Sicherheit in der VoIP Kommunikation

Snoms Sicherheitsverständnis

Snom ist ein Sicherheitsbewusster VoIP Hersteller und permanent fokussiert darauf, das höchste Maaß an Sicherheit bei allen unseren angebotenen Geräten und Lösungen zu gewährleisten. Dies zeigt sich auch in dem Umstand, dass Snom bereits seit dem Juni 2016 Mitglied im deutschen Bundesverband "TeleTrusT IT-Sicherheit" ist.

Dank der Umstrukturierung unserer Firmware Update Entwicklungs Prozeduren sind wir in der Lage mindestens 4 Updates pro Jahr herauszubringen. Dies versetzt uns in die Lage nicht nur unseren Funktionsumfang zu erweitern, sondern proaktiv jede potenzielle Sicherheitslücke bereits im Vorhinein zu berücksichtigen.

Zu unserem Sicherheitskonzept gehört:

• Nachdem Sie ein neues Telefon mit einem Benutzer ausgestattet haben, schaltet es automatisch in den "HTTPS Only" Modus, sodaß jede weitere Kommunikation SSL gesichert ist.
• Wir arbeiten generell mit der neusten TLS Version.
• Wir unterstützen die 802.1x Authentifikation
• Wir bieten einen OpenVPN Klient an
• Wir unterstützen alle gängigen Secure Protokolle, wie, z.B. SIPS, SRTP, und viele mehr.
• Wir verwenden die Mozilla "Trusted CA" Sammlung und aktualisieren die Liste mit jedem Firmware Update.
• Neben der Möglichkeit die von Snom zertifizierte CA zu verwenden und den dazu passenden Key auf jedem Telefon, können Sie auch problemlos eigene Zertifikate einspielen.
• Besonderes Higlight hierbei ist die Möglichkeit, nicht nur das Telefon am Server zu authentifizieren, sondern auch den Server am Telefon.

Sicherheit im Zeitalter von VoIP

Wenn Diebe in ein Haus einbrechen wollen, führen sie in der Regel vorher eine eigene Risikobewertung durch:

Wenn der erwartete Wert der Gegenstände, die sie aus dem Haus stehlen wollen, die Risiken des Einbruchs überwiegt, dann werden sie ihre Entscheidung treffen. Beim Hacken einer geschäftlichen Telefonanlage sind die Prinzipien ähnlich, aber das Ausmaß ist anders.

Angesichts des weltweiten VoIP-Markts, für den bis 2024 ein Volumen von 93,2 Mrd. $ prognostiziert wird, wird das Hacken und Ausbeuten von Telefonsystemen (in der Szene "Cracken" genannt) schnell zu einem lukrativen Unterfangen für entsprechend geschickte Cyberkriminelle. Da der Wert dieser unrechtmäßigen Gewinne jedes Jahr exponentiell ansteigt, ist es für jeden in der Branche, einschließlich der Netzbetreiber, Service-Provider, Systemintegratoren, IT-Administratoren/Benutzer und natürlich der Hardware- und Software-Anbieter und -Hersteller selbst, unerlässlich, die Netzwerksicherheit zu priorisieren und zu verbessern.

Nicht nur die Zunahme des weltweiten Marktanteils der IP-Telefonie bietet ein attraktives Ziel für Hacker, sondern auch das veränderte Geschäftsverhalten.

Und mit dem Wechsel zur Remote-Arbeit, der schneller vonstattengeht als ursprünglich vorausgesagt, der Verbreitung von BYOD (die Praxis, das eigene Gerät mitzubringen und in der Firma zu benutzen) und der zunehmenden Umstellung der Unternehmen auf All-IP-Lösungen wächst der Markt nicht nur, sondern er verändert sich auch rasant. Und wo es Veränderungen gibt, gibt es auch Unsicherheiten und unvorhersehbare Entwicklungen, die einen fruchtbaren Boden für diejenigen bieten, die kriminell geneigt sind, jede sich bietende Gelegenheit auszunutzen.

Aber wie machen sie das?
Welches sind die gängigsten Methoden von kriminell veranlagten und technisch versierten Hackern (Crackern)?
Was passiert bei einem Einbruch?

Um Zugriff auf ein Telefoniesystem zu erlangen, benötigen Cracker das Passwort des Geräts, das sie ins Visier nehmen. Um an dieses Passwort zu gelangen und ein IP-PBX-System erfolgreich zu kompromittieren, identifizieren die Hacker eine IP-Nebenstelle im Netzwerk und bombardieren dieses Gerät dann mit verschiedenen Passwörtern in der Hoffnung, dass eines davon richtig ist. Das klingt zwar ziemlich aussichtslos, aber viele Benutzer ändern ihre standardmäßig eingestellten Passwörter nicht. Außerdem können Hacker in wenigen Minuten Tausende von Passwörtern an eine Erweiterung senden. In vielen Fällen dauert es nicht lange, bis die Hacker das richtige Passwort erraten und sich beim IP-PBX-System anmelden. Oder sie finden Schwachstellen in einem System, sodass sie die Passwortanforderungen umgehen oder überschreiben können, oder sie nutzen Phishing-Methoden, indem sie sich z. B. als IT-Administrator ausgeben, um an Passwörter zu gelangen.

Leider nimmt die Zahl der Bedrohungen für Netzwerke zu, und eine oberflächliche Suche zeigt eine ominöse Liste bösartiger Angriffe wie

• "Brute Force",
• "Man in the Middle",
• “DDoS” (Distributed Denial of Service) und
• "Spoofing",

die alle eine ernsthafte Bedrohung für eine ungesicherte Kommunikation darstellen.

Sobald ein Cracker Zugriff auf das System hat, gibt es viele Möglichkeiten, das IP-Telefonnetz zum Erliegen zu bringen und dem Unternehmen möglicherweise große Summen zu entziehen. Einer der häufigsten und tatsächlich auch schädlichsten Angriffe besteht darin, dass professionelle Kriminelle ein ganzes Callcenter an den kompromittierten Netzwerkanschluss anschließen und in kurzer Zeit Tausende von Anrufen über diesen einen Anschluss umleiten. Je nachdem, wie die IP-Telefonanlage ihre Anrufe weiterleitet und wie regelmäßig das Unternehmen seine Rechnungen erhält, kann diese Aktivität monatelang andauern, bevor sie entdeckt wird, und die Telefonrechnung in astronomische Höhe treiben.

Dies ist zwar die primäre Vorgehensweise für Cracker und Betrüger, um ein schlecht geschütztes System auszunutzen, aber schwache Passwörter und eine fehlende Verschlüsselung in einer IP-PBX-Infrastruktur können auch anderen Arten von bösartigen Aktivitäten Tür und Tor öffnen. So ist es beispielsweise aufgrund der computerisierten Struktur der IP-Telefonie viel einfacher als bei Festnetztelefonen, interne Gespräche heimlich aufzuzeichnen. Anstatt ein physisches Gerät installieren zu müssen, können Anrufe einfach mit der richtigen Software aufgezeichnet werden. Oftmals geht diese Art von Bedrohung von einem Mitarbeiter innerhalb des Unternehmens aus, was es schwierig macht, sich dagegen zu schützen. Wenn ein Unternehmen ein unverschlüsseltes VoIP-Protokoll verwendet, gibt es keine Barriere, die das Aufzeichnen von Anrufen verhindert. Selbst wenn die Bedrohung nicht von einem Mitarbeiter ausgeht oder von externen Gruppen, die ein Interesse daran haben, die Telefongespräche eines Unternehmens aufzuzeichnen, könnte ein Trojaner verwendet werden, um das Aufzeichnungstool zu installieren. Noch schlimmer wird es, wenn über das Telefon in das Firmennetzwerk eingedrungen wird - in die gesamte Serverstruktur, wie ein Einbrecher, der über den Keller in ein Haus einsteigt.