May 2005 - NetSec-LG - lists.gi.de

Re: AW: [NETSEC-LG] Fwd: Input fuer Tagung Sicherheit 2006
by Matthias Jaenichen 02 May '05

02 May '05

At 16:11 02.05.2005 +0200, Hannes Federrath wrote: >Mal inhaltlich gefragt: Wo ist bei VoIP eigentlich das Sicherheitsrisiko? >Geht es darum, dass die "klassische" Telekommunikationsüberwachung nicht >mehr so einfach möglich ist? Hier die "Anfrage" von Manfred Reitenspieß: >hier ein paar Gedanken zum Thema Sicherheit von VoIP Anwendungen: > >Hintergrund >----------- >VoIP Komponenten werden heute auf Basis von Standard IT implementiert >unter Benutzung von off-the-shelf Hardware und Software. Damit unterliegen >diese Systeme einem ähnlichen Gefährdungspotential wie kritische Systeme >im Rechenzentrum (z.B. SAP Systeme, Abrechnungssysteme, >Produktionssteuerungen etc). > >VoIP Einsatz >------------ >Das Einsatzgebiet von VoIP-Systemen deckt bereits heute eine grosse >Bandbreite ab und reicht von kleinen residential Anwendungen zuhause über >die Anbindung von kleinen bis mittleren grossen Firmen an das öffentliche >Telefonnetz (und die Kommunikation zwischen verschiedenen Standorten einer >Firma über das meist vorhandene IP-Netz - öffentlich oder privat) bis zum >Einsatz bei öffentlichen Netzbetreibern. Als Beispiel sei hier der >aktuelle AOL-Auftritt erwähnt, wo AOL als Telefonnetzbetreiber auftritt >unter Nutzung der VoIP-Technik. > >Das bedeutet auch, dass die Verfügbarkeit von Telefonieleistungen nicht >mehr automatisch dadurch gewährleistet ist, dass diese auf separater Netz- >und Rechnerhardware laufen. Im Gegenteil, Telefonie kann mehr und mehr zu >einem von vielen Services auf dem installierten Rechnerpark werden. >Allerdings sieht es im Augenblick eher danach aus, als ob gerade im >öffentlichen Netzbereich, aber auch bei grossen Firmen, dedizierte Systeme >dafür eingesetzt werden (schon aus Gründen der Performance). > >Durch die veränderte "konvergente" Implementierungsstruktur ist die >Verfügbarkeit auch böswilligen Angriffen ausgesetzt. > >Es ist besonders zu bemerken, dass die Akzeptanz dieser Dienstleistungen >wegen der damit verbundenen Preissenkungen sehr hoch sein wird (siehe z.B. >Nutzung von Skype). > >Fragestellungen >--------------- >Aus den beschriebenen Szenarien ergeben sich einige neue Fragestellungen, >die in bisherigen Implementierungen eher im Hintergrund geblieben sind. > >a: die Anwendungen unterliegen damit auch den Regularien der >Telekommunikationsgesetze sobald damit öffentliche Netzdienstleistungen >angeboten werden (siehe Beispiel AOL). > >b: inwieweit können Sicherheitszertifizierungen die Sicherheit des >VoIP-Anwendungen verbessern oder kontrollieren - vermutlich muss man hier >die oben genannten Einsatz- und Implementierungsszenarien unterscheiden. > >c: Welche (neuen) Risiken ergeben sich aus den geänderten Einsatz- und >Implementierungsszenarien? Und wie ist diesen Risiken zu begegnen? > >d: Gibt es einige einfache Massnahmen, z.B. auf Protokollebene oder durch >Separierung der IT-Ressourcen, die eine einfache Trennung des >Sprachverkehrs von anderen Verkehren erlauben? > >Dr. Manfred Reitenspiess >Speaker GI Computer Society Security and Safety Division - >www.gi-fb-sicherheit.de >Private mail: manfred(a)reitenspiess.de - www.reitenspiess.de

1 0

Re: AW: [NETSEC-LG] Fwd: Input fuer Tagung Sicherheit 2006
by Hannes Federrath 02 May '05

02 May '05

> > Mein Themenvorschlag daher "VoIP - Gefährdung der Sicherheit von > IuK-Netzten?!". > > Wir werden das aber hauptsächlich mit organisierten Vortrgägen > erschlagen müssen, in denen die Ergebnisse der verschiedenen Gruppen > vorgestellt werden. Eingeleitet von "was ist VoIP, wie geht das, warum > ist das ein Sicherheitrisiko?" Mal inhaltlich gefragt: Wo ist bei VoIP eigentlich das Sicherheitsrisiko? Geht es darum, dass die "klassische" Telekommunikationsüberwachung nicht mehr so einfach möglich ist? Gruß, Hannes.

2 1

Re: [NETSEC-LG] Fwd: Input fuer Tagung Sicherheit 2006
by Matthias Jaenichen 01 May '05

01 May '05

Gibt es weitere Vorschläge oder Kommentare?? MJ. At 08:03 13.04.2005 +0200, Matthias Jaenichen wrote: >At 07:20 13.04.2005 +0200, Hannes Federrath wrote: >>Ich bin zwar kein Fachgruppensprecher, leite diese mail aber trotzdem mal >>an das Netsec-LG weiter, damit wir keine Zeit mit der Nominierung verlieren... >> >>Themenvorschläge: >>- Immune Netze und Früherkennung von Angriffen > >auch wenn ich dieses Thema weiterhin für sehr wichtig halte, haben mich >die Erfahrungen aus diesem Jahr ziemlich ernüchtert. Auf der einen Seite >sind die wenigen Beiträge die sich mit der "angewandten Sicherheit" >befassen, ständig überfüllt und jeder ist froh, dazu mal einen >Grundlagenvortrag zu hören, aber beim wissenschaftlichen Review fallen sie >durch. > >>- Sicherheit mobiler Systeme >>- ... > >Wir sind gerade angesprochen worden, ein Projekt zur Sicherheitsbewertung >von VoIP-Systemen insbesondere bei Vernetzung mit der bestehenden >IT-Umgebung zu starten. Und genau zu dem Thema mochte ich eine Session >haben, in der > >1.) Die Problematik erörtert und beleuchtet wird >2.) Die vorhandenen Sicherheitskriterien auf ihreAnwendbarkeit untersucht >werden >3.) Aktuelle Untersuchungen dazu präsentiert werden > >Dazu brauchen wir auch VoIP-Hersteller und jemanden vom SIPPS-Protokoll >evtl als geladene Vorträge. > >Es gibt dazu noch nichts oder nur wenig, deshalb müssen wir die Ergebnisse >erarbeiten und das wenige was schon da ist präsentieren. Nur so bekommen >wir dises dringende Thema in den Griff und auf die Tagung. > >Im Übrigen möchte ich im September ein FG-Treffen mit genau dem gleichen >Schwerpunkt machen. Im Moment versuche ich HH als Ort zu organisieren. > >>Beim Nominieren sollten wir darauf achten, dass Personen mit >>Doppelmitgliedschaften nur von einer FG nominiert werden. > >Da ich nicht davon ausgehe, dass Wissen dazu weit verbreitet ist, werden >wir FG-intern entscheiden müssen, welche Vorträge wir brauchen um das >Thema umfassend zu beleuchten. Meine Idee ist, eine "Special Session" dazu >anzumelden. > >Prinzipiell stehe ich aber für das PC wieder zur Verfügung. > > >>Gruß, Hannes. >> >> >>Begin forwarded message: >> >>>From: Jana Dittmann <jana.dittmann(a)iti.cs.uni-magdeburg.de> >>>Date: 11. April 2005 11:26:45 MESZ >>>To: Leitungsgremium des GI-Fachbereiches Sicherheit >>><fb-lg(a)gi-fb-sicherheit.de> >>>Subject: [FB-LG] Input fuer Tagung Sicherheit 2006 >>>Reply-To: Leitungsgremium des GI-Fachbereiches Sicherheit >>><fb-lg(a)gi-fb-sicherheit.de> >>> >>>Liebe Fachgruppen-Sprecher, >>> >>>wie bereits am Freitag auf der Sicherheit 2005 angekuendigt, wird die >>>Tagung Sicherheit 2006 in Magdeburg vom 20.2.-23.2.2006 ausgerichtet. Um >>>zuegig den Call for Paper zu erstellen, bitte ich pro Fachgruppe bis zum >>>31.Mai 2005 um Meldung: >>> >>>-Benennung von 2-3 Themen für den Call for Papers >>>-Benennung von 2-3 Vorschlägen für das PC >>> >>>besten Dank und viele Gruesse, Jana Dittmann >> >>Matthias Jänichen > >_______________________________________________ >NETSEC-LG mailing list >NETSEC-LG(a)gi-fb-sicherheit.de >http://mail.gi-fb-sicherheit.de/mailman/listinfo/netsec-lg > > > Matthias Jänichen

2 2