Dieser Artikel ist mehr als 11 Jahre alt.
Das ARD-Politikmagazin report aus München hat gestern über „Sicherheitslücken bei Internet-Telefonie: Droht im deutschen Festnetz ein Lauschangriff?“ berichtet. Den Beitrag gibt es in der Mediathek und bei Youtube:
Mittendrin seht Ihr noch seltene TV-Aufnahmen aus unserem Büro.
Das ARD-Politikmagazin report aus München hat gestern über „Sicherheitslücken bei Internet-Telefonie: Droht im deutschen Festnetz ein Lauschangriff?“ berichtet. Den Beitrag gibt es in der Mediathek und bei Youtube:
Mittendrin seht Ihr noch seltene TV-Aufnahmen aus unserem Büro.
Veröffentlicht
Kategorie
Schlagwörter
Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.
,
Das ist doch unnütz. Kein Mensch weiß, wie der Angriff auf das Telefonat durchgeführt wurde. Hing der „Hacker“ im selben Netz wie die Anruferin? Oder hat er den Angriff von einem komplett anderen Netz aus durchgeführt?
Und was die Angriffe durch Geheimdienste angeht ist der Film auch Käse, da die doch eh Schnittstellen haben. Hier gibt es also keine Unterschiede zum POTS/ISDN.
Insgesamt ist das nur wieder ein alarmistischer Film ohne wirkliche Infos.
,
Richtig. Eher ziemlich polemisch alles. Wenn ich das im Bericht richtig gesehen habe, wurde der „Angriff“ im LAN ausgeführt (lokale IPs im Wireshark-Bild). Also gab es schon mal gar keinen Angriff über das Internet. Was mich auch gewundert hätte, da der VoIP-Dienst ja nicht über das Internet geroutet wird. Jedenfalls nicht die E.164-Telefonie die ja hier im Rahmen der IP-Migration thematisiert wird.
Über das Internet hätte man ja nur eine Angriffsmöglichkeit, wenn man über den „Zwangsrouter“ irgendwie an die Verbindung heran kommt. Im Bericht wurde aber das Telefon umkonfiguriert, so dass es eine parallele Verbindung zum Laptop aufbaut (das Gespräch spiegelt). Das habe ich jedenfalls aus der „Beschreibung“ des Versuchsaufbaus so verstanden.
Das würde ich jetzt nicht gerade als gefährliches Hacking bezeichnen, wenn jemand in meinem LAN mein VoIP-Telefon umkonfiguriert.
Das mit dem Lawful Interception ist ja auch eher eine Lachnummer. Dass Polizei, Verfassungsschutz usw. die Übergabeschnittstelle von Daten vom Provider an ihre eigenen Systeme mit spezifizieren ist ja nun wirklich nicht verwunderlich. Es ist ja schließlich ihr eigenes Interface. Im Bericht ist das schon ziemlicher Blödsinn, das LI-Interface in Zusammenhang mit VoIP-Standards und Verschlüsselung zu bringen. Da hat der BR anscheinend inhaltlich nichts verstanden.
Man hätte da besser auf Ende-zu-Ende-Verschlüsselung eingehen sollen. Interessant wäre gewesen, wenn der Forensiker erläutert hätte, welche potentiellen Sicherheitslücken es in dem (geschlossenen) VoIP-System der Provider gibt,könnte wie man sich da reinhacken und welche Rolle da der Zwangsrouter spielt.
,
Dank rot-grüner TKÜV kann man gar keinem deutschen TK-Provider vertrauen, da diese per Gesetz zur Vorrichtung einer Überwachungsschnittstelle verpflichtet sind.
Abhilfe schafft da nur das Aufsetzen eigener privater Open Source SIP-Server (Asterisk, Kamailio).
Telefoniert wird dann mittels Inter-domain calling (also OSTN statt PSTN) mit den aktivierten und verpflichtenden Protokollen TLS 1.2, SRTP und ZRTP. Zusätzlich müssen die Verbindungen zwischen Client und Server, sowie zwischen Server und Server „OpenSSH-getunnelt“ werden (Ed25519,curve25519-sha256,chacha20-poly1305,hmac-sha2-512-etm).
Restlicher Netzwerkverkehr der beteiligten Geräte muss verboten werden (Vermeidung einer Quellen-TKÜ).
,
Kann man E2E Verschlüsselung nicht irgendwie geräte Seitig implementieren ? So auf Basis von Raspberry PI oder so müsste es doch für unter 100 Euro machbar sein nen Festnetz Crypto Phone zu bauen oder so.
,
Natürlich. Was aber irgendwie alle an der Stelle vergessen ist das Problem des Schlüsselaustauschs. E2E Verschlüsselung ist Stand der Technik. Schlüssel so an eine Stelle zu bringen, dass niemand Einfluß oder Einsicht nimmt. Es gibt Gründe warum im Mobilfunk die SIM so beliebt ist.
,
Defakto ist das auch nicht unsicherer als POTS, denn das ist ebenfalls unverschlüsselt.
Mein Asterisk hängt an tel.t‑online.de und „Festnetz“ Gespräche laufen 100% im Telekom Netz.
RTP-streams im Ende-zu-Ende Modus könnte der Telekom-Server zwar vermitteln, das tut er aber nicht.
Was ich mache ist SIP Endstellen direkt PtP anzurufen, falls ein entsprechender ENUm Eintrag existiert. Da ist der Datenstrom dann zwar immer noch unverschlüsselt, aber es ist trotzdem schwer diese Gedpräche zu „finden“ ohne den kompletten Internetverkehr mitzuhören und auszuwerten.
Sven
,
Fuer die inlaendischen Geheimdienste macht es tatsaechlich keinen Unterschied, ob VoIP oder ISDN, da diese ihre eigenen Schnittstellen haben. Fuer die vielen Geheimdienste aus dem Rest der Welt allerdings schon.
Allerdings koennen da die Telekommunikations-Unternehmen nur teilweise etwas machen: wenn man E2E Verschluesselung moechte, muss das auch im Endgeraet konfiguriert werden, nicht beim Provider. Da sind dann in erster Linie die Leute betroffen, deren Leitung nur im Hintergrund VoIP nutzt, aber ein normales ISDN Telefon angeschlossen ist.
Und VoIP Sicherheit ist ein Thema, mit dem nicht nur Privat-Haushalte sondern auch viele Unternehmen ueberfordert sind, denn die Endgeraete haben nicht selten Sicherheitsluecken – von Voice-Spam (SPIT) noch gar nicht angefangen…
Aber schoen, zur Abwechslung auch mal echte „Hacker-Tools“ wie Wireshark im Fernsehen zu sehen anstatt irgendwelche eigenartigen Symbol-Bilder und 3D-Animationen :)
,
Ein schöner Beitrag, Report aus München hätte ich dieses „Oppositionsverhalten“ gegenüber der CSU-Linie gar nicht so zugetraut ;-)
Gefehlt hat eigentlich noch eine Demonstration, bei der zwei Gesprächspartner ein gemeinsames Geheimnis austauschen und sich über ZRTP unterhalten sowie der nette Hacker der den Datenstrom dann nur noch ein Rauschen zu Gehör bringt. Diese Art der Kommunikation wäre schon mit Technologie und Software aus dem Jahr 2007 möglich gewesen – vielleicht lohnt es sich, hier mal hinterher zu recherchieren, mit welchen Mitteln viel versprechende Ansätze torpediert wurden. Z.B. erinnere ich mich an eine recht angenehm zu nutzende Telefonie-Software Twinkle (KDE), die der Autor ohne jeden Kommentar versanden ließ. Kann man irgendwo Hinweise finden, wie Projekte innerhalb der FOSS-Community manipuliert wurden, um Projekte zur sicheren Internet-Telefonie zu sabotieren? Twinkle war z.B. ein sehr schönes Projekt zur Internet-Telefonie inkl. zRTP. Was hat den Autor veranlasst, das Projekt versanden zu lassen?
Man hätte auch noch erwähnen können, dass es ein Zeichen der demokratischer Reife ist, wenn ein Staat seinen Bürgern vertraut, anstatt sie allgegenwärtig zu bespitzeln, zu entmachten und faktisch zu bevormunden – auch wenn dies im angeblich besten und demokratischsten Interesse geschieht. Denn anders hätte die DDR-Regierung sicherlich auch nicht argumentiert. Kaum auszumalen, wenn die damals schon so spurlos hätten bespitzeln können, wie es heute bei NSA, GCHQ, BND und Verfassungsschutz selbstverständlich ist ..
,
Das VoIP unsicher ist, ist eine Tatsache, die nicht erst seit gestern bekannt ist, sondern
im Grunde seit die passenden Protokolle (SIP[1] für die Signalisierung,
RTP[2] für die eigentlichen Sprachdaten) veröffentlicht worden sind. (Das Tool ‚vomit’[3] zum dekodieren von mitgeschnittenem VoIP-Netzwerk-Verkehr gibt es seit 2001.)
Es gibt schon lange sichere Variante von SIP/RTP die auf SSL/TLS als
Transportschicht aufsetzen (SIPS[4] & SRTP[5]/ZRTP[6]). Diese werden aber von vielen
Telefonen nicht unterstützt weil sie zu viel Rechenleistung im Telefon
selber verlangen sowie großes Wissen bei den Softwareentwickler vorraussetzen. Ebenso werden sie von den VoIP-Providern nicht
unterstützt weil die verwendete Technik (SSL/TLS, X.509 Zertifikate) nicht
verstanden bzw als zu kompliziert empfunden und damit als zu teuer (Entwiclkung, Betrieb, Kundensupport) angesehen wird.
Zu der Meldung das die Geheimdienste auch hier ihre Finger im Spiel hätten
möchte ich anmerken, dass das sicherlich der Fall sein kann, das die
Hauptgründe für das unverschlüsselte VoIP aber in der Ignoranz der
Anbieter und dem fehlenden Druck der Verbraucher(schützer) und fehlenden
Rechtsvorschriften liegt.
Gleiches gilt ja auch für E‑Mail. Und wer setzt schon PGP oder GPG ein?
—–
[1] Session Initiation Protocol (SIP), RFC 3261
[2] Real-time Transport Protocol (RTP), RFC 3550
[3] voice over misconfigured internet telephones (vomit), http://vomit.xtdnet.nl/
[4] Secure Session Initiation Protocol (SIPS)
[5] Secure Real-time Transport Protocol (SRTP), RFC 3711
[6] ZRTP (DH-Exchange + SRTP), RFC 6189
Dieser Artikel ist älter als 11 Jahre, daher sind die Ergänzungen geschlossen.