Bundesamt für Sicherheit in der Informationstechnik

Sichere VoIP-TK-Anlage

Voice over IP (VoIP) bezeichnet das Telefonieren über Computernetze, insbesondere über das Internet. Die dabei anfallenden Nutzdaten (Sprache) und Steuerungsdaten (zum Verbindungsaufbau) können über das gleiche Netz übertragen werden wie andere Computerdaten. Durch diese gemeinsame Nutzung des Netzes können Kosten reduziert werden, was vor allem im Unternehmensumfeld interessant ist.

Bisher sind die Schnittstellen und Datenübertragung bei Telekommunikations-Anwendungen (TK-Anwendungen) nur ungenügend abgesichert, sie sind Schadsoftware aus dem Computernetzwerk genauso ausgesetzt wie IP-Telefone, Softphones und Server. Neben der Beeinträchtigung der Funktion der Telefonanlage können auch Gesprächsdaten manipuliert und abgehört werden.

Deswegen hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Projekt SiVoIP (Sichere Voice over IP Telekommunikationsanlage) beauftragt. Ziel dieses Projektes, welches von der Firma AMOOMA durchgeführt wurde, ist es, eine Anlage als Free/Libre Open Source Software (FLOSS) unter Nutzung offener Standards zur Verfügung zu stellen, welche die Angriffsfläche minimiert und somit möglichst hohe Sicherheit bietet. SiVoIP soll auch Anwender ohne Detailwissen in die Lage versetzen, eine solche Anlage auf einfache Weise zum Einsatz zu bringen, zu konfigurieren und sicher zu betreiben.
Das Produkt SiVoIP ist gedacht für den sicheren Einsatz als TK-Anlage in kleineren Unternehmen oder Behörden. Da bei der Entwicklung von SiVoIP nicht die Funktionsvielfalt, sondern Sicherheit im Fokus stand, sollte vor dem Einsatz geprüft werden, ob SiVoIP die jeweiligen Bedürfnisse an eine TK-Anlage auch erfüllt. Natürlich kann SiVoIP auch zum Testen ausprobiert und als Freie Software verbessert und erweitert werden.

Aufbau

SiVoIP ist modular aufgebaut und besteht aus den folgenden Komponenten:

  • FreeSwitch als Kern der TK-Anlage, der die Mediendienste bereitstellt.
  • Kamailio, ein SIP-Proxy zur Filterung von SIP-Paketen (SIP ist das Session Initiation Protocol, das den Aufbau einer Kommunikationsverbindung regelt).
  • iptables als Paketfilter.
  • Gemeinschaft 4, die zentrale Verwaltungsinstanz zur Steuerung der kompletten Anlagenlogik.
  • SQLite als Datenbank.

Alles zusammen, wie hier in der Grafik veranschaulicht, ist SiVoIP:

SiVoIP besteht aus den Komponenten: FreeSwitch, Kamailio, iptables, Gemeinschaft 4 und SQLite SiVoIP

Sicherheitseigenschaften von SiVoIP

  • SiVoIP basiert auf dem gehärteten Betriebssystem Mikro-Knoppix. Nur benötigte Dienste und Ports wurden installiert bzw. freigeschaltet um die Angriffsfläche zu minimieren.
  • Rechte sind restriktiv vergeben nach dem Prinzip "So viel wie nötig, so wenig wie möglich". Dies wird zusätzlich durch Mandatory Access Control (AppArmor) unterstützt.
  • Ein Paketfilter (iptables) filtert alle Zugriffe auf das System (z. B. Anzahl Pakete/Sekunde und Anzahl fehlerhafter Registrierungen/IP-Adresse um DoS-Attacken abzuwehren).
  • Der SIP-Proxy Kamailio filtert die gesamte SIP-Kommunikation. Dabei wird eine Validierung der SIP-Pakete durchgeführt.
  • Als eigentliche TK-Anlage wird FreeSwitch eingesetzt. Die Konfiguration erlaubt FreeSwitch mittels SIP nur intern über ein Loopback-Device zu kommunizieren.
  • Die komplette Konfiguration von SiVoIP findet verschlüsselt über die HTTPS-Schnittstelle der Rails-Applikation (Gemeinschaft) statt.
  • Die Kommunikation mit der Datenbank SQLite erfolgt nur über ODBC-API der Rails-Applikation, die SQL-Befehle aus Anfragen erzeugt und Eingaben validiert, um Angriffe über SQL-Injection abzuwehren.
  • Eine Verschlüsselung der Gespräche ist mit SRTP und eine Verschlüsselung des Gesprächsaufbaus durch Nutzung von SIP mit TLS möglich.
  • SiVoIP wird als Appliance auf einem CD-ISO-Image ausgeliefert, das mit einer Prüfsumme versehen ist. Bei der Erstinstallation werden zwei 750MB große Partitionen angelegt, die das ISO-Image und ein Backup davon enthalten. Für die Datenbank und Nutzdaten wird beim ersten Starten jeweils ein verschlüsseltes Dateisystem angelegt, das sich in der Standard-Installation auf einem USB-Stick/Festplatte befindet.

Funktionalitäten

  • Rufumleitungen:
    Es können Rufumleitungen für bestimmte Quellen und Ziele, z. B. auch ein Anrufbeantworter, konfiguriert werden. Dabei wird zwischen fünf Umleitungsfällen unterschieden, wo auch eine Assistent- bzw. Chefsekretärinnenfunktion enthalten ist.
  • Kontakte:
    Kontakte können anlagenweit oder spezifisch für ein bestimmtes Nutzerkonto angelegt werden. Kontakte können auch über LDAP importiert werden.
  • Anrufbeantworter / Voicemail
  • Warteschleifen:
    Jeder in der Warteschleife eingeloggte Nutzer kann Anrufe an die Nummer der Warteschleife entgegennehmen.
  • Konferenzschaltung:
    Es wird zwischen globalen und persönlichen Konferenzräumen unterschieden, wobei Letztere einem Nutzer zugeordnet werden, der die PIN für den Zugang zum Konferenzraum ändern kann.
  • Routing:
    Bei der Konfiguration der Telefonanlage wird festgelegt, wie mit der Außenwelt kommuniziert werden darf und welche Regeln dabei zu berücksichtigen sind.
  • E-Mail-Dienste:
    Darüber können ankommende Faxe mittels E-Mail an die Nutzer von SiVoIP zugestellt werden bzw. eingehende E-Mails der Nutzer als Fax verschickt werden. PDF-Dokumente können auch über die grafische Oberfläche von Nutzern als Fax verschickt werden.
  • Backup:
    Das System wird komplett gesichert, so dass die Sicherung auch für den Umzug auf größere Speichermedien oder für Revisionszwecke genutzt werden kann.

Weitere Informationen

Präsentationen

Externe Links

Unter den folgenden Links können Sie ein ISO-Image, den Quellcode und Hinweise zum Bauen von SiVoIP beziehen:

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK