Sicherheits-Features für Voice over IP und die IP-Telefonie

Verschlüsselt telefonieren mit VoIP

| Autor / Redakteur: Christian Ebert / Andreas Donner

Telefonate über IP-Netze sind nicht unsicherer als herkömmliche Gespräche, lassen sich aber mit ein wenig Know-how besser schützen.
Telefonate über IP-Netze sind nicht unsicherer als herkömmliche Gespräche, lassen sich aber mit ein wenig Know-how besser schützen. ( © Nikolai Sorokin - Fotolia)

Für Carrier und Kunden bringen VoIP und IP-Telefonie zahlreiche Vorteile. Entscheidend ist jedoch die Sicherheit: Grundsätzlich ist auch die IP-Telefonie angreifbar – allerdings auch nicht mehr als klassische Telefonie. Im Unterschied zu dieser ermöglicht sie jedoch zusätzliche Sicherheit durch unterschiedliche Verschlüsselungs-Konzepte.

Die Ära der klassischen Telefonie neigt sich dem Ende zu. Die Deutsche Telekom stellt derzeit ihr gesamtes Netz von analoger und ISDN-Technik auf IP-Telefonie um. Bis 2018 soll diese Transformation in ganz Deutschland abgeschlossen sein: Kunden, die sich der Umstellung verweigern, müssen mit einer Kündigung ihres Vertrags rechnen.

Für Carrier stellt IP-Telefonie einen großen Vorteil dar, da sich IP-Netze leichter ausbauen und verwalten lassen als klassische Vermittlungsnetze. Die Intelligenz der Netze kann zu dezentralen Verteilerkästen (Outdoor-DSLAMs) verlagert werden, zentrale Verteilerstandorte werden überflüssig. Kunden können von IP-Telefonie insbesondere durch die Konvergenz ihrer Kommunikationssysteme, also durch Unified Communications & Collaboration und Telekommunikation (UCC/TK) profitieren. Während klassische Telekommunikation und Datenverarbeitung zwei verschiedene Welten mit unterschiedlichen Regeln und Erfordernissen sind, kann man mit IP-Telefonie auf einen Teil davon verzichten, weil IT und Telekommunikation einheitlich über IP laufen.

Daraus ergeben sich insbesondere beim Aufbau von UCC/TK-Anlagen Kosten- und Strukturvorteile: Nicht nur für Carrier, sondern auch für Nutzer ist die Infrastruktur einfacher zu pflegen. UCC/TK-Anlagen lassen sich zudem besser in die Computerumgebung integrieren. Dazu kommt eine leichtere Skalierbarkeit, etwa bei der Wahl der gleichzeitig nutzbaren Sprachkanäle.

Unified-Communications-Dienste (UCC) erlauben es, mit IP-Telefonie einen Leistungsumfang zu realisieren, der ISDN in nichts nachsteht sondern noch weit darüber hinausgeht. SIP-basierte Telefonanlagen (SIP-Trunks) können zum Beispiel die direkte Zuführung der Rufnummern aller Standorte von Telefonie-Nutzern einer Organisation zu einer zentralisierten UCC/TK-Anlage ermöglichen. So können die bisher bei ISDN verwendeten dezentralen TK-Anlagen und/oder ISDN-Gateways auf eine zentrale Anlage konsolidiert werden. Und erst damit ist es möglich, alle Niederlassungen in ein einheitliches Unternehmenstelefonnetz zu integrieren.

Sicherheit bleibt zentrales Thema

Alle Leistungsmerkmale und Vorteile der IP-Telefonie werden aber natürlich obsolet, wenn diese Kommunikation nicht sicher ist; kein Unternehmen will/kann heute darauf verzichten und kein Unternehmen könnte sich so einen Verzicht in Hinblick auf Folgekosten und Imageverlust leisten.

Grundsätzlich lässt sich IP-Telefonie auf drei Arten angreifen, wobei die beiden ersten Angriffsarten nur im gleichen Subnetz – also innerhalb des Unternehmens – funktionieren:

  • Switch: Wird an jenem Switch, an dem das jeweilige VoIP-Telefon im Unternehmen angeschlossen ist, auf einen Monitoring-Port zugegriffen, so lassen sich Telefonate abhören – sofern das unternehmenseigene Netzwerk nicht sorgfältig und sicher aufgebaut ist.
  • ARP Redirect: Im lokalen Netz wird ein Sniffer installiert, durch gefälschte ARP Packets wird einem anderen Rechner dann eine falsche Adresse vorgegaukelt und der VoIP-Traffic, der zum Router gehen soll, abgefangen.
  • Abhören auf der Strecke: Die Glasfaserkabel auf der Strecke, die weniger abgesichert ist, als etwa Verbindungen im Gebäude eines Providers, werden ausgelesen und analysiert. Dies erfordert jedoch einen enormen Aufwand, sodass Angriffe dieser Art auf Geheimdienstniveau erfolgen, also durch Angreifer, die über nahezu unbegrenzte technische und finanzielle Möglichkeiten verfügen. Das gilt auch für Manipulationen von Geräten, die im Backbone arbeiten. Angreifer können Platinen physikalisch verändern oder versuchen, einen Router zu hacken und damit zu kapern. Hat man auf diese Weise Zugriff auf einen Backbone-Router, so kann man den darüber laufenden Datenverkehr natürlich ausleiten und mitlesen.

Theoretisch lässt sich VoIP- beziehungsweise die IP-Telefonie unter bestimmten Voraussetzungen also durchaus angreifen. Trotzdem ist sie damit nicht weniger sicher als klassische Telefonie, die ja ebenfalls angreifbar ist.

Auch sie kommuniziert über Backbone-Leitungen, und auch hier kann ein Angreifer das Kabel anzapfen und die Gespräche mitschneiden. Soweit klassische Telefonie über Kupferdrähte erfolgt, muss man nur den richtigen Strang finden und mit entsprechender Messtechnik lässt sich dann der Verkehr ganz bequem ausleiten. Die Schwierigkeit besteht in beiden Fällen darin, an das richtige Kabel heranzukommen, was bei Glasfaserkabeln grundsätzlich schwieriger ist. Ein Angreifer könnte aber auch in einer Vermittlungsstelle der Telekom den Traffic auskoppeln und mithören, und schließlich könnte man sich im Unternehmens-Netz Zugang zur Verdrahtung verschaffen, um die Kommunikation mitzuschneiden.

Auch die klassische Telefonie ist angreifbar – die IP-Telefonie schafft also keine neuen Angriffsflächen. Die Angriffsmuster sehen nur anders aus und verwenden andere Techniken, ihnen muss daher auch anders begegnet werden. Von einer grundsätzlich weniger sicheren Technologie kann aber bei der IP-Telefonie nicht die Rede sein.

IP-Telefonie und Verschlüsselung

VoIP- und IP-Telefonie bieten sogar zusätzliche Sicherheit, weil hier neue Möglichkeiten zur Verschlüsselung des Datenverkehrs genutzt werden können. Zwei Ansätze sind hier zu unterscheiden: das standardbasierte SIPS/SRTP-Verfahren und die proprietäre End-to-End-Verschlüsselung.

Standardbasiertes SIPS/SRTP-Verfahren

Hier wird die Kommunikation zwischen einem VoIP-Telefon und dem VoIP-Provider verschlüsselt – und zwar sowohl die Signaldaten per SIPS als auch die Sprachdaten per SRTP. Da es sich dabei um "normales" Telefonieren via Provider handelt, kann man so auch jeden anderen Teilnehmer via Festnetz oder Mobilfunk erreichen. Allerdings ist zunächst nur die Strecke zum Provider verschlüsselt, nicht jedoch die vom Provider weiter zum Empfänger. Nur wenn dieser beim gleichen Provider ist und seinerseits SIPS-Telefonie nutzt, ist die gesamte Strecke verschlüsselt.

Bei diesem Verfahren liegt jedoch keine echte End-to-End-Verschlüsselung vor, weil die Verarbeitung im Session Border Controller des Providers unverschlüsselt ist. Das ist allerdings kein technisches Problem, sondern gesetzlich so vorgeschrieben (Lawful Interception), denn Telefonie-Anbieter sind verpflichtet, für Bedarfsträger wie Polizei oder Zoll unverschlüsselte Schnittstellen bereitzuhalten.

Proprietäre End-to-End-Verschlüsselung

Echte End-to-End-Verschlüsselung bieten proprietäre Software-Lösungen oder Apps, beispielsweise RedPhone für Android. Die verschlüsselte Kommunikation läuft hier von App zu App, funktioniert also nur, wenn der jeweilige Partner dieselbe App nutzt. Unter dieser Voraussetzung kann man verschlüsselt telefonieren und es kann dann wirklich niemand mithören; wobei man natürlich nicht weiß, wie weit die Fähigkeiten von Geheimdiensten hier reichen. Jedenfalls gibt es bei diesem Verfahren keine gesetzlichen Einschränkungen, da die Vorschriften bezüglich Lawful Interception nur für Telekommunikationsunternehmen, nicht jedoch für Software-Anbieter gelten.

Allerdings hat diese Art der verschlüsselten IP-Telefonie auch Nachteile. Die Kommunikationspartner müssen nicht nur exakt dieselbe Software einsetzen, sondern bei einer Vielzahl von Partnern dann auch entsprechend viele Applikationen managen. Die Kommunikation ist zudem auch nicht kompatibel zu herkömmlicher Telefonie, denn sie erfolgt ja nicht über das Telefonnetz sondern über TCP/IP. Man kann also nicht einfach Telefonnummern anwählen; da sich außerdem fast alle Geräte hinter Firewalls befinden, sind diese auch über IP-Adressen nicht direkt erreichbar. Man muss daher auf einen Verzeichnisdienst zurückgreifen, über dessen Vermittlungs-Server eine Verbindung erst hergestellt werden kann.

Nutzer verwenden in diesem Szenario also unterschiedliche Apps und womöglich auch verschiedene Anbieter für ihre Verbindung; schlimmstenfalls gibt es für jeden Kommunikationspartner eine andere Anwendung und einen anderen Vermittler. Verschlüsseltes Telefonieren kann auf diese Weise sehr komplex werden.

Daher erscheint SIPS als die insgesamt praktikablere Lösung. Man nutzt die Telefonie-Infrastruktur mit einer verschlüsselten Verbindung zum Provider und wenn der Kommunikationspartner mitspielt, ist auch die Verbindung vom Provider zum Empfänger verschlüsselt; dann besteht nur beim Provider selbst die gesetzlich vorgeschriebene Lücke. Mit dieser Technik lassen sich praxistaugliche Systeme realisieren; beispielsweise entwickelt QSC Lösungen für verschlüsseltes VoIP per SIPS gleich fertig für verschiedene TK Anlagen.

Christian Ebert
Christian Ebert (Bild: QSC)

Nicht vergessen sollte man bei alledem, dass auch beim Einsatz von IP-Telefonie und VoIP im Unternehmen die größte Gefahr darin besteht, dass Angriffe innerhalb der Organisation erfolgen. Daher sollten Unternehmen zu aller erst vor allem dafür sorgen, dass ihre Inhouse-Netze richtig gesichert sind.

Über den Autor

Christian Ebert ist Chief Information Security Officer bei QSC in Köln.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43346309 / Voice over IP)