At 16:11 02.05.2005 +0200, Hannes Federrath wrote:

Mal inhaltlich gefragt: Wo ist bei VoIP eigentlich das Sicherheitsrisiko? Geht es darum, dass die "klassische" Telekommunikationsüberwachung nicht mehr so einfach möglich ist?

Hier die "Anfrage" von Manfred Reitenspieß:

hier ein paar Gedanken zum Thema Sicherheit von VoIP Anwendungen:

Hintergrund ----------- VoIP Komponenten werden heute auf Basis von Standard IT implementiert unter Benutzung von off-the-shelf Hardware und Software. Damit unterliegen diese Systeme einem ähnlichen Gefährdungspotential wie kritische Systeme im Rechenzentrum (z.B. SAP Systeme, Abrechnungssysteme, Produktionssteuerungen etc).

VoIP Einsatz ------------ Das Einsatzgebiet von VoIP-Systemen deckt bereits heute eine grosse Bandbreite ab und reicht von kleinen residential Anwendungen zuhause über die Anbindung von kleinen bis mittleren grossen Firmen an das öffentliche Telefonnetz (und die Kommunikation zwischen verschiedenen Standorten einer Firma über das meist vorhandene IP-Netz - öffentlich oder privat) bis zum Einsatz bei öffentlichen Netzbetreibern. Als Beispiel sei hier der aktuelle AOL-Auftritt erwähnt, wo AOL als Telefonnetzbetreiber auftritt unter Nutzung der VoIP-Technik.

Das bedeutet auch, dass die Verfügbarkeit von Telefonieleistungen nicht mehr automatisch dadurch gewährleistet ist, dass diese auf separater Netz- und Rechnerhardware laufen. Im Gegenteil, Telefonie kann mehr und mehr zu einem von vielen Services auf dem installierten Rechnerpark werden. Allerdings sieht es im Augenblick eher danach aus, als ob gerade im öffentlichen Netzbereich, aber auch bei grossen Firmen, dedizierte Systeme dafür eingesetzt werden (schon aus Gründen der Performance).

Durch die veränderte "konvergente" Implementierungsstruktur ist die Verfügbarkeit auch böswilligen Angriffen ausgesetzt.

Es ist besonders zu bemerken, dass die Akzeptanz dieser Dienstleistungen wegen der damit verbundenen Preissenkungen sehr hoch sein wird (siehe z.B. Nutzung von Skype).

Fragestellungen --------------- Aus den beschriebenen Szenarien ergeben sich einige neue Fragestellungen, die in bisherigen Implementierungen eher im Hintergrund geblieben sind.

a: die Anwendungen unterliegen damit auch den Regularien der Telekommunikationsgesetze sobald damit öffentliche Netzdienstleistungen angeboten werden (siehe Beispiel AOL).

b: inwieweit können Sicherheitszertifizierungen die Sicherheit des VoIP-Anwendungen verbessern oder kontrollieren - vermutlich muss man hier die oben genannten Einsatz- und Implementierungsszenarien unterscheiden.

c: Welche (neuen) Risiken ergeben sich aus den geänderten Einsatz- und Implementierungsszenarien? Und wie ist diesen Risiken zu begegnen?

d: Gibt es einige einfache Massnahmen, z.B. auf Protokollebene oder durch Separierung der IT-Ressourcen, die eine einfache Trennung des Sprachverkehrs von anderen Verkehren erlauben?

Dr. Manfred Reitenspiess Speaker GI Computer Society Security and Safety Division - www.gi-fb-sicherheit.de Private mail: manfred@reitenspiess.de - www.reitenspiess.de