Sokaknak bizonyára megéri azzal szórakozni, hogy Asterisk rendszereket törjenek fel brute force módszerrel, amivel elvileg ingyenes hívási lehetőséghez juthat.

Hogyan is történik mindez?
Egyszer csak ilyen bejegyzéseket találunk a logban:

[Jun 30 12:35:50] NOTICE[1473] chan_sip.c: Registration from '"123"' failed for '89.28.201.149' - No matching peer found
[Jun 30 12:35:50] NOTICE[1473] chan_sip.c: Registration from '"1234"' failed for '89.28.201.149' - No matching peer found
[Jun 30 12:35:50] NOTICE[1473] chan_sip.c: Registration from '"12345"' failed for '89.28.201.149' - No matching peer found
[Jun 30 12:35:50] NOTICE[1473] chan_sip.c: Registration from '"123456"' failed for '89.28.201.149' - No matching peer found

A kedves script kiddie egy programmal először megnézi, hogy milyen felhasználóneveink vannak az Asteriskünkön. Ha az éppen próbált felhasználónév nem létezik, No matching peer found hibaüzenetet kap. Ha létezik, a hibaüzenet Wrong password.
A mi esetünkben pár jellemző felhasználónév után a támadó megpróbálja végignézni a felhasználókat 1-től 10000-ig. Ebből nagy eséllyel megtudhatja a felhasználóneveinket.
Ezt követően megpróbál különböző jelszavakkal és a már megtalált felhasználónevekkel belépni, esetünkben sikertelenül. Öt megtalált felhasználó esetén egy ilyen támadás körülbelül 20 percig tart.

A megoldás
Több hagyományos és vicces megoldás is terítéken van az ilyen esetek leküzdésére.

1. Erős jelszó
Ne használjunk gyenge jelszavakat, egy 10-15 karakteres véletlenszerűen előállított jelszó biztosan jó lesz.

2. Állítsuk be rendesen a tűzfalat
Ezzel könnyen megakadályozhatjuk a hasonló, brute force támadásokat más szolgáltatások esetében is.

3. Tegyünk be egy egymásodperces késleltetést a jelszó ellenőrzésénél
Így a támadó nyugdíjas koráig is várhat, mire minden jelszóvariációt végigpróbál. Addig mi nyugodtan odasétálhatunk (pl. Kínába) és kitekerhetjük a nyakát.
IAX esetén a delayreject=yes paraméter segít nekünk ebben.

4. Ne mondjuk meg a támadónak, hogy milyen felhasználóink vannak
SIP esetén használjuk az alwaysauthreject=yes paramétert, és minden esetben Unauthorized hibaüzenetet kap, ha nem stimmel a felhasználónév-jelszó páros.

Nyilván szivathatjuk más módon is a támadót, ötletekben nincs hiány. A lényeg azonban minden esetben az erős jelszó.