Skip to content

Drucksache: Entwickler Magazin 4.15 - VoIP im Visier der Cyberkriminellen

Geschrieben von Carsten Eilers am um 13:50

Im Entwickler Magazin 4.15 ist ein Artikel über die Sicherheit von VoIP erschienen.

Etliche Anbieter nutzen seit einigen Jahren VoIP für die Sprachkommunikation, und die Telekom stellt gleich das komplette Telefonnetz auf VoIP um. Aber wie sicher ist das eigentlich?

VoIP-Geräte enthalten Schwachstellen und lassen sich angreifen. Das war ja eigentlich nicht anders zu erwarten, oder kennen Sie irgend etwas (außer speziell gehärteten Systemen) im IT-Bereich, das absolut fehlerfrei und sicher ist? Von "Hello World"-Programmen und ähnlichem mal abgesehen. Und selbst die enthalten heutzutage wahrscheinlich sehr oft Fehler und Schwachstellen, weil die in den verwendeten Bibliotheken enthalten sind.

Schlimmer ist, dass die Cyberkriminellen diese Schwachstellen schon lange ausnutzen.

Auf der RSA Conference 2014 haben Ang Cui und seine Kollegen gezeigt, wie einfach ein VoIP-Telefon von Schadsoftware aus dem lokalen Netz kompromittiert werden kann kann (Video, Präsentation als PDF).

Mit der Umstellung der Festnetzanschlüsse auf VoIP steht bald in jedem deutschen Haushalt mindestens ein VoIP-Gerät. Was passiert, wenn die Cyberkriminellen sich entschließen, mit ihrer Schadsoftware nicht mehr nur das Onlinebanking anzugreifen, sondern auch diese VoIP-Geräte? Viele dieser Geräte dürften unsicher konfiguriert sein oder Schwachstellen enthalten. Die Folgen eines groß angelegten Angriffs möchte ich mir gar nicht weiter ausmalen.

Die Telekom hat immer wieder Probleme mit den bereits auf VoIP umgestellten Festnetzanschlüssen. Wenn schon eine Telefongesellschaft VoIP nicht im Griff hat, wie sollen es dann erst die privaten Benutzer oder die IT-Admins in den Unternehmen schaffen?

Da hilft nur eins: Auch für die Entwicklung von VoIP-Geräten und -Software müssen die Regeln des SDL gelten. Und vor allem die Grundsätze des "Secure by Design", "Secure by Default" und "Secure by Deployment". Außerdem müssen die vorhandenen VoIP-Geräte auf Schwachstellen geprüft werden. Sowohl in der Weboberfläche, als auch in der Firmware selbst.

Denn sonst könnte es teuer werden, wenn die Cyberkriminellen sich im großen Stil darüber her machen. Die Netze der Telekom sind (hoffentlich!) gut geschützt, aber die der Telefonkunden sind es eher nicht. Ich erinnere nur an den DNS-Changer, der vom infizierten Windows-Rechner aus die DNS-Einstellungen von SOHO-Routern manipulierte. Was passiert wohl, wenn sich ein "VoIP-Changer" aufmacht, VoIP-Telefone zu kapern? Mit der per Drive-by-Infektion verteilten SIPvicious-Suite gab es einen ersten derartigen Angriff ja bereits.

Wenn Sie also ein VoIP-Gerät zu Hause stehen haben und dessen Administrationsoberfläche noch nicht mit einem Passwortschutz versehen ist: Aktivieren Sie ihn. Bevor die Cyberkriminellen ihre Telefonrechnung in die Höhe treiben.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

Keine Trackbacks