VoiP Sicherheit

Wer einen Dienst anbietet, muss sich natürlich auch Gedanken über die Sicherheit und Absicherung machen. Schließlich werden dabei zum einen schützenswerte Daten übertragen und zweitens fallen natürlich auch Betriebsdaten an, die geschützt werden müssen. Hier mal eine Auswahl:

Thema Beschreibung Lync / Skype für Business

Abhörsicherheit

Beim Einsatz von VoIP ist das natürlich immer der erste Ansatz, der in den Fokus einer Sicherheitsbetrachtung fällt: Wie sicher ist die Technik gegen "abhören" ?.

In diese Fragestellung fällt sowohl die Netzwerksicherheit, d.h. z.: die Abschottung der Übertragungswege mit VLAN und 802.1x aber natürlich die die Wahl der Protokolle bei der Signalisierung und Nutzdatenübertragung.

Per Default werden alle Signalisierungsdaten (SIP) per TLS verschlüsselt. Es musst schon manuell dieser Verschlüsselungszwang abgeschaltet werden.

Auch die Audio/Video-Daten werden per Default per SRTP verschlüsselt. Es gibt aber Teilstrecken außerhalb, die eventuell nicht verschlüsselt sind, z.B. ein SIP-Trunk zu einem Carrier oder TK-Anlage.

Gespeicherte Inhalte

Sobald ExchangeUM ins Spiel kommt, können Anrufer natürlich auch Nachrichten im Exchange Postfach hinterlassen oder ihre Nachrichten per Sprache abrufen.

Auch hier stellt sich dann die Frage, wie sicher zum, einen der Anlageort und welche Vorkehrungen gegen unerlaubten Zugriff getroffen wurden. Bei Exchange und OCS ist eine Anmeldung am Client erforderlich, die dann zum Exchange weiter gegeben wird oder die Eingabe einer PIN. Über die "Sicherheit" der EDB-Anlage gibt es schon entsprechende Analysen.

Bei TK-Anlagen ist hier auch zum einen der Ablageplatz (teilweise ungesicherte MP3-Dateien auf Festplatten ) und der Zugriff (Teilweise vom eigenen Telefon ohne weitere PIN) zu betrachten. Eine "Putzkraft" im Büro könnte also unter umständen die Sprachnachrichten abhören.

Die Verbindung zu Exchange UM ist natürlich ebenfalls per Default sowohl per SIP/TLS als auch SRTP verschlüsselt. Das müsste ein Administrator schon abschalten.

Die Mails im Postfach selbst nicht normal nicht verschlüsselt. Sie könnten aber z.B. über eine Transportregel auch RMS-geschützt werden.

Bewegungsdaten

Was für die TK-Anlage der "Einzelverbindungsnachweis" ist, ist in OCS z.B. die Monitoring-Rolle und in Exchange das Messagetracking. Auch diese Daten müssen gegen fremde Einsichtnahme oder unerlaubte Auswertungen gesichert sein.

Lync und Skype für Business können solche Daten in der CDR/QoS-Datenbank speichern, auf die je nach Konfiguration nur wenige Personen Zugrif haben.

SYSLOG-Meldungen von Gateways werden allerdings meist unverschlüsselt gesendet.

Hier ist es also besonders wichtig den Kreis der Personen mit Zugriff einzuschränken.

Authentifizierung und Authorisierung

Wenn Daten nur für autorisierte Benutzer zugänglich sein sollen, dann kommt die Frage der Authentifizierung selbst in den Fokus. Bei Windows ist es recht einfach über Gruppenrichtlinien und Lockout-Policies die Benutzer anzuhalten, ausreichend komplexe und regelmäßig zu ändernde Kennworte zu vergeben. Zudem werden Fehlversuche protokolliert und ein Konto notfalls auch ausgesperrt.

Solche ausgefeilten Verfahren suchen Sie bei klassischen Telefonanlagen meist vergeblich. Zumal es ja oft gar nicht gewünscht ist, dass die Benutzer viele Konten immer wieder ändern müssen. Der "SingleSignOn"-Ansatz eines Active Directory bietet hier schon immense Vorteile gegenüber autarken Systemen.

Besonders bei Telefonkonferenzen ist das ein Problem, wenn es keine personalisierten "Zugänge" gibt und allein die Nummer des Konferenzraums in Verbindung mit einer "Konferenz-ID" schon den Zugang erlaubt. Einige Systeme erlauben eine "Lobby", d.h. dass jemand nicht direkt in den Konferenzraum zugeschaltet wird.

Bei Lync und Skype für Business geht fast nicht ohne vorherige Anmeldung. Das erfolgt per sicherer Authentifizierung (SIP/TLS und sicheres Anmeldeverfahren) und später per Client-Zertifikat.

Ohne Anmeldung kommen eigentlich nur Konferenzteilnehmer über den Meeting-Link in den Genuss von Diensten. hier gibt es aber die Lobby.

Identifizierung

Sie können alle die Funktion, dass ein Anrufer gleich mit Nummer oder Name angezeigt wird und auch bei einer Mail der Absender direkt ersichtlich ist. Doch wie vertrauenswürdig sind diese Angaben und können diese Angaben absichtlich (Rufnummernunterdrückung oder Anzeige einer Gruppennummer statt der Durchwahl) oder sogar böswillig (Vortäuschen einer anderen Person) geändert werden ?.

Gerade im Telefonie-Sektor ist es mit "ClipNoScreening" möglich, auch komplett falsche Nummern zu senden. Interessant wird dies z.B. bei der Anzeige der Teilnehmer in einer Telefonkonferenz.

Bei der Signalisierung werden die Namen von internen Anrufern gemeldet. Externe Anrufer übermitteln eine Rufnummer, die angezeigt und ggfls. gegen das lokale Adressbuch aufgelöst werden.

DoS und andere Angriffe

Selbst wenn alle Daten gesichert und geschützt sind, so ist z.B. genau die Authentifizierung auch eine mögliche Schwäche. Ein Angreifer könnte versuchen, einen Zugang zu "erraten" und indirekt damit ein Konto zu sperren. für den rechtmäßigen Anwender natürlich störend. Besonders wenn der Zugang auch "aus dem Internet" möglich ist ist dies zumindest ein mögliches Störszenario.

Jedes System kann irgendwie immer überlastet werden und wenn es nur die Überlastung der Leitung durch Anfragen ist.

Missbrauchsschutz

Viele Dienste nutzen die Rufnummer des Anrufers, um benutzerorientiert Dienste anzubieten. So "erkennt" Exchange UM, wenn ein an OCS authentifizierter Anwender seine Mailbox anruft und erlaubt den Zugriff ohne weitere Authentifizierung, Der Anrufer ist aber z.B. auch für die Abrechnung von Diensten relevant. Insofern muss auch hier es zumindest erschwert sein, hier Missbrauch zu begehen.

Bislang sind hier keine Schwächen beannt

OCS hat hier schon systembedingt viele Risiken reduziert, z.B. indem per Default die SIP-Signalisierung als auch die Datenübertragung verschlüsselt ist und mit dem Active Directory als Plattform eine robuste und sichere Infrastruktur genutzt wird. Allerdings muss eine Firma eben diese Systeme professionell verwalten. Kennwortrichtlinien, Protokollierung und Überwachung sind genauso wichtige Komponenten wie ein sauberes Administrationsmodell, dass die Verwaltung klar geregelt ist.

Eine abschließende Beurteilung kann diese Seite natürlich nicht sein. Aber vielleicht haben Sie einige Ideen und Ansätze mitgenommen, die bei der Betrachtung einer VoIP oder sogar OCS-Umgebung zu berücksichtigen sind, um ein sicheres und zuverlässiges System zu installieren und zu betreiben. Sicherheit ist aber ein immer vorwährender Prozess und keine einmalige Sache.

Weitere Links