Kommentar: IP-Telefonie
Sicheres SIP-Netzwerk
Mit der richtigen Konfiguration, den passenden Kommunikationsrichtlinien und den optimalen Dienstleistungen lassen sich unsere Telefonate auch in einer IP-Welt absichern.
Zum größten Teil liebe ich meinen Job. Ich liebe es, mich durch Wireshark-Traces zu wühlen und die Stecknadel im Heuhaufen zu suchen. Auch bin ich immer offen, etwas Neues über IP-Kommunikationsprodukte oder neue IP-Protokolle zu lernen.
Der meiste Teil meiner Arbeit findet jedoch nicht im Kabelkanal mit einem Wireshark-Analysator – auf der Suche nach Netzwerkfehlern -, sondern als Helfer der Nutzer von Unified-Communications-Technologien statt. Dabei spielt es keine Rolle, ob ich mich mit einer regionalen Benutzergruppe auseinandersetze, oder ob ich Einzelmeetings mit den Administratoren meiner Kunden habe. Ich liebe es Probleme zu lösen und den Menschen zu helfen, die wenig von der Kommunikationstechnologie verstehen. Immer wieder stolpere ich über das Thema „Unsicherheit von VoIP-Netzwerken“. Für viele Verantwortliche, aber auch Nutzer von VoIP öffnet die Einführung der IP-Telefonie automatisch ein neues Tor in das Unternehmensnetz für Hacker. Die über die Netzwerke übermittelten Sprachinformationen lassen sich mit Hilfe eines Datenanalysators aufzeichnen beziehungsweise abhören. Dies war bei den analogen und digitalen Telefongesprächen nicht anders. Bei der klassischen Telefonie genügte bereits ein einfacher Kopfhörer um ein Gespräch auf der Leitung mithören zu können. Für das Abhören von ISDN benötigte der Mithörer einen ISDN-Analysator.
Zur Absicherung von VoIP müssen die folgenden vier Bereiche berücksichtigt werden:
- Schutz der VoIP- bzw. der SIP-Signalisierung,
- Schutz der unterschiedlichen Medienströme,
- ausreichende Authentisierung der Nutzer und
- Schutz der Netzzugänge in das Unternehmen.
Absichern der SIP-Signalisierung
Das Session-Initiation-Protocol (SIP) dient bei VoIP der Signalisierung der Gespräche und nutzt zwei Nachrichtenarten: den SIP-Requests (Anfragen) oder die SIP-Method (Verfahren). Ein SIP-Gespräch beginnt mit einem INVITE- und endet mit einem BYE-Befehl. Mit Hilfe eines REFER-Pakets wird ein bestehendes Gespräch von einer Partei zu einer anderen Partei übermittelt. Die meisten Nutzer sind überrascht, dass alle SIP-Funktionen mit nur 13 Request-Typen realisiert werden.
Der zweite Nachrichtentyp wird als SIP-RESPONSE (Antwort) bezeichnet. Dabei kann es sich beispielsweise um eine "180 Ringing" Response handeln. Diese wird beim Klingeln des Telefons erzeugt. Die "200 OK" Response wird übermittelt, wenn der Empfänger das klingelnde Telefon abnimmt. Mit Ausnahme des ACK-Verfahrens werden immer eine oder mehrere Antwortnachrichten auf jeden Request übermittelt.
Zum Schutz der SIP Signalisierung müssen diese Pakete verschlüsselt werden. Dieses Verfahren unterscheidet sich nicht von der Verschlüsselung des Web-Verkehrs bei Online-Käufen. Im Falle von Web-Nachrichten erfolgt die Verschlüsselung mit Hilfe des HTTPS- oder des Secure-Hypertext-Transfer-Protocols. Bei SIP bezeichnet man die Verschlüsselung als Transport-Layer-Security (TLS). TLS verschlüsselt die SIP-Requests und SIP-Responses, damit diese nur von Sender und Empfänger der Nachrichten verstanden werden. Die TLS-Sicherungsmechanik ist ziemlich kompliziert und die Verschlüsselung wird im Wesentlichen mit Hilfe öffentlicher und privater Zertifikate erreicht. Alle Daten die mit einem öffentlichen Zertifikat verschlüsselt wurden, können nur mit ihrem privaten Zertifikat entschlüsselt werden.
In der SIP-Welt wird der Medienstrom – also die Sprachinformation mit dem so genannten Real-Time-Protocol (RTP) übermittelt. Je nach verwendeten Codec (G.711, G.729, G.722) werden die analogen Sprachinformation entsprechend digitalisiert, verpackt und auf die Reise geschickt. Das RTP hat die Aufgabe, die Sprachdaten vom Sender zum Empfänger zu übermitteln. Sollen die zu übertragenden Sprachinformation gesichert werden, schützt diese das RTP durch eine entsprechende Verschlüsselung. Dieser Mechanismus ist als Secure-Real-Time-Protocol (SRTP) bekannt. Ohne den entsprechenden Schlüssel lassen sich auf die im SRTP übermittelten Sprachinformationen von niemanden zugreifen und nicht wiedergegeben.
Darüber hinaus ist sicherzustellen, dass SIP-Daten nicht gefälscht werden können. Nur weil ich in einer SIP-Nachricht behaupte, dass ich Mathias Hein bin, garantiert dies jedoch nicht automatisch, dass es sich um eine von meiner Person übermittelten Message handelt. Ich muss dies bei Bedarf auch beweisen können. Fester Bestandteil von SIP ist die Fähigkeit die empfangenen Nachrichten überprüfen zu können. Eine Challenge zwingt den Absender dazu, dass dieser seine verschlüsselten Anmeldeinformationen zurück gibt. Wird diese Information mit einer Nutzerdatenbank (beispielsweise Active-Directory) abgeglichen, lässt sich die Authentizität der Anmeldeinformationen überprüfen. Dies verhindert, dass ein falscher Nutzer den SIP-Mechanismus missbraucht und sich als autorisierter Benutzer über das Netzwerk auf die Kommunikationsressourcen des Unternehmens zugreifen kann.
- Sicheres SIP-Netzwerk
- Session-Border-Controller
Lesen Sie mehr zum Thema
