1. Vá ate “Settings” na parte de configuração de seu smartfone, e selecione “Wireless Controls”.
   Selecione “VPN settings”
2. Selecione “Add VPN”
3. Selecione “Add PPTP VPN”
4. Coloque um nome para sua “VPN” podendo ser, se você gostar, (mas não será necessário ser)
5.  SuperVPN, e coloque em servidor VPN “mobile.supervpn.net“. Ao termino salve suas configurações.

Como usar uma  VPN-PPTP pessoal em seu smartfone Android.

1. Vá para o “Settings” (configurações) no seu smartfone, e selecione “Wireless Controls”.
2.  Selecione “VPN settings”
3. Conecte a network VPN que você acabou de configurar (seguindo os passos acima)
4. Coloque seu username e sua  password, depois click “Connect”
5. Ao aparecer um ícone com uma pequena chave no lado esquerdo de sua barra de notificação, seu smartfone estará conectado a VPN.

Iremos fazer mais alguns posts em Portugues para que fique melhor para a compreensão de todos "end user"

For people that do not read Portuguese here is the same explanation in English.

How to Set Up personal VPN-PPTP

1. Go to “Settings” on your mobile phone, and select “Wireless Controls”
2. Select “VPN settings”
3. Select “Add VPN”
4. Select “Add PPTP VPN”
5. Set a “VPN name” as you like (not necessarily to be SuperVPN), and Set VPN server as “mobile.supervpn.net“. Then save the setting.

How to use personal VPN-PPTP on your android phone

1. Go to “Settings” on your mobile phone, and select “Wireless Controls”
2. Select “VPN settings”
3. Connect to the VPN network you just set up
4. Key in your username and password, then click “Connect”
5. Once there is a small key-like icon on the left side of your notification bar, your phone is connected to the VPN.

Simpletv multi player para áudio e vídeo

Simpletv é uma aplicação para reprodução de hiperlink com protocolo RTMP (Real Time Messaging Protocol). O RTMP é usado para transmitir dados de áudio e vídeo através da Internet usando Flash Player e um servidor.

O Simpletv abre arquivos de áudio e vídeo do tipo:mp3, mp4, m3u8, m3u entre outros. O programa é um open-source freeware.

SimpleTV

- Versão: 0.4.8 b9 (2.2.1).
- Desenvolvedor: SergeyVS
- Site do desenvolvedor: iptv.gen12.net
- Versão Simpletv Pro.
- Idiomas: Inglês, português, espanhol e russo
- Licencia: Freeware.
- Requisitos do sistema: Windows XP SP2, Windows 7, 8, 8.1, 10.

Para computadores com Windows XP Sp2 ou Sp3 instalado, os adicionais exigidos para funcionamento do programa são:

* Net Framework 4.0
* Windows Installer 3.1 Redistributable v2               

* DirectX End-User Runtime Web Installer                

* Microsoft Visual C++ 2008 Redistributable

* Codec que estar instalados (ex: http://www.codecguide.com/).

* Acestream Player também é bom ter a ultima versão.

Para computadores com Windows 7, Windows 8 y Windows 8.1 instalado, os adicionais exigidos para funcionamento do programa são:
* Net framework 4.6 New
* Net framework 4.5.3
* Microsoft Visual C++ 2008 Redistributable
* Codec que estar instalados (ex: http://www.codecguide.com/.
* Acestream Player também é bom ter a ultima versão.

OBS: Acestream.
Acestream é uma aplicação que faz stream de vídeo e áudio e se utiliza do sistema ponto a ponto (P2P) para 
permitir que se veja e ouça stream de áudio e vídeo em alta qualidade. 

Para que se possa ver e ouvir áudios e vídeos que se utilizam do sistema de stream P2P temos que instalar o programa Acestream ultima versão.
(http://dl.acestream.org/products/acestream-full/win/latest).

Algumas funcionalidades do programa.
É possível agendar gravações.

Grave até oito canais simultaneamente, gravação programada; PiP e Multi PiP;

O programa é gratuito e pode ser encontrado no endereço abaixo. Não precisa de instalação, essa versão é tipo portátil, você só precisa descomprimi-la no seu hard disk e estará pronta para ser usada.
SimpleTv versão 048b9_vlc221 : http://www.mediafire.com/download/hcg56j55osg8aod/simpleTV_048b9_vlc221.7z

OBS: Mantenha em seu Windows a ultima versão de Codecs.   Para download use esse link: http://www.codecguide.com/download_kl.htm