VoIP unsicher? Hype oder Realität?

1. VoIP unsicher? Hype oder Realität? Walter Jekat Geschäftsführer NOXS Technology Germany Chief Technology Officer NOXS Europe

2. Einige (wenige) Worte zu NOXS • Pan-Europäischer Spezialdistributor im IT-Security Bereich • Fokus auf innovative Produkte und Dienstleistungen • Langjähriger partnerschaftliche Zusammenarbeit mit der NetUSE

3. Die Konvergenz von Voice und Daten Datennetzwerk Internet Voice Netzwerk • Unternehmen migrieren Voice von PSTN auf Datennetzwerke um: • Neue Applikationen zu unterstützen – 72% • Offene, erweiterbare Systeme zu implementieren - 59% • Unterhaltskosten einzusparen – 53% • Anschaffungskosten zu minimieren – 50% • Infonetics report

4. Vorweg: Enduser vs. Enterprise VoIP • Viele Enduser implementieren unauthorisierte VoIP Clients in Firmennetzen • Protokolle wie Skype sind peer-to-peer • Der Client transportiert laufend Datenpakete Unbekannter durch das Firmennetz • Hohe Wahrscheinlichkeit, dass zukünftig Malware und v.a. Adware transportiert werden. • Skype = eBay  wann kommen Broadcasts und Push Messages? • Enduser VoIP ähnlich schwierig zu kontrollieren wie Instand Messaging (Port 80 und 443!) • Haben Sie eine Firmenregelung?

5. Wachstum des Voice/Daten Netwerks • Wenige Unternehmen haben heute VoIP bereits eingeführt • Riesiges Wachstum in den kommenden zwei Jahren • 43% werden VOIP in den nächsten 2 Jahren einführen (Economist Intelligence Unit, 2004) • 26% der 2000 grössten Unternemen heute und 63% in 2006 (Deloitte & Touche) UK Dept of Trade and Industry, 2005

6. Ist VoIP nicht so sicher wie traditionelle Telefonie? • VoIP ist unsicherer • 25% der befragten denken dass VOIP “viel unsicherer ist” • Das sind dopplet so viele wie noch in 2003 • Gartner Group Client – 2002 • IP-PBXs placed offline • SQL Slammer Attack 2004 VoIP State of the Market Report, Steven Taylor, Distributed Networking Associates

7. Sicherheitsrisiken • Klassische IT orientierte Angriffe wie Slammer haben VoIP Infrastrukturen lahmgelegt. (z.B. Sasser und Code Red bei Merrill Lynch) • Denial-of-Services • Man-in-the-middle • Sniffing • VoIP Phreaking • Bei „VoWLAN“ zusätzlich alle WLAN Security Themen • Jedes VoIP Gerät basiert auf ein (unsicheres) Betriebssystem • SPIT (SPAM over IT Telephony) • Directory Harvesting • Malformed Headers und Packets • Buffer Overflow Attacks • RTP Session Hijacking • Soft Phones als Brückenkopf in das Firmennetz • usw.

8. VoIP Sniffing – it‘s easy z.B. http://www.irongeek.com/i.php?page=videos/cainvoip1

9. Die Protokolle • Zunächst basiert VoIP auf IP mit allen bekannten Schwächen • Vielzahl von Protokollen und Versionen wurden unter time-to-market Gesichtspunkten entwickelt und implementiert, z.B.:

10. Dynamische Portvergabe • VoIP Protokolle benutzen dynamisch und zufällig vergebene Ports • z.B.: H.323 benutzt Port 1720 zum Call Setup, zufällig vergebene Ports zur Informationsübertragung • Portnummern werden während eines Anrufs ständig verändert • Eine konventionelle Firewall müsste tausende von Ports offenhalten.

11. Gesprächsqualität • Für E-Mail und Webzugriff sind Verzögerungen und Schwankungen von untergeordneter Bedeutung. VoIP ist anders! • Latenz: • Laufzeit von Endgerät zu Endgerät • Empfehlung max. 150 msec. in einfacher Richtung • Router, Firewall und VPN oftmals Flaschenhälse • Jitter: • Schwankungen der Laufzeitzeit • Pakete werden falsch assembliert bzw. verloren • Empfehlung max. 30 msec. • Verschlüsselung als Hauptproblem

12. Das NAT Problem • Network Address Translation (Adressumsetzung am Gateway auf Netzwerkebene) heute elementare Sicherheitsmaßnahme • VoIP Protokolle verarbeiten IP-Adressen sowohl auf der Anwendungs-, als auch Netzwerkebene • Z.B. wenn ein VoIP Endgerät Verkehr von einem Gerät hinter einem NAT Gateway erhält wird erfolglos versucht über die interne IP Adresse zurückzukommunizieren Signaling/Registrar SIP Phone “Please register that 192.168.10.1 is 1-650-628-2000” Copy 192.168.10.1 is 1-650-628-2000 in VoIP user database “192.168.10.1 is registered as 1-650-628-2000.”

13. Vertraulichkeit • In der Regel wird VoIP nicht verschlüsselt • Eingebaute Verschlüsselungsmechanismen oft zu langsam und schwierig zu managen • VoIP Pakete können genau wie Datenpakete gesnifft und durch Unbefugte reassembliert werden • Anruferkennungen leicht fälschbar • VoIP Voicemails werden als Dateien abgelegt und sind mit „normalen“ Hackermethoden angreifbar “War Dial 1-650-628-2000 to 1-650-628-2250”

14. Unsere Empfehlungen • VoIP implementieren, aber mit Bedacht • Prüfen ob Skype & Co. Erwünscht sind • Fleißig Hersteller Patches implementieren • Im Firmen-LAN VoIP und Datenverkehr über VLANs trennen • Für firmeninterne VoIP Anwendungen möglichst priorisierte VPN Strecken benutzen • Hardphones tendenziell sicherer • Firmeninterne Softphones über VPN Client betreiben

15. Unsere Empfehlungen • Bei allen VoIP Geräten Remote Access und Konfigurationsmöglichkeiten (Backdoors!) ausschalten • Default login and administrator Passwörter abschalten • IT Security Infrastruktur auf VoIP QoS prüfen (Verschlüsselung in Hardware? DiffServ? Bandbreitenmanagement?) • Aktuelle Firewalls/VPNs beginnen VoIP Security zu adressieren (z.B. Check Point, Juniper) • Dedizierte VoIP Firewalls (z.B. BorderWare) für sehr große Implementationen prüfen

16. Habe ich Ihr Interesse geweckt? • Ich stehe Ihnen für Gespräche gerne den ganzen Tag (und Nacht) zur Verfügung • Herzlichen Dank!