VoiP-Telefongespräche: Abhören leicht gemacht

» Von Markus Schalch*, 29.05.2017 14:30.

weitere Artikel

Bildergalerie

Bildergalerie

Gegenmassnahmen

Die obigen Beispiele zeigen, dass das Abhören einer ungesicherten VoIP-Umgebung sehr leicht möglich ist. Zur Sicherung einer Umgebung werden mehrere Massnahmen empfohlen.

  • Netzwerksegmentierung: Durch ein separates Netzwerk für Telefone (physisch oder mittels VLAN) wird das Aufzeichnen von Paketen für einen Angreifer erschwert. Der Angreifer braucht Zugang zum Telefonnetzwerk und ein normaler Netzwerkanschluss reicht nicht mehr.
  • Verwendung von verschlüsselten Gesprächsdaten: Es existiert eine Erweiterung des RTP, das die übertragenen Streams verschlüsselt: SRTP. Mittlerweile wird es von vielen Herstellern verwendet und verhindert so effektiv das Mithören der Gespräche.
  • Verwendung von Transportverschlüsselung: Neben der beschriebenen Möglichkeit, Gespräche abzuhören sind weitere Angriffe bekannt, die auf die Initialisierung des Gesprächs mittels SIP ab-zielen. Um solche Angriffe effektiv abzuwehren, sollten die Daten auf Transportebene, bei-spielsweise mittels TLS, verschlüsselt werden.

Fazit

Trotz vorhandener und praktikablen Gegenmassnahmen hat unsere Erfahrung gezeigt, dass vielerorts die unsicheren Standardkonfigurationen verwendet werden. Ist dies der Fall, kann ein Angreifer sehr einfach und mit frei erhältlicher Software Gespräche abhören.

* Markus Schalch ist Penetration Tester & Security Researcher bei der Oneconsult AG

Werbung

KOMMENTARE

UC Pro: 01-06-17 08:41

Zum Artikel: Jein, stimmt so irgendwie nicht ganz. Anständige VOIP Lösungen nutzen MTLS, TLS, SRTP und HTTPS... hat seinen Preis. Aber wir sehen ja wohin das führt wenn man auf Produkte setzt, die zu wenig auf Sicherheit setzen.
Und wer sich seine Anlage nicht vom Profi installieren lässt, dem ist nicht mehr zu helfen.

Thomas Moser: 29-05-17 15:58

Mann seid ihr Spezialisten. Panikmache, aber keine praktikablen Lösungen. Wie schalte ich denn nun SRTP bei IRGENDEINEM Telefonanbieter in der Schweiz ein? Na, merkt ihr was...? Keiner in der Schweiz bietet SRTP an (warscheinlich hat's die StaSi Idee Suisse verboten). Und war es notwendig, auch dem letzten Idioten noch aufzuzeigen, wie er Schnüffeln kann?!?!

KOMMENTAR SCHREIBEN

*
*
*
*

Alles Pflichfelder, E-Mail-Adresse wird nicht angezeigt.

Die Redaktion hält sich vor, unangebrachte, rassistische oder ehrverletzende Kommentare zu löschen.
Die Verfasser von Leserkommentaren gewähren der NMGZ AG das unentgeltliche, zeitlich und räumlich unbegrenzte Recht, ihre Leserkommentare ganz oder teilweise auf dem Portal zu verwenden. Eingeschlossen ist zusätzlich das Recht, die Texte in andere Publikationsorgane, Medien oder Bücher zu übernehmen und zur Archivierung abzuspeichern.