Das Problem liege nicht in der VoIP-Technik, sondern in ihrer Implementierung, erklärte Barrie Dempster, Senior Security Consultant bei dem Hersteller Next Generation Security Software (NGSS), gegenüber der "Network World", US-amerikanische Schwester-publikation der computerwoche. "Wird die traditionelle Logik der Netzabsicherung auf VoIP übertragen, kann man es so sicher wie jedes andere Protokoll machen."
Head
Text
Noch in den Kinderschuhen
Der Ruf, anfällig zu sein, kommt überwiegend daher, dass die VoIP-Technik noch relativ neu ist und bei der Erstellung des Codes nicht unbedingt die Sicherheit im Vordergrund stand ein Problem, das viele junge Technologien plagt. So verweist Dempster auf Wege, die Open-Source-basierende IP-Telefonanlage (IP PBX) Asterisk anzugreifen, unter anderem mit Buffer Overflow. Dieser und anderer Schwachstellen könne man aber Herr werden, indem man den Code für nicht benötigte Features entferne und die genutzten Funktionen regelmäßig einer Sicherheitsüberprüfung unterziehe. "Das Problem sind nicht die spezifischen Schwachstellen selbst", so Dempster. "Es ist der Reifegrad der Software. Es wurden einfach noch nicht genügend Sicherheits-Checks vorgenommen."
Das Problem ist bekannt, und entdeckte Schwachstellen wurden inzwischen veröffentlicht, um Gegenmittel zu entwickeln. So stellt etwa die VoIP Security Alliance auf ihrer Website eine Reihe von Hacker-Tools zur Verfügung und bewirbt sie als Testwerkzeuge, mit denen Nutzer überprüfen können, ob ihre VoIP-Ausrüstung realen Attacken standhält.
Schwachstelle Tastentöne
Auch abgesicherte VoIP-Systeme ließen sich knacken, erklärt indes Peter Thermos, CTO des Security-Beraters Palindrome Technologies. Er verweist auf Schwachstellen im Media Gateway Control Protocol (MGCP), die es ermöglichten, Anrufe umzuleiten oder abzubrechen. Daneben gebe es eine Sicherheitslücke in dem von Phil Zimmermann entwickelten VoIP-Verschlüsselungsprotokoll ZRTP, da dieses nicht die Töne der Tasten beim Eingeben von Nummern verschlüssele. Auf diese Weise könnten via VoIP übermittelte Kreditkartennummern ausgekundschaftet werden, so Thermos.
Individuelle Maßnahmen
MGCP müsse korrigiert werden, bis dahin könnten Nutzer sich damit behelfen, unautorisierten Zugang zu den von MGCP verwendeten Ports zu blockieren, erklärt der Sicherheitsspezialist. Das Problem bei ZRTP habe nicht das Protokoll selbst, sondern seine Implementierung betroffen und sei mit einem Patch behoben worden.
Der Königsweg für Unternehmen, die VoIP einführen, ist es laut Thermos, rechtzeitig individuelle Sicherheitsanforderungen festzulegen. Diese könnten sich von Fall zu Fall unterscheiden. Ein Finanzdienstleister oder eine Behörde benötigten etwa Vertrau-lichkeit und damit eine stärkere Verschlüsselung als andere Anwender. Ein verbreiteter Fehler sei es, dass Kunden die Sicherheits-anforderungen für ihr spezielles Netz nicht im Vorfeld definierten und später in der Security-Ausstattung zusätzliche Kosten sähen. Hinzu komme, dass Security-Tools, die rechzeitig in Stellung gebracht würden, VoIP besser vor noch nicht entdeckten Bedrohungen schützten.
Trotz der speziellen Angriffsmöglichkeiten vertreten einige Experten die Auffassung, dass VoIP sicherer als das gute alte Festnetz (PSTN) sei. Zu ihnen gehört Ari Takanen, CTO von Codenomicon, einem finnischen Anbieter von Tools für Software-Zuverlässigkeits- und Datensicherheitstests. Sicher gebe es VoIP-Schwachstellen, aber diese ließen sich überwinden, führte Takanen kürzlich auf der "VON Europe 2007" in Stockholm aus: "IP-Systeme sind stärker exponiert, aber es gibt mehr Security-Lösungen, als man installieren kann", fügte er hinzu. Dumm sei nur, wenn man das breite Angebot nicht nutze.
Cullen Jennings, ein angesehener Ingenieur von Ciscos VoIP-Gruppe, wies auf der Konferenz darauf hin, dass sich die Caller-ID in PSTN-Netzen leicht fälschen lasse und Gebührenbetrug über herkömmliche Telefonanlagen noch immer üblich sei. Im Festnetz werde vor allem die fast ständige Verfügbarkeit eines Freizeichens als Zeichen hoher Dienstgüte gepriesen, so Jennings. Dies bedeute aber nicht, dass das herkömmliche Festnetz unverwundbar oder gar besser als VoIP sei.
Die Hauptbedrohungen für VoIP
Als größte Gefahren nannte die Diskussionsgruppe auf der VON Europe
u Zero-Day-Attacken, für die die Anbieter noch keinen Patch entwickelt haben;
u Sicherheitsmaßnahmen, die wegen ihrer Komplexität nicht aktiviert wurden.
u sowie anbieterspezifische Schwachstellen, gegen die Best Practices nicht helfen.
Letztendlich würden Unternehmen aber wegen Sicherheitsbedenken allein VoIP nicht den Rücken kehren, sagte Akif Arsoy, VoIP-Produkt-Manager bei Verisign. Sie würden es einführen, um Sprache und Daten gemeinsam im Netz nutzen zu können. Bei Endkunden hänge die Entscheidung davon ab, was sie mit VoIP bekommen, was mit herkömmlicher Telefonie nicht möglich ist.
Selbst dann sollten die Anwender damit rechnen, dass in Kürze weitere VoIP-Sicherheitslücken bekannt würden, sagte Palindrome-CTO Thermos. Sein Unternehmen habe bereits weitere Schwachstellen im Signalprotokoll und Sicherheitslücken in der Implementierung entdeckt. "Wir stoßen erst an den Anfang von vielen Exploits, die sich anbahnen."