Administro uma rede na qual existem telefones VOIP. Alguns são antigos Aastra 67xxi . Eles possuem uma interface web integrada para administração. Os telefones estão em uma rede Ethernet fisicamente separada da rede interna e atrás do NAT de uma caixa de fibra dedicada. Espero que isso me deixe relativamente protegido contra ataques externos.
No entanto, qualquer pessoa com acesso físico ao telefone (ou que conecte um PC a um navegador nessa rede, inclusive no conector Ethernet auxiliar do telefone) e saiba a senha de administrador do telefone, pode acessar a interface de administração do telefone. A partir daí, eles podem bagunçar muito as coisas e, teoricamente, podem fazer com que o telefone baixe firmware não autorizado, utilizável para qualquer finalidade nefasta (uma ameaça persistente avançada).
Estou tentando fazer o que é sensato: altere a senha do administrador para algo mais seguro que o padrão 22222 para bloquear ataques remotos†. O único problema é que não consigo encontrar nenhum menu para isso, nem no próprio telefone nem na interface web do administrador remoto. Posso alterar a senha do usuário, não a senha do administrador.
Alguém sabe como a senha do administrador é alterada nos telefones VOIP Aastra 67xxi?
† Isso apenas complica o ataque de alguém com acesso físico ao telefone: eles ainda podem retornar o telefone aos padrões de fábrica para contornar a senha do administrador. E, a menos que modifiquem o firmware sutilmente, um administrador remoto terá a chance de detectar que a senha foi alterada.
A senha dos telefones VOIP Aastra 67xxi é alterada quando o telefone analisa o arquivo aastra.cfg e encontra uma linha como
Esse arquivo aastra.cfg (cujo nome parece codificado) é obtido na redefinição no servidor TFTP, FTP, HTTP ou HTTPS que está configurado na página Configurações avançadas de configuração do servidor da interface da web integrada no telefone.
Infelizmente, parece que se o arquivo aastra.cfg não tiver um
admin password, a senha retornará ao padrão. Portanto, a senha do administrador deve ser exposta de forma clara no arquivo aastra.cfg quando estiver acessível. Esta é uma lacuna de segurança, se você perguntar.Esta informação foi útil.