Wie sicher ist *

[funky]

Hallo,

ich möchte mit diesem Thread eine kleine Kontroverse bzgl. der sicheren Anmeldung und Kommunikation mit dem * eröffnen.

Folgendes Beispiel:

- es wird ein * hinter einem DSL-Router betrieben
- Portumleitung auf den * funktioniert
- man kann sich aus dem Internet z.B. über Xlite anmelden, um dann Anrufe über das Festnetz zu tätigen (sehr praktisch für viele Pendler, die Ihren Telefonanschluss nicht aufgeben wollen)

Grosse Frage: Wie ist es denn mit der Sicherheit bestellt?

Ist eine verschlüsselte Anmeldung am * möglich (über SIP)?
Wenn nein, dann kann die Anmeldung abgefangen werden, so dass später Mißbrauch der eigenen Telefonleitung nicht ausgeschlossen werden kann.
Können Gespräche verschlüsselt werden (sonst kann ja jeder mithören)!?

Wenn jemandem weitere Fragen auffallen, kann er sie gern hier stellen, damit wir eine fundierte Sammlung für evtl. spätere FAQ zu diesem Thema zu haben.

Meine Recherchen ergaben, dass * wohl https, also SSL Verschlüsselung anbieten soll, diese sei aber noch nicht fertig.

Wer weiss mehr?

 

[Klingelding]

Ist eine verschlüsselte Anmeldung am * möglich (über SIP)?
Wenn nein, dann kann die Anmeldung abgefangen werden, so dass später Mißbrauch der eigenen Telefonleitung nicht ausgeschlossen werden kann.
Können Gespräche verschlüsselt werden (sonst kann ja jeder mithören)!?

SIP handelt nur die Verbindung zwischen IP-Phone und Asterisk aus und wird im Klartext vollzogen. DIe Sprache wird dann ueber RTP abgewickelt, was auch "unsicher" ist. "Sicher", waere die Sprachuebertragung ueber SRTP, was der Asterisk (noch?) nicht unterstuetzt.
Also, um es vor dem Internet "sicher" zu haben, muesste man z.B. erst ein VPN aufbauen und sich dann in seinem privaten Netz zum Asterisk verbinden.
Ich hoffe mal, dass sich beim IAX-Protokoll noch was in die Richtung, der verschluesselten Uebertragung tut.

 

[Maik]

Das gleiche gilt uebrigens auch fuer alle mir bekannten VoIP-Anbieter.

SIP wird uebrigens zwar tatsaechlich unverschluesselt uebertragen allerdings wird bei der Anmeldung challenge response verwendet. Eine replay-Attacke wird damit ausgeschlossen.

Bei IAX wird wohl an einer Moeglichkeit zur Verschluesselung gearbeitet.

 

[funky]

ist bei iax nicht schon die md5 authentifizierung realisiert?
zumindest sagen das die conf-dateien beim *.
leider nur für die authentifizierung, die verbindung ist weiterhin abhörbar.
an echter (SSL) Verschlüsselung wird wohl noch geackert.

 

[Maik]

ist bei iax nicht schon die md5 authentifizierung realisiert?

Die Authentifiziereung laeuft entweder aehnlich wie bei SIP ueber md5 mit challenge-response oder ueber rsa-keys.

zumindest sagen das die conf-dateien beim *.
leider nur für die authentifizierung, die verbindung ist weiterhin abhörbar.
an echter (SSL) Verschlüsselung wird wohl noch geackert.

Da wird dann wohl auch eher AES zur Verschluesselung eingesetzt werden. SSL ist glaube ich fuer UDP ungeeignet.

 

[funky]

sag mal maik, ist jetzt beim * die anmeldung challenge-response implementiert und wird auch eingesetzt oder nicht?

weisst du das zufällig?

[edit: auf SIP bezogen]

 

[betateilchen]

Hat schonmal irgendjemand versucht, eine VoIP-Verbindung "abzuhören" ? So einfach ist das gar nicht, wie das immer dargestellt wird.

 

[funky]

naja, das abhören ist ja nicht das "schlimme", vielmehr stört es mich, dass
die anmeldung am * mitgesnifft werden kann.

somit kann sich jeder anmelden und über den eigenen tel anschluß telefonieren.

 

[betateilchen]

Du kannst doch die Anmeldung auf bestimmte IP-Adressen oder Hostnamen einschränken. Und bei Anmeldung über RSA keys ist ohnehin nicht mehr viel los von wegen "mitsniffen"

 

[Maik]

sag mal maik, ist jetzt beim * die anmeldung challenge-response implementiert und wird auch eingesetzt oder nicht?

weisst du das zufällig?

[edit: auf SIP bezogen]

Ja. Challenge-response ist drin. Das ist eigentlich auch die uebliche Methode fuer eine Anmeldung. Die meisten Server unterstuetzen nichts anderes.

 

[funky]

Du kannst doch die Anmeldung auf bestimmte IP-Adressen oder Hostnamen einschränken. Und bei Anmeldung über RSA keys ist ohnehin nicht mehr viel los von wegen "mitsniffen"

aha, das klingt doch interessant!

kannst du mir bitte sagen, wie der * zu konfigurieren ist, dass die Anmeldung von Xlite aus auf den Hostnamen oder mit den RSA-Keys beschränkt wird?

 

[speedy1980]

Wie wäre es mit einem VPN? Ein Linux ist ja aufgrund von Asterisk eh vorhanden, von daher sollte VPN auf der Seite kein Problem sein. Da X-Lite genutzt wird, ist der Client also ein PC. Dort VPN installieren und fertig. Nagut so einfach isses nicht
Aber so würde man die Kommunikation zwischen X-Lite und Asterisk absichern können.

 

[funky]

ich benutze z.Z. vpn, jedoch ist der upstream eines gewöhnlichen dsl-anschlusses auch mit 192 KB zu wenig, um normale gespräche führen zu können.

ausserdem ist das nicht unbedingt massentauglich für viele nutzer, es hat einen sehr geringen WAF (woman acceptance factor) ;-)

 

[betateilchen]

jedoch ist der upstream eines gewöhnlichen dsl-anschlusses auch mit 192 KB zu wenig, um normale gespräche führen zu können.

:shock:

Was für einen Codec verwendest Du ? G711u-7-Kanal-Digital-Surround ?

 

[funky]

benutze GSM, trotzdem höre ich mein gegenüber nur in bruchstücken - evtl. ist der VPN Overhead doch ein wenig zu viel für 192 Upstream???

 

[betateilchen]

evtl. ist der VPN Overhead doch ein wenig zu viel für 192 Upstream???

nie im Leben ... "normales" DSL hat nur 128 kB/s und es funktioniert problemlos.

 

[funky]

hmm, ohne VPN habe ich aber keine Probleme, misst.

Wie war das nochmal mit der EInschränkung der Anmeldung auf bestimmte IP's oder Hostadressen?

Kann bitte jemand mehr dazu posten?

Danke!!!

 

[CaptainCrunch]

Das müsste aber das absolute Über-VPN sein.

 

[otaku42]

Je nach VPN-Typ und -Konfiguration laufen die Datenpakete ueber TCP-Verbindungen. TCP wiederholt verlorengegangene Pakete, kann Verbindungen dynamisch "abbremsen", und aehnliche Spaesse. Das ist alles Zeuch, was man fuer die mit RTP uebertragenen Sprachdaten nicht haben moechte - hier kann es zu massiven Problemen kommen.
Auch sollte man bedenken, dass die Verschluesselung der zu transportierenden Daten zusaetzliche Zeit kostet.

Ein VPN zur Absicherung der Verbindung Client -> * sollte daher genau durchdacht werden.

 

[rajo]

Anmeldung auf bestimmte IP's oder Hostadressen?

z.B. in der sip.conf statt host=dynamic host=ip/hostname verwenden
Ansonsten kann man sich ja auch seine Firewall entsprechend konfigurieren, dass z.B. SIP nur von/zu bestimmten IPs geht