VoIP unsicher? Hype oder Realität?

Präsentation zum Thema: "VoIP unsicher? Hype oder Realität?"—  Präsentation transkript:

1 VoIP unsicher? Hype oder Realität?
Walter Jekat Geschäftsführer NOXS Technology Germany Chief Technology Officer NOXS Europe

2 Einige (wenige) Worte zu NOXS
Pan-Europäischer Spezialdistributor im IT-Security Bereich Fokus auf innovative Produkte und Dienstleistungen Langjähriger partnerschaftliche Zusammenarbeit mit der NetUSE

3 Die Konvergenz von Voice und Daten
Datennetzwerk Internet Voice Netzwerk Unternehmen migrieren Voice von PSTN auf Datennetzwerke um: Neue Applikationen zu unterstützen – 72% Offene, erweiterbare Systeme zu implementieren - 59% Unterhaltskosten einzusparen – 53% Anschaffungskosten zu minimieren – 50% Infonetics report

4 Vorweg: Enduser vs. Enterprise VoIP
Viele Enduser implementieren unauthorisierte VoIP Clients in Firmennetzen Protokolle wie Skype sind peer-to-peer Der Client transportiert laufend Datenpakete Unbekannter durch das Firmennetz Hohe Wahrscheinlichkeit, dass zukünftig Malware und v.a. Adware transportiert werden. Skype = eBay  wann kommen Broadcasts und Push Messages? Enduser VoIP ähnlich schwierig zu kontrollieren wie Instand Messaging (Port 80 und 443!) Haben Sie eine Firmenregelung?

5 Wachstum des Voice/Daten Netwerks
Wenige Unternehmen haben heute VoIP bereits eingeführt Riesiges Wachstum in den kommenden zwei Jahren 43% werden VOIP in den nächsten 2 Jahren einführen (Economist Intelligence Unit, 2004) 26% der 2000 grössten Unternemen heute und 63% in 2006 (Deloitte & Touche) UK Dept of Trade and Industry, 2005

6 Ist VoIP nicht so sicher wie traditionelle Telefonie?
VoIP ist unsicherer 25% der befragten denken dass VOIP “viel unsicherer ist” Das sind dopplet so viele wie noch in 2003 Gartner Group Client – 2002 IP-PBXs placed offline SQL Slammer Attack 2004 VoIP State of the Market Report, Steven Taylor, Distributed Networking Associates

7 Sicherheitsrisiken Klassische IT orientierte Angriffe wie Slammer haben VoIP Infrastrukturen lahmgelegt. (z.B. Sasser und Code Red bei Merrill Lynch) Denial-of-Services Man-in-the-middle Sniffing VoIP Phreaking Bei „VoWLAN“ zusätzlich alle WLAN Security Themen Jedes VoIP Gerät basiert auf ein (unsicheres) Betriebssystem SPIT (SPAM over IT Telephony) Directory Harvesting Malformed Headers und Packets Buffer Overflow Attacks RTP Session Hijacking Soft Phones als Brückenkopf in das Firmennetz usw.

8 VoIP Sniffing – it‘s easy
z.B.

9 Die Protokolle Zunächst basiert VoIP auf IP mit allen bekannten Schwächen Vielzahl von Protokollen und Versionen wurden unter time-to-market Gesichtspunkten entwickelt und implementiert, z.B.:

10 Dynamische Portvergabe
VoIP Protokolle benutzen dynamisch und zufällig vergebene Ports z.B.: H.323 benutzt Port 1720 zum Call Setup, zufällig vergebene Ports zur Informationsübertragung Portnummern werden während eines Anrufs ständig verändert Eine konventionelle Firewall müsste tausende von Ports offenhalten.

11 Gesprächsqualität Für und Webzugriff sind Verzögerungen und Schwankungen von untergeordneter Bedeutung. VoIP ist anders! Latenz: Laufzeit von Endgerät zu Endgerät Empfehlung max. 150 msec. in einfacher Richtung Router, Firewall und VPN oftmals Flaschenhälse Jitter: Schwankungen der Laufzeitzeit Pakete werden falsch assembliert bzw. verloren Empfehlung max. 30 msec. Verschlüsselung als Hauptproblem

12 Das NAT Problem Network Address Translation (Adressumsetzung am Gateway auf Netzwerkebene) heute elementare Sicherheitsmaßnahme VoIP Protokolle verarbeiten IP-Adressen sowohl auf der Anwendungs-, als auch Netzwerkebene Z.B. wenn ein VoIP Endgerät Verkehr von einem Gerät hinter einem NAT Gateway erhält wird erfolglos versucht über die interne IP Adresse zurückzukommunizieren Signaling/Registrar SIP Phone “Please register that is ” Copy is in VoIP user database “ is registered as ”

13 Vertraulichkeit In der Regel wird VoIP nicht verschlüsselt
Eingebaute Verschlüsselungsmechanismen oft zu langsam und schwierig zu managen VoIP Pakete können genau wie Datenpakete gesnifft und durch Unbefugte reassembliert werden Anruferkennungen leicht fälschbar VoIP Voic s werden als Dateien abgelegt und sind mit „normalen“ Hackermethoden angreifbar “War Dial to ”

14 Unsere Empfehlungen VoIP implementieren, aber mit Bedacht
Prüfen ob Skype & Co. Erwünscht sind Fleißig Hersteller Patches implementieren Im Firmen-LAN VoIP und Datenverkehr über VLANs trennen Für firmeninterne VoIP Anwendungen möglichst priorisierte VPN Strecken benutzen Hardphones tendenziell sicherer Firmeninterne Softphones über VPN Client betreiben

15 Unsere Empfehlungen Bei allen VoIP Geräten Remote Access und Konfigurationsmöglichkeiten ( Backdoors!) ausschalten Default login and administrator Passwörter abschalten IT Security Infrastruktur auf VoIP QoS prüfen (Verschlüsselung in Hardware? DiffServ? Bandbreitenmanagement?) Aktuelle Firewalls/VPNs beginnen VoIP Security zu adressieren (z.B. Check Point, Juniper) Dedizierte VoIP Firewalls (z.B. BorderWare) für sehr große Implementationen prüfen

16 Habe ich Ihr Interesse geweckt?
Ich stehe Ihnen für Gespräche gerne den ganzen Tag (und Nacht) zur Verfügung Herzlichen Dank!