Kaum waren die ersten VoIP-Netze in Betrieb, standen die Hacker bereit, um diese neuen Netzressourcen zu knacken und für ihre Zwecke zu nutzen. IT-Verantwortliche stehen heute vor der Frage, wie sie ihr Netzwerk und vor allem die wichtigen VoIP-Komponenten schützen können.

Die Sprach- und Videoressourcen sind den gleichen Attacken durch Viren, Würmer, Trojaner und Hacker wie die Daten ausgesetzt.

In den vergangenen Jahren entwickelte sich die IP-Telefontechnik von einer Technologie-Idee zu einem der wichtigsten Standards für die Zukunft der Kommunikation. Selbst die traditionellen Telefonanbieter bewegen sich in immer schnellerem Tempo weg von ihrem angestammten Terrain. Daneben drängen auch im Anbietermarkt alternative Telefonanbieter in den Markt. Diese nutzen die VoIP-Technologie, um über den Preis und die Leistung möglichst viele Endkunden – Consumer wie Geschäftskunden – an sich zu binden. Auch die klassischen Anbieter von Telefonanlagen bauen ihr Produktportfolio drastisch um und bieten fast nur noch VoIP-Produkte an.

Die Anfänge von VoIP wurden mehr durch das Marketing als durch verfügbare Technologie angetrieben. Die traditionellen Telefonunternehmen argumentierten gegen den VoIP-Ansatz mit fehlenden Standards und vor allem mit der zu geringen Verfügbarkeit beziehungsweise Zuverlässigkeit der Netzwerkprodukte. Inzwischen stehen die richtigen LAN-Switches zur Verfügung und technische Problembereiche wie Echos, Verzögerungen, Paketverluste und Jitter gehören durch ein ordentliches Netzdesign und durch die Integration von QoS-Funktionen der Vergangenheit an.

In diesen konvergenten Netzen werden zur Übermittlung von Sprache, Daten und Videos die gleichen Server, Router, Switches, Applikationen, Directory-Dienste und Protokolle genutzt. Die klassische Trennung zwischen den Sprach- und Datennetzen ist aufgehoben. Daher sind die Sprach- und Videoressourcen auch den gleichen Attacken durch Viren, Würmer, Trojaner und Hacker

wie die Daten ausgesetzt. Bei den VoIP-Bedrohungen geht es in erster Linie um folgende Problembereiche:

• Abhören der Sprachinformationen,

• Unsicherheit der Betriebssysteme, Anwendungen und Server sowie

• Angriffe auf Netzzugänge.

Abhören der Sprachinformationen

Die über die Netzwerke übermittelten Sprachinformationen lassen sich mit Hilfe eines Sniffers aufzeichnen beziehungsweise abhören. Dies war bei den analogen und digitalen Telefongesprächen nicht anders. Bei der klassischen Telefonie genügte bereits ein einfacher Kopfhörer um ein Gespräch auf der Leitung mithören zu können. Für das Abhören von ISDN benötigte der Mithörer einen ISDN-Analysator. Nur eine Verschlüsselung der Leitungen konnte das Mitlesen oder Mithören verhindern. Diese Geräte waren teuer und recht umständlich zu bedienen. Als Schutz gegen ein Mitlesen der Sprachströme im Netz helfen bereits simple Schutzmechanismen:

• Die Sprachkommunikation zwischen den Netzen eines Unternehmens, zu Partnerfirmen, zu Mitarbeitern im Home-Office oder mobilen Mitarbeitern (inklusive den WLAN-Verbindungen) erfolgt über das Internet nur über eine verschlüsselte VPN-Verbindung (inklusive Verschlüsselung und Authentifizierung).

• Das Abhören der Daten/Sprachströme zwischen den Mitarbeitern innerhalb des Unternehmens ist in der Regel durch Betriebsvereinbarungen verboten. Die neuen SIP-Telefone und Softphones unterstützen das IPSec-Protokoll (via VPN-Clients) und ermöglichen somit eine sichere Unternehmenskommunikation.

Unsicherheit der Betriebssysteme und Anwendungen

Die zentralen VoIP-Komponenten wie die IP-PBX, VoIP-Gateways, Signalisierungs- und SIP-Proxies nutzen normale Server-Komponenten. Durch die auf den Servern eingesetzten Betriebssysteme sind auch diese Ressourcen den normalen Angriffen durch Würmer, Trojaner und Viren ausgesetzt.

Für einen Hacker bietet ein zentrales VoIP-System ein »natürliches« Angriffsziel. Wird der Signalisierungsserver lahm gelegt und steht kein Backup-System bereit, ist es um die Sprachkommunikation im Unternehmen geschehen. Auf den VoIP-Servern müssen alle unnötigen Services abgeschaltet beziehungsweise beseitigt werden, um die Angriffsfläche zu verkleinern. Außerdem erfordern diese Systeme bei den zyklischen Sicherheitsüberprüfungen ein besonderes Augenmerk für Auffälligkeiten.

Reguläre Telefone sind »dumme« Endgeräte. Beim VoIP dreht sich das Bild: Die Endgeräte enthalten alle Intelligenz und interagieren selbstständig mit den VoIP- und Netzwerkressourcen. Besonders VoIP-PCs, also sogenannte Softphones, bieten, durch die gleichzeitige Nutzung von Sprache und Daten über die betreffenden Applikationen auf der gleichen Plattform, attraktive Ziele für Hacker, um Trojaner oder andere schädliche Programme zu installieren und anschließend die Angriffe auf das Sprachnetzwerk zu starten.

Eine wirkungsvolle Verteidigungsstrategie besteht darin, die Sprach- und Datennetze logisch durch VLANs zu trennen. Durch diese Netzsegmentierung hat ein Angriff auf das Datennetz nicht zwangsläufig Auswirkungen auf den Sprachverkehr. Auch die Zugänge zur Außenwelt, die VoIP-Gateways, erfordern einen Schutz gegen Viren und Attacken. Die ersten Angriffe auf die klassische Telefonie bestanden darin, in ein Telefonsystem eines Betreibers oder des Telefonanbieters einzudringen und auf deren Kosten zu telefonieren. Diese so genannten »Phone Phreaks« sind auch im Internet zu finden. Daher ist es erforderlich, auch das VoIP-System gegen einen solchen Missbrauch und die daraus resultierenden Kosten zu schützen.

Netzzugänge

Das größte Problem besteht jedoch darin, dass die meisten bisher eingesetzten Sicherheitstechnologien, wie Firewalls und Intrusion-Detection-Systeme, mehr oder weniger nutzlos bei Angriffen auf die »neuen« Ziele im Netzwerk sind. Auf Grund der Echtzeitnatur der VoIP-Services sollten diese beim Durchgang durch die Firewalls nicht verzögert werden. Sowohl H.323 als auch SIP nutzen das TCP zur Signalisierung und zum Verbindungsaufbau und UDP zur Nutzdatenübertragung. Versteht eine Firewall das H.323 oder SIP, öffnet und schließt diese die Ports für den VoIP-Verkehr automatisch. Diese Ports bleiben jedoch nur bis zur Beendigung des betreffenden Anrufs offen. Darüber hinaus werden die Nutzdaten beim VoIP per Real-Time-Protocol (RTP) übermittelt. Dieses nutzt dynamisch die Ports von 1024 bis 65.5534.

Bei vielen Firewalls werden die Probleme erst bei steigendem Sprachverkehr sichtbar. Der VoIP-Verkehr erfordert eine tiefere Inspektion der H.323- und SIP-Pakete durch die Firewall. Dies resultiert in einer höheren CPU-, Puffer- und Memory-Auslastung. Mit steigender Anzahl von Sprachströmen kann bereits die von der Firewall erzeugte Verzögerung über die Grenze von 50 bis 100 Millisekunden steigen und führt automatisch zur Verschlechterung der Sprachqualität.

Die Paketgröße hat natürlich auch eine direkte Auswirkung auf die Firewall-Performance. Sämtliche Netzkomponenten benötigen für die Übermittlung kurzer Pakete wesentlich mehr interne Ressourcen als für die Übertragung langer Pakete. Der typische VoIP-Verkehr weist Längen zwischen 64 bis 200 Byte auf. Eine Firewall kann theoretisch mehrere 100-MBit/s-Interfaces unterstützen, aber die CPU wird in der Regel bei einer hohen Anzahl

an kurzen Paketen schnell in die Sättigung kommen. Übernimmt die Firewall auch noch die VPN-Gateway-Funktion, muss sichergestellt werden, dass beim Tunneln und Verschlüsseln/Entschlüsseln keine zusätzlichen Verzögerungen entstehen. Eine Alternative besteht im Einsatz von Voice-Proxies, die auf den Umgang mit Multimedia-Verkehr spezialisiert sind. Diese Komponenten signalisieren der Firewall, welche Ports geöffnet werden sollen und wie zusätzliche Aufgaben wie das Network-Address-Translation (NAT) umgesetzt werden. Die IETF erarbeitet im Moment einen Protokoll- und Architekturvorschlag – Arbeitsname: »Middlebox Communication Architecture and Framework«, kurz »MIDCOM« – zur direkten Integration der Proxies in traditionellen Firewalls.

Neue Angriffsarten

Der Großteil der Angriffsarten auf die VoIP-Ressourcen ähnelt denen auf Datennetze. Neue Angriffsarten sind jedoch bereits in Entwicklung. Diese Exploits nutzen die Sicherheitslöcher im Zusammenspiel zwischen den Sprach- und Datenressourcen aus. Beispielsweise ist vermehrt vom Registration- beziehungsweise Call-Highjacking von SIP-Telefonen zum öffentlichen VoIP-Anbieter zu hören. Dabei wird die gültige IP-Adresse eines IP-Telefons auf eine beliebige IP-Adresse des Hackers umkonfiguriert. Das Resultat: Alle über das VoIP-Netz eingehenden Anrufe für den betreffenden Benutzer erreichen diesen nicht.

Auch die Übernahme von oder ein Denial-of-Service-Angriff auf SIP-Telefone ist möglich. Die Angriffe auf VoIP-Netze erfordern derzeit noch detaillierte technische Kenntnisse der jeweiligen Produkte und gehen damit weit über die Fähigkeiten der Script-Kiddies oder der normalen Hacker hinaus. Dennoch gilt es heute schon zu berücksichtigen, welche ernormen Angriffsflächen konvergente Netze bieten.

Fazit

In absehbarer Zeit werden keine klassischen Telefonanlagen mehr erhältlich sein und müssen durch VoIP-Technologien ersetzt werden. Die Vereinigung von Sprache, Video und Daten in einem gemeinsamen Netzwerk erfordern jedoch ein noch besseres Sicherheitsmanagement und zusätzliche Sicherheitsfunktionen. Das Aufspüren dieser neuen Angriffe erfordert ein Wissens-Upgrade und neue Strategien zur Abwehr. Einige Schulungsanbieter haben dies bereits erkannt und bieten bereits heute umfangreiche Kurse an, die Mitarbeiter und Sicherheitsverantwortliche in den Unternehmen über wirksame Vorsorge- und Gegenmaßnahmen informieren. Damit kann man seine Netz- und VoIP-Topologien wirksam gegen die Attacken der Hacker schützen. Torsten Poels, Senior Vice President & General Manager Europe, Fast Lane Institute for Knowledge Transfer