Sonntag 21 September 2014

Voip-Hacking - Das große Lauschen

Die Kompromittierung von Telefonieservices ist weder neu noch an bestimmte Technologien gebunden. Abgehört und manipuliert wurde zu allen Zeiten an jedem Ort und ohne Rücksicht auf die zugrundeliegende Technik. Mit der Durchsetzung von Voice-over-IP als neuem Paradigma der Sprachkommunikation ist die Diskussion neu entflammt, auch weil es so schöne spektakuläre Beispiele gibt. Aus verschiedenen Gründen erscheint das Schnüffeln und Manipulieren mit VoIP einfacher als in vergangenen Zeiten. Die Frage ist, ob und wie sich Unternehmen gegen diese Bedrohung absichern können.

In einem erst kürzlich geposteten Tutorial auf Youtube wird detailliert in nur fünf Minuten geschildert, wie mit dem SIP Softphone Xlite Ferngespräche über das VoIP-Gateway eines Unternehmens geführt werden können, ohne den Client zuvor zu registrieren. Offensichtlich funktioniert dies nicht nur aus dem Netzwerk heraus, sondern auch über eine Internetverbindung. Theoretisch können mittels dieser einfachen Methode beliebig viele externe Teilnehmer die Telefonleitung eines Unternehmens nutzen, ohne selbst für die Verbindung zu zahlen. http://www.youtube.com/watch?v=9I6K9Bqn4VU

Im Prinzip handelt es sich hierbei um eine klassische Attacke gegen Telefonieanwendungen mit dem Ziel des Gebührenbetrugs, die nicht erst durch Voice-over-IP möglich wird, deren Ausführung aber deutlich einfacher ist. Zwar war auch das gute alte TDM nicht immun gegenüber unbefugten Eingriffen, aber das separate Netz mit einer weitgehenden Limitierung der zugangsberechtigten Mitarbeiter war weitaus isolierter. Auch boten die halbwegs dummen Endgeräte nicht das Einfallstor für Angriffe wie die IP-basierten Terminals unserer Tage. So beschreibt auch Mark Collier, einer der Gurus der VoIP-Security Szene, den Unterschied: „VoIP ist nicht unsicher, es macht nur all die traditionellen Angriffe leichter.“

Schließlich verhält sich die IP-basierte Telefonie-Anwendung nicht anders als andere Netzwerkapplikationen, wenn es um die Bedrohung der Sicherheit geht. Die neue Telefonie hat alle Probleme der IP-Welt geerbt und zudem noch ein paar neue mitgebracht. Denn mittels der Intelligenz der Endgeräte eröffnet VoIP nicht nur einen Weg zur Manipulation der Sprachanwendung, sondern auch den Zugang zu anderen Ressourcen im Netz.

Volkssport VoIP-Hacking

Im Hinblick auf Beurteilung von Einbrüchen in Unternehmensressourcen hat sich offensichtlich ein Wandel vollzogen. Ein Blick ins Web zeigt, worum es geht: Das Hacken von Netzen ist eine populäre Erscheinung, bei der nicht mal mehr so getan wird, als müsse man sich verstecken. Unzählige Web-Sites beschäftigen sich mit Hacking-Themen, erklären und verbreiten entsprechende Werkzeuge und geben praktische Hilfestellung. Ganze Bücher beschreiben Methoden des VoIP-Hacking und geben detaillierte Anweisungen, wie am besten vorgegangen werden sollte. Erfolgreiche Hacker mit „weißen Hüten“ werden zusätzlich von Herstellerorganisationen wie der ZDI-Initiative für ihre Bemühungen honoriert.

Die an sich zu begrüßende Verfügbarkeit von Informationen wird an dieser Stelle zur Achillesferse der IP-Technologie. Weil die meisten Funktionen auf standardisierten Schnittstellen, Protokollen oder Betriebssystemen beruhen, sind die entsprechenden Details offen für jedermann zugänglich – der Zweck spielt keine Rolle. Auf ähnliche Weise argumentieren die Gebrauchsanweisungen zum Ausspähen privater Daten: Sie sind offiziell nicht etwa für den Täter gedacht, sondern für das Opfer. Getreu dem Motto – erst wenn ich die Bedrohungslage kenne, kann ich entsprechend darauf reagieren.

Und so werden entsprechende Hacking-Tools zum freien Download nicht nur auf fragwürdigen Seiten angeboten, sondern ganz „offiziell“ auch bei renommierten Quellen wie etwa Heise. Wer Nachhilfe bei deren Einsatz benötigt, findet rasch kompetente Hilfestellung bei einschlägigen Foren wie Darknet oder Protectus. Ein Blick auf entsprechende Threats lässt wenig Hoffnung, dass es sich bei den Fragestellern ausschließlich um Sicherheitsexperten handelt, die sich um den Schutz ihrer Infrastruktur bemühen.

Worum geht’s beim VoIP-Hacking:

Mit dem Zusammenwachsen der Plattformen für Daten- und Sprachkommunikation sind in technischer Hinsicht die Angriffe auf VoIP-Infrastrukturen dem klassischen Hacking von Datennetzen recht ähnlich. Unterschiede ergeben sich dennoch in mehrerer Hinsicht. Das Mithören von internen vertraulichen Telefongesprächen besitzt eine andere Qualität als der Zugriff auf schriftliche Ressourcen. Hier werden oftmals mehr Informationen preisgegeben als etwa in E-Mails. Manipulationen zum Zwecke des Gebührenbetrugs sind zudem typisch für Telefonieanwendungen.

 Auch hinsichtlich der technischen Grundlagen ergeben sich signifikante Problemstellungen.  Sie beziehen sich etwa auf die VoIP-eigenen Protokolle wie SIP, die unterschiedliche Funktionalität der Endgeräte, die mittels eigener Betriebssysteme oder dem Einsatz von Browsern den Zugriff auf Netzwerke erlauben oder die wachsende Problematik der Integration, Kontrolle und Administration mobiler Endgeräte. Hinzu kommt, dass konventionelle Systeme zur Sicherung von Netzwerken wie Firewalls nicht für Sprachanwendungen optimiert sind. Die zunehmende und oftmals bedenkenlose Nutzung von Sprachservices wie Skype tut ein Übriges, um die Sicherheit der Kommunikation zu untergraben.

Nach wie vor nimmt in organisatorischer Hinsicht die Sprachapplikation in Unternehmen oftmals eine Sonderstellung ein. Die Abstimmung zwischen der daten- und netzwerkzentrierten IT-Abteilung und den Verantwortlichen für die Telekommunikationsanwendung gestaltet sich nach wie vor oftmals schwierig, weil auf der einen Seite zwar die gleiche Infrastruktur genutzt wird, auf der anderen Seite aber das Verständnis für die besonderen Sicherheitsbelange fehlt. Das erschwert nicht nur die Kommunikation, sondern führt auch zu einer mangelnden Integration hinsichtlich unternehmensweiter Sicherheitspolicies.

Die technischen Ziele und das detaillierte Vorgehen bei den jeweiligen Angriffstypen sind in der einschlägigen Literatur ausführlich dokumentiert. Bekannte Methoden sind Netzwerk- oder Port-Scans, um Schwachstellen aufzufinden, Spoofing, um Zugang zu weiteren Netzwerkinformationen zu erhalten und somit als Baustein für weitere Angriffe, Man-in-the-Middle-Attacken, um Nachrichten zu manipulieren  oder Denial-of-Service-Attacken, um die Verfügbarkeit der Systeme zu beeinträchtigen.

Für alle Angriffsszenarien stehen ausgefeilte Werkzeuge zur Verfügung, die sich interessierte Laien oder Fachkundige jederzeit Beschaffen können. UCSniff macht das Aufzeichnen von Videokonferenzen für vorgebildete zu einem Kinderspiel und bietet auch gleich noch die nötigen Tools für den Zugang zu den Telefonverzeichnissen des Unternehmens. Cain and Abel ist sehr hilfreich beim Knacken von Passwörtern, unterstützt aber auch beim Abhören des Netzwerkverkehrs und so weiter und so fort.

Eine der wesentlichen Schwachstellen für die Sicherheit von VoIP-Anwendungen bildet – wie sollte es anders sein - die Bedenkenlosigkeit der Nutzer, oftmals aber auch der Unternehmen selbst. „Eines der wirkungsvollsten Tools, über die ein Hacker verfügt, ist das Sammeln von Informationen“, schreiben David Endler und Mark Collier in ihrem Standardwerk „Hacking exposed VoIP“. Und diese liegen nur allzu oft offen zu Tage. Sie finden sich nicht nur als Passwort-Erinnerung mittels des berühmten gelben Zettels am Monitor des Mitarbeiters, sondern auch in Firmenveröffentlichungen oder den Diskussionsbeiträgen von Administratoren auf einschlägigen technischen Foren.

Implikationen für Dienstleister

Sicherheit ist kostspielig und wird mit jedem Grad teurer. Telefonie ist eines der wichtigsten Produktivmittel eines Unternehmens, ein Ausfall über längere Zeit mit erheblichen Verlusten verbunden.  Allerdings kann die Bedeutung von Unternehmen zu Unternehmen variieren. Ein Call Center ist sicher mehr auf die Funktionsfähigkeit seiner Telefonanlage angewiesen als ein Produktionsbetrieb. Der Aufwand für die Sicherung der Ressource kann sich daran orientieren, ohne dabei die primären Ziele Vertraulichkeit, Integrität, Verfügbarkeit und Datenschutz außer Acht zu lassen.

Fachunternehmen stehen bezüglich der Sicherheit von VoIP-Anwendungen vor einem mehrfachen Dilemma. Weil Hacking-Attacken auf Sprachanwendungen zwar ihre eigene Ausprägung haben, auf der anderen Seite aber meist die technischen Schwachstellen der gegebenen Netzwerk-Infrastruktur ausnutzen, hängt die Einflussnahmen auf die Installation entsprechender Sicherheitsmechanismen von der Zusammenarbeit mit den beteiligten Partner beim Kunden ab.

Voraussetzung für diese Zusammenarbeit im Sinne einer stringenten Absicherung von VoIP-Installationen ist allerdings ein tiefgehendes Know-how. Rolf Dobrik, xxx bei Nomics, brachte dies im Rahmen seines Vortrags auf der 29. Jahrestagung Technik und Service des VAF auf den einfachen Punkt: „Der Dienstleister muss die Sicherheits-Klaviatur beherrschen, zumal er von seinem Auftraggeber um Rat gefragt wird.“

Denn die Gewährleistung der Sicherheit des Kunden liegt auch im eigenen Interesse des Dienstleisters. Und dies nicht nur im Hinblick auf eine langfristig vertrauensvolle Kundenbeziehung, sondern auch hinsichtlich möglicher Haftungsansprüche. Die Rechtsbelehrung bezüglich der Sicherheitsrisiken ist notwendiger Bestandteil der Übernahmeprotokolle von VoIP-Projekten. Vor diesem Hintergrund sind Fachunternehmen gut beraten, das Thema Security aktiv zu vertreten und auf mögliche Risiken dediziert hinzuweisen.

VoIP-Security Lexikon

Authentisierung: Nach wie vor eine große Schwachstelle

Datenschutz: Ist die Basis für die Kundenbeziehung, Grundlage ist die Datensicherheit

Firewall: VoIP-Anwendungen extern nur mit VoIP-Firewall

Gebäudesicherung: Zugang externer Personen überwachen

Hacker: Treibende Kraft für die Fortentwicklung der VoIP-Security

Informationen: Auf Geheimhaltung jeglicher Netzwerkinformationen achten

MACs: Im VoIP VLAN überwachen, bzw. monitoren und melden (interner Angriff)

Passwörter: kontinuierlich wechseln, alle 60 – 90 Tage, Prozess mit Kunde klären, zentrale Datei beim Kunden

PCs: AV mit Signaturen, wenn VoIP-Softclient dann über Datennetz nutzen, Freischaltung nur auf

Gatekeeper

Remote Access: Höchst restriktiv, wenn möglich eigenständig für VoIP-Service

Server: härten, ausschließlich benötigte Funktion freigeben, AV mit aktuellen Signaturen

Skype: Echter Virenkanal, besser klassisch telefonieren und sicher bleiben

Updates: Sichern Nachhaltigkeit und sind unverzichtbar

Verschlüsselung: Ein „Muss“ sowohl für Signalisierung als auch für Mediastreams

VLAN: VoIP „must have“ mit 802.1p, Sicherheitsgateway zwischen Sprach- und Datennetzwerk

VoIP Telefon: Switchfunktion mit 802.1q, Telefon per Trunk anschalten, falls VoIP-Telefon ohne Switch, dann ins Datennetzwerk per Sicherheitsgateway

Fachartikel erschienen in VAF Report 1/2011

<- Zurück zu: Home

Powered by cobago systems