Asterisk und Verschlüsselung

[suja]

Hallo,

erstmal eine genauere Erläuterung von dem, was ich vorhabe.

Momentan sind ein Asterisk als PBX und Snom Telefone im Einsatz.
Nun will ich erreichen, dass die Signalisierung und die Kommunikation zwischen diesen Komponenten verschlüsselt abläuft. Allerdings mit möglichst wenig Veränderungen am Asterisk selbst.
Also ohne wildes rumgepatche mit TCP/TLS, SRTP ;-)
Gewünschte Funktionalität: VoiceMail, CallPickup und MWI.

Die Idee war also "einfach" einen Proxy dazwischen zu schalten.
Dass die outboundproxy-Funktion im stabilen release nicht funktioniert, finde ich übrigens schon erstaunlich. Also habe ich einen * aus dem obproxy-trunk gebaut und OpenSer davorgehängt.
Damit klappt es mit der SIP Verschlüsselung (TLS) auch ganz gut, nur schmeisst der * die Verschlüsselungsoptionen für rtp im SDP raus, so dass die Snoms ihren RTP-Strom unverschlüsselt übertragen, obwohl * gar nicht im Pfad ist (canreinvite=yes).
Verstehe ich das richtig, dass der * im SDP die Parameter immer auf ihm bekannte Werte(Methoden, etc.) setzt?

Mein gedankliche Alternative wäre die, die "Realtime Integration" zwischen * und OpenSer zu testen (http://www.openser.org/dokuwiki/doku.php/asterisk:realtime-integration).
Hierbei weiss ich allerdings noch nicht, wie die Fähigkeiten des OpenSer sind. Das Presence-Modul bei OpenSer kann zwar viel, aber ob Call Pickup mit OpenSer geht...?
Dann wäre der * zwar nur noch ein VM-System, aber ok.
Weiterhin wäre aber der RTP-Strom unverschlüsselt. Selbst wenn ich den Ser mit rtpproxy betreibe, dürfte * ja wieder die sdp-daten so verändern, dass die Snoms auf unverschlüsseltes RTP zurückfallen.
Das werde ich nächste Woche mal testen.

Ich habe bisher leider nichts wirklich brauchbares gefunden zu diesem Thema. Bin also für jegliche Infos dankbar

Besten Dank schon mal im voraus

Janosch

 

[hehol]

Hallo Janosch,

Also habe ich einen * aus dem obproxy-trunk gebaut und OpenSer davorgehängt.

Hmm, bis hierher habe ich Deinen Text so verstanden, als ob Du nur als "stabil" gekennzeichneten Code einsetzen möchtest

Damit klappt es mit der SIP Verschlüsselung (TLS) auch ganz gut, nur schmeisst der * die Verschlüsselungsoptionen für rtp im SDP raus, so dass die Snoms ihren RTP-Strom unverschlüsselt übertragen, obwohl * gar nicht im Pfad ist (canreinvite=yes).
Verstehe ich das richtig, dass der * im SDP die Parameter immer auf ihm bekannte Werte(Methoden, etc.) setzt?

Ja, das ist ganz richtig so. Asterisk kann nur SDP-Parameter weiterleiten, die es selbst kennt. Alles andere wird abgelehnt. Du mußt entweder ein Asterisk benutzen, das alle gewünschten Verschlüsselungsmethoden unterstützt oder beim Gespräch von Telefon zu Telefon darf nur der OpenSER beteiligt sein und Asterisk darf von dem Gespräch nichts mitbekommen.

Gruß
Henning

 

[suja]

Hi Henning,

danke fuer Deine Antwort.

Hmm, bis hierher habe ich Deinen Text so verstanden, als ob Du nur als "stabil" gekennzeichneten Code einsetzen möchtest

Mist...erwischt ;-) Da haste natuerlich Recht. obproxy ist quasi Grundvoraussetzung irgendwas vor den Asterisk zu haengen, da er die Option, die ja schon laenger existiert, sonst leider einfach ignoriert.

Mit schwant nur, dass ich kein stabiles und updatefaehiges System erhalte, wenn ich auf SRTP, obproxy und eventuell noch TCP/TLS patche.

Asterisk kann nur SDP-Parameter weiterleiten, die es selbst kennt. Alles andere wird abgelehnt. Du mußt entweder ein Asterisk benutzen, das alle gewünschten Verschlüsselungsmethoden unterstützt oder beim Gespräch von Telefon zu Telefon darf nur der OpenSER beteiligt sein und Asterisk darf von dem Gespräch nichts mitbekommen.

Ja das ist echt schade. Dachte, dass es evtl. noch ne Moeglichkeit gibt * das abzugewoehnen fuer den Fall, dass er nicht im Pfad seien muesste.
Ich werd mal noch forschen, wie es bei OpenSER mit CallPickup bestellt, aber das gehoert dann nicht mehr hierher.

Hat sonst keiner mal versucht den * so zu sagen nach innen abzusichern?

Gruesse
Janosch

 

[foschi]

Hat sonst keiner mal versucht den * so zu sagen nach innen abzusichern?

Warum sollte man? Ist nur eine Frage der LAN-Konfig.

 

[suja]

Hallo foschi,

Warum sollte man? Ist nur eine Frage der LAN-Konfig.

Finde ich nicht ganz. Man kann zwar mit VLANs etc. schon einiges absichern, aber wenn jemand ein manipuliertes phone einschleppt, waere man ja schonmal im VLAN...
Nun ja, aber man kann darueber bestimmt auch viel diskutieren, wieviel Verschluesselung man bei der Telefonie braucht oder auch nicht.

 

[Guard-X]

Du möchtest den Asterisk also nach innen absichern. Welche Bedenken hast du denn, wie sollen die sensiblen Daten denn nach aussen gelangen?

mfg Guard-X

 

[suja]

Hi guard,

Du möchtest den Asterisk also nach innen absichern. Welche Bedenken hast du denn, wie sollen die sensiblen Daten denn nach aussen gelangen?

Im Grunde suche ich nach einer Moeglichkeit sowohl die Signalisierung(SIP), als auch den (Sprach)Datenstrom(RTP) zu verschluesseln. Angedacht war auch mal die Authentifizierung von den Telefonen gegenueber dem Server (hatte dazu hier auch mal ne Anfrage), aber das wird Cisco oder Siemens angeboten und funktioniert demnach auch nur in deren Umgebung.

Bei der IP-Telefonie gibt es ja die bekannten Szenarien und Bedrohungen, die mal mehr mal weniger einfach umsetzbar sind. z.B. Mithoeren von Gespraechen, telefonieren unter anderer Identitaet, DoS, etc.
Denkbar ist zumindest recht viel, wie ich finde ;-) Und wenn man erst mal sensible Daten hat, ist der Weg nach aussen ja nicht mehr das Hinderniss.

Gruesse
Janosch