Eine anlässlich der Systems veröffentlichte Studie des Bundesamtes für Sicherheit in der Informationstechnik beschäftigt sich mit der Sicherheit von VoIP-Diensten. Eine unbedarfte Einführung von VoIP berge erhebliche Bedrohungspotentiale in sich, heißt es in dem veröffentlichten Papier VoIPSec. Obwohl bisher noch keine spektakulären Angriffe bekannt geworden seien, sei es nur eine Frage der Zeit, bis Probleme auftauchen würden.
"Die Studie definiert Sicherheit durch drei Säulen: Verfügbarkeit, Integrität und Vertraulichkeit. Hierbei ist die Verfügbarkeit die größte Herausforderung für VoIP-Lösungen", erklärte Karl-Heinz Garbe, einer der Studienautoren. "Bei herkömmlichen Telekommunikations(TK)-Anlagen liegt die Verfügbarkeit bei 99,999 Prozent. "Dies bedeutet eine Downtime von fünf Minuten jährlich. Bei VoIP-Anlagen ist mit einer Verlässlichkeit von 97-98 Prozent zu rechen." Damit liegt die Downtime schon bei sieben bis zehn Tagen jährlich. Das Problem bei VoIP-Anlagen ist, dass "sie die meisten Schwachstellen von herkömmlichen TK-Anlagen behalten und noch die Probleme von Datennetzen dazu bekommen", so Garbe. Diese zu minimieren, etwa durch doppelte Leitungsführung, ist mit zusätzlichen Kosten verbunden.
"Mit der Verbreitung neuer Systeme erhöht sich auch das Risiko für Angriffe. Bei der Systemauswahl sollten die realisierten Sicherheitsmaßnahmen im Fokus stehen und nicht nur die Systemfunktionalität", sagte Udo Helmbrecht, Präsident des BSI. Mit der Implementierung von VoIP-Diensten würden derzeit vor allem Kosteneinsparungen angestrebt. Das gehe zumeist zu Lasten der Sicherheit. Geeignete Gegenmaßnahmen sind heute technisch und organisatorisch umsetzbar, jedoch mit finanziellem Aufwand verbunden, der die Kostenersparnis mindern kann, so die Autoren. Problematisch sei, dass nur ein Bruchteil der aktuell auf dem Markt befindlichen Systeme die notwendigen Sicherheitsmaßnahmen in erforderlichem Umfang unterstützen.
Weit verbreitet seien Abhörtools, wie Vomit für SIP, das ein Mitschneiden der Gespräche ermöglicht, und H.323 Plug-Ins für den Ethernet-Sniffer Etherreal, der Ziel- und Quelladresse eruiert. Außerdem rät das BSI zur Vorsicht bei nicht ordentlich implementierten Sicherheitsmaßnahmen von Endgeräte-Herstellern. Als Beispiel werden IP-Telefone genannt, die zwar eine Verschlüsselung durch SRTP (Secure Real Time Protocol) unterstützen, den Schlüssel jedoch in Folge im Klartext übertragen.
Vor der Anschaffung eines IP-basierten Telefonsystems ist die Erstellung eines Sicherheitskonzeptes unerlässlich, rät Garbe. "Der Unternehmer muss sich bewusst werden, welche Anforderungen er an das System stellt, wie hoch die Vertraulichkeit der Telefonate ist und wie umfangreich der jeweilige Schutzbedarf ist." Auf Basis des individuellen Konzeptes sei die Planung gut umzusetzen. Zentrale Empfehlung der Studie ist eine Trennung von IP-Sprach- und IP-Datennetz, wie die Autoren anhand einiger Beispiele darstellen.
SRTP/SIPS ist zumindest ein Schrit in die richtige Richtung - durch die Authentifizierungsmechanismen ist immerhin ein gewisses Mindestsicherheitsniveau gegeben ... Wobei Cisco da schon wieder ein eigenes Süppchen kocht und hauseigene Standards etablieren will. Natürlich sind dann die Cisco-Geräte auch nur zu diesem kompatibel^^
Für Firmen vor allem interessant ist die Abschottung von internem, VOIP-Netz, und extermen Telefonnetz mittels SBCs. Das ist mit wenig Aufwand verbunden und recht effektiv. Man kann das z.b. auch mit Brücken kombinieren, die Gespräche von internem Netz ins externe komplett entkoppeln. Trotzdem verschließen die meisten wieder mal gutgläubig die Augen ... und nachher ist das Geschrei groß.
Denen müsste man mal zeigen, wie einfach es ist, Gespräche abzuhören oder Attacken auf z.b. das RTP-Protokoll zu fahren....
