============== Page 1/1 ============== Sicherheit bei VoIP - Ein Überblick Christian Louis christian@kuechenserver.org 29. Dezember 2004 Christian Louis Sicherheit bei VoIP Überblick • Grundlagen von IP-Telefonie • Gefahren bei IP-Telefonie • Standards VoIP-Sicherheit • Status Quo • Ausblick 29. Dezember 2004 1 Christian Louis Sicherheit bei VoIP ... zunächst ein paar Worte in eigener Sache • Speaker hat Diplomarbeit über Sicherheit bei VoIP geschrieben • Dipl.-Inform. (FH) Fachrichtung Telekommunikation @ FH Bonn-RheinSieg • LUUSA-Mitgründer und dadurch im Dunstkreis des Netzladens unterwegs • ... bald Hamburger und im IT-Security-Bereich in Lohn und Brot 29. Dezember 2004 2 Christian Louis Sicherheit bei VoIP Grundlagen IP-Telefonie • Kommunikation über IP • Nutzung von UDP und TCP für Signalisierung, UDP für Media • darüber dann unterschiedliche Anwendungsprotokolle 29. Dezember 2004 3 Christian Louis Sicherheit bei VoIP Grundlagen IP-Telefonie • Signalisierung SIP, H.323, IAX... • Mediendaten getrennt • Signalisierung teilweise über Proxies geleitet • Media-Stream direkt 29. Dezember 2004 4 Christian Louis Sicherheit bei VoIP Gefahren bei IP-Telefonie • Vertraulichkeit • Integrität / Authentizität • Anonymität (mehr dazu später) • Verfügbarkeit hier mal nicht betrachtet... 29. Dezember 2004 5 Christian Louis Sicherheit bei VoIP Vertraulichkeit • Meine Gespräche können nicht mitgehört werden • ... auch nicht von meinem Provider oder Strafverfolgungsbehörden • Meine Gesprächspartner können nicht ermittelt werden • ... zumindest nicht von Dritten 29. Dezember 2004 6 Christian Louis Sicherheit bei VoIP Integrität • das, was ich sage, kann nicht verändert werden • die Authentizität des Anrufers wird übermittelt • ... diese kann auch nicht manipuliert werden 29. Dezember 2004 7 Christian Louis Sicherheit bei VoIP Anonymität • Anrufer können meine Identität nicht ermitteln • Verbindungsdaten können nicht ermittelt werden • Das Ziel meiner Anrufe ist nicht herauszufinden • Randbemerkung: rein techologische Sicht, rechtliche Lage hier nicht betrachtet 29. Dezember 2004 8 Christian Louis Sicherheit bei VoIP Angriffe • Pakete können fast überall mitgelesen werden • Informationen werden im Klartext übertragen • im LAN Angriffe über ARP, DHCP.... • Kann man dem Internet vertrauen? • ... keine feste Wegelenkung, abschnittsweise Verantwortung 29. Dezember 2004 9 Christian Louis Sicherheit bei VoIP Angriffsbeispiel • Szenario: LAN, SIP-Client, bspw. Sipgate • per ettercap ARP-Spoofing durchführen • Switch so auch kein Problem • Pakete umleiten und so mitsniffen • Verbindungsinformationen in SIP-Paketen • Gespräch als RTP-Pakete 29. Dezember 2004 10 Christian Louis Sicherheit bei VoIP Angriffsbeispiel • Wir haben nun die Pakete • Ethereal macht die Auswertung automatisch • erkennt RTP-Streams aus Signalisierung • kann Payload .au-kodiert direkt exportieren • ... war das nun schwierig? 29. Dezember 2004 11 Christian Louis Sicherheit bei VoIP Standards VoIP-Sicherheit • Bewährtes: IPSec, VPN allgemein, TLS • Spezielles: SRTP, H.235, Secure SIP • Exotisches: SCCP, Skype 29. Dezember 2004 12 Christian Louis Sicherheit bei VoIP Sicherheitsmaßnahmen im Überblick Application Transport Network SRTP S/MIME TLS IPSec PPTP Link VLAN Physical physikalisch getrennte Netzwerke Maßnahmen nach Nerzwerkschichten 29. Dezember 2004 13 Christian Louis Sicherheit bei VoIP VPN • sternförmige Struktur • Vorab-Konfiguration • daher im Bereich Internet-Telefonie nicht ideal • Ad-Hoc-Aufbau der Verbindung ohne Konfiguration noch nicht Realität 29. Dezember 2004 14 Christian Louis Sicherheit bei VoIP TLS, H.235, Secure SIP • bewährter Standard • bei Zertifikaten und Prüfung relativ sicher • Problem: schafft nur Hop-to-Hop - Verschlüsselung • Ziel: Ende-zu-Ende 29. Dezember 2004 15 Christian Louis Sicherheit bei VoIP SRTP • Verschlüsselung des Media Stream • symmetrisches Verfahren auf Basis von z.B. AES • Austausch des Sitzungsschlüssels • bietet auch Authentizität 29. Dezember 2004 16 Christian Louis Sicherheit bei VoIP S/MIME • SIP spezifiziert Verschlüsselung der Verbindungsinformationen auf Anwendungsebene per S/MIME • Schlüsselaustausch Ende-zu-Ende möglich • In Kombination mit SRTP der Weg der Wahl • PKI - später 29. Dezember 2004 17 Christian Louis Sicherheit bei VoIP SCCP, Skype • Kein Standard • Skype nicht einmal offengelegt • Daher nicht zu akzeptieren, auch wenn Skype fast wie Apple ist • ... es funktioniert einfach“ ” 29. Dezember 2004 18 Christian Louis Sicherheit bei VoIP Status Quo • Hard-/Softphones • Provider • IP-TK-Anlagen 29. Dezember 2004 19 Christian Louis Sicherheit bei VoIP Hard-/Softphones • bei Hardphones nur wenige Produkte: snom, Cisco, Avaya • Softphones: inige freie und kommerzielle Implementationen für SIP, H.323, IAX, SCCP.... • mir nur eine freie Implementation mit Sicherheitsfunktionen bekannt: minisip • Skype unterstützt Verschlüsselung - aber closed source und keine Standards 29. Dezember 2004 20 Christian Louis Sicherheit bei VoIP Provider • alle mir bekannten Provider unterstützen noch keine Sicherheitsfunktionen • TLS und SRTP sollten ASAP implementiert werden • jedoch eigener Entwicklungsaufwand, da Open Source Produkte diese Funktionalität noch nicht bieten 29. Dezember 2004 21 Christian Louis Sicherheit bei VoIP IP-TK-Anlagen • Cisco (Entwickler von SRTP) haben Lösungen im Programm, jedoch eigenen Standard • Asterisk bietet noch keine Unterstützung für SRTP und Co. • Siemens hat H.235 entwickelt • Avaya bietet Support und Standards 29. Dezember 2004 22 Christian Louis Sicherheit bei VoIP Ausblick • PKI im Bereich VoIP • SPIT • Mobilität der Nutzer • Anonymität 29. Dezember 2004 23 Christian Louis Sicherheit bei VoIP PKI bei VoIP • Wer zertifiziert was? • Web of Trust vs. CAs • ggf. Recycling von S/MIME - E-Mail-Zertifikaten • Schlüsselverteilung • ggf. in Verbindung mit ENUM im DNS sinnvoll 29. Dezember 2004 24 Christian Louis Sicherheit bei VoIP Anonymität • Media-Stream meist direkt • daher IP-Adresse des Anrufers herauszufinden • Anonymous Remailer übernehmen? • Echtzeitproblematik • neue Entwicklungen mit Media-Proxies notwendig 29. Dezember 2004 25 Christian Louis Sicherheit bei VoIP Fazit • Es exisiteren brauchbare Lösungen in der Theorie • sowohl Produkte als auch Provider müssen diese nur noch umsetzen • PKI größtes Problem bei der Implementierung • Anonymität noch Forschungsgebiet 29. Dezember 2004 26 Christian Louis Sicherheit bei VoIP Vielen Dank Fragen? 29. Dezember 2004 27