Das Problem liege nicht in der VoIP-Technik, sondern ihrer Implementierung, erklärte Barrie Dempster, Senior Security Consultant bei Next Generation Security Software (NGSS) der US-Schwesterpublikation Network World. "Wird die traditionelle Logik der Netzabsicherung auf VoIP übertragen, kann man es so sicher wie jedes andere Protokoll machen."
Ein Großteil des Rufs, anfällig zu sein, kommt daher, dass die VoIP-Technik noch relativ neu ist und bei der Erstellung des Codes nicht unbedingt die Sicherheit im Vordergrund stand – ein Problem, das viele neue Technologien plagt. So verweist Dempster auf Wege, die Open-Source-basierende IP-Telefonanlage (IP PBX) Asterisk anzugreifen, unter anderem mit Buffer Overflow. Diesen und anderen Schwachstellen könnte man aber Herr werden, indem man den Code für nicht benötigte Features entfernt und die genutzten Funktionen regelmäßig einer Sicherheitsüberprüfung unterzieht. "Das Problem sind nicht die spezifischen Schwachstellen selbst", so Dempster. "Es ist der Reifegrad der Software. Es wurden einfach noch nicht genügend Sicherheits-Checks vorgenommen."
Das Problem ist weit reichend bekannt und entdeckte Schwachstellen wurden inzwischen veröffentlicht, um Gegenmittel zu entwickeln. So stellt etwa die VoIP Security Alliance (Voipsa) auf ihrer Website eine Reihe von Hacker-Tools zur Verfügung und bewirbt sie als Testwerkzeuge, mit denen Nutzer überprüfen können, ob ihre VoIP-Ausrüstung realen Attacken standhält.
Abgesicherte VoIP-Systeme seien nicht unüberwindbar, erklärt Peter Thermos, CTO des Security-Beraters Palindrome Technologies. Er verweist auf Schwachstellen im Media Gateway Control Protocol (MGCP), die es ermöglichten, Anrufe umzuleiten oder abzubrechen. Daneben gebe es eine Sicherheitslücke in dem von Phil Zimmermann entwickelten VoIP-Verschlüsselungsprotokoll ZRTP, da dieses nicht die Töne der Tasten beim Eingeben von Nummern verschlüssele. Auf diese Weise könnten via VoIP übermittelte Kreditkartennummern ausgekundschaftet werden, so Thermos.
Das Problem mit MGCP erfordere letztendlich eine Korrektur des Protokolls, bis dahin könnten Nutzer sich damit behelfen, unautorisierten Zugang zu den von MGCP verwendeten Ports zu blockieren, erklärt der Sicherheitsspezialist. Das Problem bei ZRTP habe die Implementierung des Protokolls betroffen und sei mit einem Patch behoben worden.
Der Königsweg für Unternehmen, die VoIP einführen, ist es laut Thermos, rechtzeitig individuelle Sicherheitsanforderungen festzulegen. Diese könnten sich von Fall zu Fall unterscheiden. Ein Finanzdienstleister oder eine Behörde benötigten etwa Vertraulichkeit und damit eine stärkere Verschlüsselung als andere Anwender. Ein verbreiteter Fehler sei es, dass Kunden die Sicherheitsanforderungen für ihr spezielles Netz nicht im Vorfeld definierten und später den Security-Bedarf als zusätzliche Kosten sähen. Hinzu käme, dass Security-Tools, die rechzeitig in Stellung gebracht würden, VoIP besser vor noch nicht entdeckten Bedrohungen schütze.
Trotz der speziellen Angriffsmöglichkeiten vertreten einige Experten die Auffassung, dass VoIP sicherer als das gute alte Festnetz (PSTN) sei. Zu ihnen gehört Ari Takanen, CTO von Codenomicon, einem finnischen Anbieter von Tools für Software-Zuverlässigkeits- und –Datensicherheitstests. Sicher gebe es VoIP-Schwachstellen, aber diese sind nicht unüberwindbar, erklärte Takanen kürzlich auf der "VON Europe 2007" in Stockholm. "IP-Systeme sind stärker exponiert, aber es gibt mehr Security-Lösungen als man installieren kann", fügte er hinzu. Dumm sei nur, wenn man das breite Angebot nicht nutze.
Cullen Jennings, ein angesehener Ingenieur von Ciscos VoIP-Gruppe, der ebenfalls auf der Konferenz sprach, wies darauf hin, dass sich die Caller-ID in PSTN-Netzen leicht fälschen lasse und Gebührenbetrug über herkömmliche Telefonanlagen noch immer üblich seien. Bei PSTN würde vor allem die fast ständige Verfügbarkeit eines Freizeichens als Zeichen hoher Dienstgüte gepriesen, so Jennings. Dies bedeute aber nicht, dass das herkömmliche Festnetz unverwundbar oder gar besser als VoIP sei.
Die Hauptbedrohungen von VoIP
Als größte Gefahren nannte die Diskussionsgruppe auf der VON Europe
-
Zero-Day-Attacken, für die die Anbieter noch keine Patch entwickelt haben;
-
Sicherheitsmaßnahmen, die wegen ihrer Komplexität nicht aktiviert wurden.
-
sowie anbieterspezifische Schwachstellen, gegen die Best Practices nicht helfen.
Letztendlich würden Unternehmen aber wegen Sicherheitsbedenken allein VoIP nicht den Rücken kehren, sagte Akif Arsoy, VoIP-Produkt-Manager bei Verisign. Sie werden es einführen, um Sprache und Daten in einem gemeinsamen Netz nutzen zu können. Bei Endkunden hänge die Entscheidung davon ab, was sie mit VoIP bekommen, was mit herkömmlicher Telefonie nicht möglich ist.
Selbst dann sollten die Anwender damit rechnen, dass in Kürze weitere VoIP-Sicherheitslücken bekannt würden, sagte Palindrome-CTO Thermos. Sein Unternehmen habe bereits weitere Schwachstellen im Signalprotokoll und Sicherheitslücken in der Implementierung entdeckt. "Wir stoßen erst an den Anfang von vielen Exploits, die sich anbahnen." (mb)