Auf Nummer sicher

Anbieter zum Thema

genua gmbh

PROSOZ Herten GmbH

JCC Software GmbH

snom technology AG

VoIP braucht sichere Infrastruktur

Manchmal ist es lediglich ein schlechtes Netzwerk-Setup, das DoS-Probleme auslöst. Wenn man beispielsweise Sprachpaketen zwischen dem Büro und dem Service Provider keine Priorität einräumt, sollte man nicht überrascht sein, wenn ein einfacher eMail-Download-Zugang zur unbeabsichtigten DoS-Attacke von laufenden Telefonaten wird. In diesem Fall verdrängen die ankommenden eMail-Pakete die verfügbare Bandbreite und die Audio-Datenpakete schaffen es nicht mehr rechtzeitig zum Empfänger.

Um sicher zu gehen, dass wenigstens das LAN den Voice-Daten höhere Priorität verschafft, sollte man auf Virtual Local Area Network (VLAN) setzen. Fast alle modernen Switches unterstützen VLAN-Tagging, das dem Switch signalisiert, zu welchen VLAN das zu verarbeitende Ethernetpaket gehört. Das löst auch schon den größten Teil des Problems. Wenn darüber hinaus der Ethernet Switch auch Bandbreitenlimitierung auf Trunks unterstützt, können ankommende Attacken abgewehrt werden, bevor sie das Gerät erreichen.

Bezüglich Firewalls ist immer wieder zu hören, dass diese alle ein- und ausgehenden Daten verstehen müssten, das heißt auch SIP-Daten. Bei älteren Firewalls können durchaus Probleme in Sachen VoIP und SIP auftreten. Moderne Firewalls erkennen jedoch zunehmend VoIP- und SIP-Datenpakete und sichern deren ungestörtes Durchkommen, indem sie den Paketen die entsprechende Priorität geben. Einige Firewalls übernehmen sogar das Verschlüsseln von unverschlüsselten SIP- und RTP-Daten und übersetzen diese in sichere TLS- und SRTP-Pakete (beispielsweise InGate oder Borderware).

Bei der Installation eines kostenfreien Softphones auf dem PC ist gehörig Vertrauen in die Ehrlichkeit des Herstellers gefordert. Nutzt eine Applikation ein eigenes, verschlüsseltes Protokoll für die Kommunikation nach draußen, kann die Firewall nicht mehr beurteilen, ob gerade telefoniert wird oder Unternehmensdaten auf den Rechner eines Angreifers hochgeladen werden. Kann der Hersteller eines solchen Softphones der kleinen Hintertür in der Software widerstehen? Im Gegensatz zu anderer Software braucht das Softphone legitim die Verbindung durch die Firewall, sodass Benutzer und Administrator entsprechende Sicherheitshinweise ignorieren und die Software gewähren lassen. Der klassische Fall eines Trojanischen Pferdes: Eine Angriffswaffe nett verpackt in Form eines Geschenks.

Während SBC (Session Border Controller) für Internet Service Provider zum Standard gehören, erkennen inzwischen auch Unternehmen und Organisationen deren Nützlichkeit für den reibungslosen VoIP-Telefonbetrieb. Der sogenannte Mini-SBC regelt beispielsweise den Sprachdatenfluss in beide Richtungen und gewährleistet, dass das Markieren von Paketen sauber funktioniert.

(ID:2008305)