[abgetrennt] Asterisk Security Patche notwendig ja/nein?

[oozoo]

Edit Guard-X: Abgetrennt von hier: http://www.ip-phone-forum.de/showthread.php?t=134769

Ich aber, und damit meine ich keinen Kommerziellen

und der gestrige patch faellt aus?

 

[foschi]

Was hat der gestrige Patch (bzw. die security news) bei einem sinnvoll implementierten Asterisk-System für eine Relevanz? Tut mir leid, aber ASA-2007-010 bis -012 haben zwar grundsätzliche Bedeutung, aber bei einem Asterisk als internem TK-System sehe ich hier keinen Update-Bedarf.

Bei Neuinstallationen ist das was anderes.

 

[oozoo]

etwas in chan_sip nicht zu patchen (ASA-2007-011) weil in der architektur zufaellig kein remote host verwendet wird finde ich ehrlichgesagt doch etwas verwegen.

aber das geht grad OT

 

[Dakapo]

...bei einem Asterisk als internem TK-System sehe ich hier keinen Update-Bedarf...

Ging es hier nur um interne Lösungen? Was, wenn einmal Aussenstellen wie Aussendienstmitarbeiter, Home-Offices oder zusätzliche Büros hinzukommen? In diesen Bereichen liegen schliesslich einige Vorteile von VoIP.

 

[Guard-X]

Was, wenn einmal Aussenstellen wie Aussendienstmitarbeiter, Home-Offices oder zusätzliche Büros hinzukommen?

Wieso sollte man da ein Update machen?

mfg Guard-X

 

[Dakapo]

Es ging doch darum, dass z.B. Schwachstellen in chan_sip gefunden wurden.
Das Gegenargument lautete, dass ja keine Updates gemacht werden müssten, weil es interne Lösungen sind.

Daher meine Frage, warum es nur um interne Lösungen gehen sollte.
Sobald externe Anschlüsse verbunden werden, sind auch externe Verbindungen auf die SIP-Schnittstelle nötig und somit ist chan_sip angreifbar. Oder habe ich etwas falsch verstanden?

Schöne Grüsse
Dakapo

 

[speedy1980]

Mir driftet das hier doch zu start vom eigentlichen Thema ab. Vielleicht sollte man einen neuen Thread fürs eigentliche Thema erstellen.

 

[Guard-X]

@speedy1980: gesagt, getan

@Dakapo
Idealerweise bindet man Außenstellen und -mitarbeiter per VPN an. Wenn nur Telefonieren erwünscht und der Asterisk öffentlich (bekannt) zu erreichen ist, kommt man um einige Sicherheitsupdates nicht herum. Da hast du natürlich recht.

mfg Guard-X

 

[Dakapo]

Idealerweise bindet man Außenstellen und -mitarbeiter per VPN an.

Das ist natürlich richtig und eine Möglichkeit.

Allerdings können einige Punkte dagegen sprechen:
1. Nicht jedes Endgerät unterstützt selbst VPN. (z.B. Snom-Telefone)
2. Wenn das Endgerät selbst kein VPN unterstützt, so müssten z.B. alle Home-Offices, die sonst vielleicht nicht auf das Firmennetzwerk zugreifen, extra für den VoIP-Bedarf einen VPN-Router besorgen.
3. Was ist mit mobilen Endgeräten, die kein VPN unterstützen und für den Einsatz an Hotspots gedacht sind?

Ich denke, dass diese Punkte von Summerjam schon mitbedacht werden sollten.

Wie von foschi gesagt gibt es sicherlich Szenarien, wo die direkte Implementieren von Asterisk durch einen Open-Source-Spezialisten sinnvoll sein kann. Ist das System aber Angriffen aus dem Internet ausgesetzt, so kann eine kommerzielle Lösung, welche den Kunden zeitnahe Sicherheitsubdates bereitstellt, meiner Meinung nach durchaus sinnvoll sein.

Geht es um sehr spezielle Lösungen die weit von gebräuchlichen Standards abweichen, oder hat das Unternehmen einen Spezialisten im eigenen Haus, so kann eine direkte Implementierung sinnvoller sein.

 

[speedy1980]

@dakapo: Ist zwar ne Weile her, aber ich war schon mal bei Guard-X in der Firma. Das mit dem VPN funktioniert schon so ... Es geht ja hauptsächlich um Außenstellen, die komplett (und nicht pro Endgerät) per VPN versorgt werden. Da muss das Endgerät selbst kein VPN können.
Allerdings interessiert es mich mit den einzelnen Aussenmitarbeitern: Wie realisiert ihr das, Guard-X? Ich denke mit VPN Routern, oder?

 

[Guard-X]

Über unser Sicherheitskonzept möchte ich verständlicherweise hier keine Angaben machen.

@speedy1980
Du darfst mich aber gerne noch mal anrufen

mfg Guard-X