Dialer-Gefahr bei VoIP?

[JSchling]

also die Ideen die hier genannt worden sind, werden schon jedem selber einfallen, der gerade mal in der Lage ist einen Rechner hochzufahren und 10 Minuten nachdenkt - hier ist ja nichts wirklich tolles genannt worden, alles mehr wie allgemein gehalten, also hier ist ja nicht mal im Ansatz irgendein (mir auch nicht wirklich bekanntes) Sicherheitsproblem oder Bug einer Soft- oder Hardware genannt worden.
Also Software-maessig laesst es sich garantiert knacken, steht wohl ausser Frage, ich moechte da sogar behaupten es wuerde machbar sein, ohne das die VoIP-Anwendung selber dafuer gestarted sein muss, bzw wird und ohne das man was davon mitbekommt.
Hardwaremaessig waere ich mir zumindest alles andere als sicher. Linux ist auch nicht unfehlbar und vorallem die Fritzbox-Software liegt ja ueberall rum... und AVM bekommt es seit Monaten nicht annaehernd auf die Reihe auch nur nen vernueftiges Portforwarding einzurichten auf dem Teil - also da glaub ich kaum, dass saemtliche Sicherheitsluecken geschlossen sind.
Ganz simples Senario: ich schick per Software ueber Port 5060 einen SIP-Invite an [email protected] (GMX, WEBde, Sipgate etc) und wenn der Server dann, wie ja auch schon alleine zur Anmeldung am Server noetig, eine Passwortrequest zurueck schickt, wuerde ich schon wetten, dass die Fritzbox diese Anfrage korrekt beantworten wird
Und bei der Telekom kann ich solche Gebuehren erstmal zurueckbuchen und das wars, bei 1&1 etc, noch schlimmer bei PrePaid denk ich mal der VoIP Provider wird sagen: klaeren sie das mit dem Anbieter und bezahlt ist dann ja erstmal ! und wer kann sich dann schon einen Flug auf die Phillipinen etc leisten, um der Sache selber nachzugehen ?
jeep, ich denk da wird noch was kommen, aber wo es bislang noch garnix in der Richtung gibt, denke ich auch, dass ich nicht der erste sein werde

 

[Gast]

Ist doch schon vorbei die Meinungsverschiedenheit,möchte nur nicht so schnell einem solchen Szenario ausgesetzt sein,da ich auch davon ausgehe,daß selbst Hardware nicht unbedingt davor schützen wird!
Deshalb halte ich mich lieber bedeckt bei solchen Diskussionen,da sie zumeist der "Stein des Anstosses" sind.
Es wird eben nicht zu verhindern sein,da wir nur normale User sind,dann kann man sich ja Zeit lassen mit Schutzmaßnahmen und lieber erstmal recht viel verkaufen!
Wollen wir hoffen,daß es keinen "juckt" !
Grüße von Tom

 

[ds-sb]

Richtungswechsel

Die Diskussion sollte dann doch eher in Richtung "Was können wir dagegen tun" weiterlaufen, sonst haben wir hier nur noch Vorschläge "Wie mach ich es richtig". Das es wohl kommen wird, sobald es lukrativ erscheint, davon können wir ausgehen.

Denn nach E-Mail kam Spam, Nach Internet per Telefon kamen Dialer in Trojanern verpackt, mitlerweile rufen Computer bereits auf dem Festnetz an und machen Werbung (Telefonspam)...

In der FBF können ja durch Wahlregeln auch Nummern gesperrt werden, bzw. 0190 geht ja auch wohl noch nicht. Die kann dann ja auch wie in jeder guten Telefonanlage mit 0190 -> SPERREN blockiert werden. Ebenso kann man 0049 -> Festnetz / Internet aber 00 -> SPERREN um sonstige Auslandsgespräche zu verhindern. Natürlch wenn man nach Frankreich telefoniert mit 0033 -> Festnetez (mit CBC) auch einzeln freigeben. Ist zwar mit etwas Aufwand verbunden, den hat man aber bei anderen TK-Anlagen auch.

Schliesslich kann sowas ja auch in die nächste Firmware mit aufgenommen werden :wink:

Dies gilt natürlich auch für Softphones und Firewalls.

 

[ralph.sprenger]

Der Meinung bin ich auch: die Hard- und Softwarehersteller sollten gelernt haben, und diesmal bei VoIP den Hackern einen Schritt vorraus sein!

 

[Gast]

Aber genau das ist der Punkt! Es ist doch an der Tagesordnung,daß erstmal schnell verkauft wird,immer erst hinterher nachgebessert wird und das auch nur spärlich!
Solange sich diese Praxis weiterhin fortsetzt,werden wir immer einen Schritt zu spät sein!
Gruß von Tom

 

[ralph.sprenger]

Und wenn wir schon beim Thema Sicherheit sind: die hier geposteten Signaturen mit Hard- und Softwareausstattung könnten einem potentiellen Angreifer sogar sein Vorhaben vereinfachen (sofern sich aus Username/Wohnort/Alter/Email die Real-Adresse ableiten lässt).

Aber wahrscheinlich gehört dies schon in die Paranoiker-Ecke :shock:

 

[Gast]

Na ja,soweit wollen wir mal nicht gehen,sonst dürfte man sich an nichts mehr beteiligen! Ich glaube zumindestens nicht daran,daß vorher preventiv gearbeitet wird,da die Vergangenheit immer wieder gezeigt hat,daß erst nach einem Vorfall reagiert wird!
Also lassen wir es auf uns zukommen!
Gruß von Tom

 

[rob]

Hi,

ich denk mal, der Hintergrund von Ralph's Frage war ernsthaftes Interesse daran, ob so was überhaupt möglich ist und ob er deshalb irgendwie vorsichtig sein müßte.
Ich wüßte nicht, wieso ein Hacker ausgerechnet in diesem Thread auf die Idee gebracht werden sollte, wie er VoIP hacken kann (das wär relativ vermessen, so was zu glauben). Ich habe nichts davon gesehen, daß irgendjn. konkrete Vorschläge gemacht hat, Code gepostet hätte usw.
Wieso sollte man also nicht über so was reden? Die Art und Weise, wie das Thema hier behandelt wird, dient im Gegenteil der Sensibilisierung. Ich versteh die Aufregung nicht - es geht hier nur darum zu wissen, ob so was möglich ist und deshalb irgendwelche Gefahren drohen.

Rob

 

[WrMulf]

Meines Erachtens nach ist die Gefahr von Missbrauch durch ENUM größer als durch Dialer. Jemand könnte eine teuere Premium-Call-Nummer mit höherer Priorität gewichten, als die zugehörige Festnetznummer und der Anrufer bezahlt plötzlich das n-fache dessen, was der Call eigentlich gekostet hätte wenn sein Client ENUM-Lookups macht. Ob Provider dagegen einen wirksamen Schutz einbauen werden? Ist ein solcher Schutz von Ihnen überhaupt gewollt - schließlich verdienen sie u.U. mit? Noch ist VoIP zu unbedeutend und die meisten Benutzer zu aufgeklärt, aber in der Zukunft sind einige Szenarien denkbar, von denen die Kühnast (die sowieso nicht) und selbst Jamba noch nichts wissen.

 

[Gast]

Genau! Die Firmen werden nämlich nicht preventiv aktiv werden,das sehe ich auch so!
Alles ist möglich!
Gruß von Tom

 

[florianr]

Meines Erachtens nach ist die Gefahr von Missbrauch durch ENUM größer als durch Dialer. Jemand könnte eine teuere Premium-Call-Nummer mit höherer Priorität gewichten,

Das dürfte bei Mehrwertrufnummern im allgenmeinen dazu führen, daß der Kunde nicht bezahlen muß, da gilt ja die Preisangabe Pflicht, verdeckte Kosten dürften eigentlich nicht zur Zahlung verpflichten.