Aufbau eines sicheren SIP-Netzwerks



Absichern der SIP-Signalisierung

Das Session-Initiation-Protocol (SIP) dient bei VoIP der Signalisierung der Gespräche und nutzt zwei Nachrichtenarten: den SIP-Requests (Anfragen) oder die SIP-Method (Verfahren). Ein SIP-Gespräch beginnt mit einem INVITE- und endet mit einem BYE-Befehl. Mit Hilfe eines REFER-Pakets wird ein bestehendes Gespräch von einer Partei zu einer anderen Partei übermittelt. Die meisten Nutzer sind überrascht, dass alle SIP-Funktionen mit nur 13 Request-Typen realisiert werden.

Der zweite Nachrichtentyp wird als SIP-RESPONSE (Antwort) bezeichnet. Dabei kann es sich beispielsweise um eine „180 Ringing“ Response handeln. Diese wird beim Klingeln des Telefons erzeugt. Die „200 OK“-Response wird übermittelt, wenn der Empfänger das klingelnde Telefon abnimmt. Mit Ausnahme des ACK-Verfahrens werden immer eine oder mehrere Antwortnachrichten auf jeden Request übermittelt.

Zum Schutz der SIP-Signalisierung müssen diese Pakete verschlüsselt werden. Dieses Verfahren unterscheidet sich nicht von der Verschlüsselung des Web-Verkehrs bei Online-Käufen. Im Falle von Web-Nachrichten erfolgt die Verschlüsselung mit Hilfe des HTTPS- oder des Secure-Hypertext-Transfer-Protocols. Beim SIP bezeichnet man die Verschlüsselung als Transport-Layer-Security (TLS). TLS verschlüsselt die SIP-Requests und SIP-Responses, damit diese nur von Sender und Empfänger der Nachrichten verstanden werden. Die TLS-Sicherungsmechanik ist ziemlich kompliziert und die Verschlüsselung wird im Wesentlichen mit Hilfe öffentlicher und privater Zertifikate erreicht. Alle Daten die mit einem öffentlichen Zertifikat verschlüsselt wurden, können nur mit ihrem privaten Zertifikat entschlüsselt werden.

In der SIP-Welt wird der Medienstrom – also die Sprachinformation mit dem so genannten Real-Time-Protocol (RTP) übermittelt. Je nach verwendeten Codec (G.711, G.729, G.722) werden die analogen Sprachinformation entsprechend digitalisiert, verpackt und auf die Reise geschickt. Das RTP hat die Aufgabe, die Sprachdaten vom Sender zum Empfänger zu übermitteln. Sollen die zu übertragenden Sprachinformation gesichert werden, schützt diese das RTP durch eine entsprechende Verschlüsselung. Dieser Mechanismus ist als Secure Real-Time-Protocol (SRTP) bekannt. Ohne den entsprechenden Schlüssel lassen sich auf die im SRTP übermittelten Sprachinformationen niemand zugreifen und nicht wiedergegeben.

Darüber hinaus ist sicherzustellen, dass SIP-Daten nicht gefälscht werden können. Nur weil ich in einer SIP-Nachricht behaupte, dass ich Mathias Hein bin, garantiert dies jedoch nicht automatisch, dass es sich um eine von meiner Person übermittelten Message handelt. Ich muss dies bei Bedarf auch beweisen können. Fester Bestandteil von SIP ist die Fähigkeit die empfangenen Nachrichten überprüfen zu können. Eine Challenge zwingt den Absender dazu, dass dieser seine verschlüsselten Anmeldeinformationen zurück meldet. Wird diese Information mit einer Nutzerdatenbank (beispielsweise Active-Directory) abgeglichen, lässt sich die Authentizität der Anmeldeinformationen überprüfen. Dies verhindert, dass ein falscher Nutzer den SIP-Mechanismus missbraucht und sich als autorisierten Benutzer über das Netzwerk auf die Kommunikationsressourcen des Unternehmens zugreift.

Session-Border-Controller