Migration
Das Kernelement für die sichere Telefonie
Sicher von ISDN zu VoIP migrieren mittels Session Border Controller.
Mit der Überführung ehemaliger ISDN- in All-IP-Anschlüsse reihen sich multimediale und zugehörige Signalisierungsdaten neben dem generellen Datenverkehr in die Riege IP-basierter Anwendungen ein. Dies bringt verschiedene neue Anforderungen an die Netzwerkinfrastruktur mit sich: Neben einem VoIP-fähigen Router, der den Annex-J-Standard unterstützt, und dem Vorhandensein geeigneter Quality-of-Service-Mechanismen, sollte zwingend die Netzwerksicherheit überprüft werden. Zur Absicherung von IP-Netzwerken ist dabei eine Firewall – integriert in den Router oder als separate Netzwerkkomponente – essenziell. Diese schützt das Netzwerk vor unbefugtem Zugriff, überwacht den durchlaufenden Verkehr und entscheidet regelbasierend, ob bestimmte Datenpakete durchgelassen werden.
Allerdings sind Firewalls nicht in der Lage, mit SIP-basierten Sprachpaketen (Voice over IP) geeignet umzugehen, da diese die benutzten Ports dynamisch aushandeln und in der Payload übermitteln. Einfach alle Ports für VoIP und Multimedia-Anwendungen „per se“ zu öffnen, ist keine gute Idee, da alle VoIP-Endgeräte als mit der Außenwelt verbundene „Mini-Rechner“ vollständigen Zugang zum Firmennetz bieten, oder aber – entsprechend manipuliert – leicht zum Abhören oder Mitschneiden von Gesprächen, beispielsweise durch ein von außen gesteuertes Aktivieren der Mikrofone, missbraucht werden können.Um dieser potenziellen Schwachstelle entgegenzuwirken, ist eine sichere Trennung des (unsicheren) externen Netzes vom (sicheren) internen Netz zu gewährleis-ten. Diese Aufgabe erfüllt ein Session Border Controller.
Funktionsweise
Wie der Name „Session Border Controller“ (SBC) impliziert, kontrolliert er an der Netzwerkgrenze („Border“) den Auf- und Abbau sogenannter Sitzungen („Sessions“). Anders als eine Firewall ist ein SBC in der Lage, an der Netzwerkgrenze Echtzeit-SIP-Kommunikation im Bereich der Signalisierungsdaten (Control Plane) und der Sprach- beziehungsweise Mediadaten (Data Plane) zu untersuchen, zu kontrollieren und zu steuern. Er steuert den Aufbau, die Durchführung und den Abbau von Telefonaten und die dazugehörigen Datenströme bezüglich Signalisierung und Mediendaten wie Sprache oder Video.
Als Proxy für SIP-Kommunikation terminiert ein SBC zunächst jede Session, also beispielsweise einen extern eingehenden Anruf, und setzt anschließend eine neue Session für das interne Gespräch auf. Bei diesem Vorgang werden Signalisierungsdaten und Media Streams untersucht, validiert und gegebenenfalls transformiert. Dabei kommen die Vorteile eines SBCs in den Bereichen Sicherheit und Qualität zum Tragen (siehe auch Abbildung oben). Im SBC eingehende und ausgehende Sessions werden terminiert und auf Layer-5-Ebene (SIP) des OSI-Schichtenmodells überprüft. Nur bekannte und unterstütze Steuerungsbefehle werden weitergeleitet. Dabei bietet der SBC als Applikations-Firewall Zugangsschutz für Sprache, Video und Multimedia. Er überwacht erlaubte Sessions und versteckt ihren topologischen Ursprung, wie beispielsweise interne IP-Adressen von Servern und Telefonen.
Darüber hinaus schützt der SBC die Vertraulichkeit von Echtzeit-Sprachdaten gegen Abhören, Mitschneiden und Man-in-the-Middle-Attacken durch die optionale Verschlüsselung und über Prüfsummen (Secure Real-Time Transport Protocol, SRTP), sofern die Gegenstelle – beispielsweise ein SBC auf Providerseite – die so verschlüsselten Pakete wieder entschlüsseln kann. Ebenso werden ausgehende Signalisierungsdaten über TLS verschlüsselt (Session Initiation Protocol Secure, SIPS) und bei Eingang entsprechend entschlüsselt.
- Das Kernelement für die sichere Telefonie
- Qualität
- Eindeutige BSI-Empfehlung
Lesen Sie mehr zum Thema
