SRTP Erfahrung ? - welche Box ? VPN ?

[th_bone]

Hi,

die informationen im Internet sind ja recht verwirrend, was SRTP angeht.

für die 7170 gab es ja mal eine Beta-Firmware mit SRTP - kann sie aber nirgends zum download finden. Ist aber scheinbar wohl eingestampft, da es nicht in den aktuelle Firmware integriert wurde.

die 7270 soll SRTP können - habe aber gelesen, dass es wohl doch noch nicht funktioniert/integriert ist und erst per Firmware update nachgereicht wird.

Da mich der staatliche Überwachungsdrang langsam ank... hätte ich gerne die Möglichkeit

SRTP und VPN zu nutzen.

Doch welche Box Firmware ? Bei der 7170 gibt ja zig Beta Firmwares und nicht mal AVN kann sagen ob davon letztlich etwas integriert wird...

Die 7270 kann angeblich ja SRTP - aber kann man hier VPN zusätzlich haben ?

Funktioniert SRTP dann mit jedem angeschlossenen Apparat ? (Der Provider muß ja auch SRTP unterstützen - habe hier bisher nur DUS.net gefunden)

Vielleicht kann mich hier jemand aufklären...

Danke

Ralf

 

[Zoli1972]

Also ich persönlich nutze SRTP mit Sipgate.de und der Laborfirmware auf der FRITZ!Box Fon WLAN 7170 (fs), Labor-Version 29.04.97-9170.

Zu finden ist diese Firmware auf der AVM-Homepage unter "Fritz!Labor". Sie kann leider kein VPN, aber ich vermute, daß diese Funktion aus einer anderen Laborfirmware integriert werden könnte. Habe das nie versucht, da ich fast keine Kenntnisse in Sachen Linux habe.

Aktivieren läßt sich die Funktion im Webkonfig der Box unter
Internettelefonie->
[jeweiliger SIP-Anbieter]->
bei der Option "Der Anbieter unterstützt verschlüsselte Internettelefonie über SRTP nach RFC 3711 und RFC 4568" aktivieren (häkchen rein)

Zoli

 

[th_bone]

Hi,

danke erstmal für die Info - wusste gar nicht das Sipgate SRTP unterstützt - musstest Du hier etwas zubuchen ? (kann mich nur dunkel an eine Ankündigung von Sipgate Crypto erinnern aber auf der Hompage habe ich nichts zu SRTP oder Aktivierung der option gefunden)

Die SRTP Firmware habe ich jetzt heruntergeladen, theoretisch sollte man jetzt doch via "the-construct" noch OpenVPN draufhauen können und ich hätte die Box so wie ich sie
haben möchte..

Tschüss

Ralf

 

[Zoli1972]

Kein Problem.

Sag mal, könntest Du mir die Firmware geben, wenn Du sie VPN-fähig gemacht hast? Wie gesagt, habe von Linux nicht soviel Ahnung, alsdaß ich mich da selber ran trauen würde. Aber wenn es mal bei Dir läuft...

Bei sipgate mußte ich nichts einstellen. Das häkchen im besagten Menü der Fritz besagt glaube ich auch nur, daß SRTP genutzt wird, wenn verfügbar, also vom Anbieter (oder von der Gegenstelle?) unterstützt. Hab das irgendwo mal gelesen. Ich habe das Häkchen probehalber mal gesetzt und dringelassen. Jedenfalls habe ich das wirkliche Vorhandensein von SRTP noch nie getestet. Jedenfalls macht diese Einstellung mit Sipgate keine Probleme.

Nachdem Du aber erwähnt hattest, daß es sein kann, daß möglicherweise die Verschlüsselung nur für zahlende Sipgate-Kunden möglich wird, habe ich dieses Dokument rausgesucht:

http://64.233.183.104/search?q=cach...rtp&hl=de&ct=clnk&cd=4&gl=de&client=firefox-a

Darin steht es schwarz auf weiß. Mit kostenlosen Sipgate-Anschlüssen allein ist das nicht möglich.
Finde ich eine Sauerei, sich mal wieder am Sicherheitsbedürfnis der Leute eine goldene Nase verdienen zu wollen.:-(

Zoli

 

[diger]

Da mich der staatliche Überwachungsdrang langsam ank... hätte ich gerne die Möglichkeit

Kleiner Hinweis am Rande: SRTP bringt Dir nichts, wenn es Dir darum geht, unserem "Überwachungsstaat" zu entgehen. Denn die lauschen erst ab dem SIP Provider mit. Und der muss ja zwangsweise SRTP erst mal entschlüsseln.

Das einzige, wo das was bringen würde, wäre wenn Du in einem LAN mit anderen hängst (die mit einem Sniffer Dich abhören könnten) oder Du Dich mit einem SIP Provider im Ausland verbindest.

Aber auch dann kann Schäuble & Co. immer noch Deine Verbindungsdaten (wer, wann, mit wem) mitlesen. Und das reicht ja für die Vorratsdatenspeicherung erst mal aus.

 

[tavoc]

Ich bin grade dabei mich im Zuge einer hausarbeit mit VoIP und Security auseinanderzusetzten.

Dabei habe ich gelesen, dass SIPS in Verbindung mit SRTP eine verschlüsselte End zu End Verbindung aufbaut (mittels dem SIP Protokoll und SSL / TLS ).

Dabei fragt der Client den SIP Proxy an, bekommt ein Zertifikat und es werden anschliessend public keys ausgetauscht. Daraufhin ist der Datenverkehr mit AES 128 verschlüsselt.
Der Proxy fragt dann den nächsten Server an / oder den Client (den man anrufen will), zwischen diesen beiden wird mit der gleichen Methode eine verschlüsselte Verbindung aufgebaut.

Somit ist dann eine komplett verschlüsselte end to end Verbindung gewährleistet.

gruß tavoc

 

[PsychoMantis]

Aber auch dann kann Schäuble & Co. immer noch Deine Verbindungsdaten (wer, wann, mit wem) mitlesen. Und das reicht ja für die Vorratsdatenspeicherung erst mal aus.

Es sei denn, man ruft von einer FBF eine andere an und zwar ohne Provider, nur über sip-uri

 

[Telefonmännchen]

Es sei denn, ...

Öhhhm...., Du hast aber schon mitbekommen, daß im Zuge der Vorratsdaten...gängelung auch von Dir aufgerufene IP's mitgelogt werden, oder. Eine SIP-URI ist nichts anders. Dein Telefonat taucht halt nur nicht in Deiner Telefonliste bei WS auf. In Deiner URL-Liste dann schon. Und damit sind wir wieder am Anfang. Selbst wenn Du den Verkehr verschlüsseln solltest, ist die Kommunikation mir Deiner Gegenstelle nachweisbar.

Gruß Telefonmännchen

 

[PsychoMantis]

Wirklich? Man könnte doch einen VPN-Tunnel von einer FBF zu anderen aufbauen und den permanent offen halten. Wie oft ich dann über diesen Tunnel telefoniere ist nicht mehr nachweisbar. Bzgl. Vorratsdatenspeicherung wäre nur bekannt, dass der VPN-Tunnel von A nach B steht, mehr nicht, oder?

 

[sf3978]

Bzgl. Vorratsdatenspeicherung wäre nur bekannt, dass der VPN-Tunnel von A nach B steht, mehr nicht, oder?

Ja, so ist es. Ich mache das so.

 

[PsychoMantis]

Kannst du mehr zu deinen Konfigs verraten? Wie hast du alles eingestellt? Wie löst man den Anruf von einer zu anderen FBF aus?

 

[sf3978]

Die FBF-en stellen nur das VPN (die Tunnels für die LAN-LAN-Verbindungen) zur Verfügung. Die VoIP-, IM- und email-Server befinden sich auf PCs (Server) in den einzelnen LANs, die per VPN verbunden sind.

 

[PsychoMantis]

Aber du wirst ja wohl kaum 24 Stunden am Tag mehrere PCs extra dafür am laufen haben, oder? Kann man das gleiche nicht mit nur 2x FBFs machen (ohne PCs)?

 

[sf3978]

Das sind "low-power" und "low-cost" Rechner für 7/24-Betrieb. Als Beispiel siehe hier. Die LANs bzw. Rechner im VPN gehören ja nicht alle mir. In einem LAN reicht ein Rechner, oder auch gar keiner. Die Server kann man im VPN verteilen.
Mit den FBFen müsste es auch funktionieren.