Managerinterface originate von calls und Sicherheit

[Thomas007]

Die Erlaubnis an eine IP oder ein Subnet per Managerinterface mit den Rechten write = call Anrufe einzulasten ergibt die Möglichkeit unter Umgehung sämtlicher Regeln des Dialplans nicht erlaubte Anrufe zu tätigen.

Ganz schlimm natürlich wieder bei den ZAP-Providern, die in der Regel mit Postpaid und sinnlos hohen Kundenlimits arbeiten.

Dazu kommt noch das man die ZAP channel noch leichter erraten kann als die SIP provider oder contexte.

Was außer nicht nutzen oder mittels Proxy nicht erlaubte Befehle zu filtern gibt es noch für Möglichkeiten um dieses wirksam zu verhindern.

 

[britzelfix]

@Thomas007

Das ist gar kein Thema, weil
das Manager-Interface sollte nur
nach Möglichkeit über die eigene
Maschine erlaubt sein, sonst nicht:

bindaddr = 127.0.0.1

Wer das nicht macht, oder machen will,
dem kann nicht geholfen werden. Sonst
lassen sich nur noch die host/mask Einschränkungen
nutzen -> www.voip-info.org

Gruß
britzelfix

 

[Thomas007]

bindaddr = 127.0.0.1

Da wird das Outlook Wählprogramm aber nicht mehr funktionieren.

 

[britzelfix]

@Thomas007

Da wird das Outlook Wählprogramm aber nicht mehr funktionieren.

this is exactly what i meant!


Was Dir bleibt ist:

secret=007
deny=0.0.0.0/0.0.0.0
permit=127.0.0.1/255.255.255.255
permit=192.168.7.7/255.255.255.255

Das erlaubt nur den Zugriff von localhost
und der Kiste auf der Outlook läuft, wenn
sie die IP 192.168.7.7 hat.

Kann man alles auf www.voip-info.org nachlesen.

Ich würde aber eher einen Tunnel einrichten,
wenn's nicht über's LAN geht.

Gruß
britzelfix

 

[birnerseff]

Sicherheit der Datenkommunikation ist klar, aber ....
wie kann man erreichen, dass ein Mitarbeiter, der normal nicht 0900 oder Ausland telefonieren darf, einfach die Nummer in sein outlook einträgt und dann nur noch klicken braucht?

birnerseff

 

[britzelfix]

@birnerseff

Da fragst Du besser mal in einem Windows-Forum nach.

Gruß
britzelfix

 

[birnerseff]

Da fragst Du besser mal in einem Windows-Forum nach.

Es soll ja Systeme geben, die sind so gut geschützt, dass ein Mitarbeiter nicht aus Versehen eine im Outlook eventuell konfigurierbare 0900 Sperre abstellen kann; es sollangeblich auch Windows Kisten geben, die sogar vor Viren sicher sind....
Ich glaube jedenfalls, dass eine Policy (darf nur bestimmte Kontexte verwenden) auf der Asterisk Maschine besser aufgehoben ist wie auf den Clients

birnerseff

 

[britzelfix]

@birnerseff

Ich glaube jedenfalls, dass eine Policy (darf nur bestimmte Kontexte verwenden) auf der Asterisk Maschine besser aufgehoben ist wie auf den Clients

Wie lässt sich das im Manager-Interface nutzen?

Gruß
britzelfix

 

[birnerseff]

Wie lässt sich das im Manager-Interface nutzen?

s/lässt/liesse/

Das von Thomas007 behauptete Sicherheitsloch besteht meiner Meinung nach darin, dass man eben zwar sagen kann, ein bestimmtes Telefon verwendet den Kontext ausgehend-national, aber kein Äquivalent dazu für das Manager Interface hat.
Der Mitarbeiter, der für sein TAPI (oder andere Wählhilfen) Zugang zum Manager Interface braucht, wird ungewollt zum Manager und kann nicht nur in teuren Kontexten telefonieren, sondern auch die Gespräche seiner Kollegen trennen und verbinden

birnerseff

 

[britzelfix]

@birnerseff

s/lässt/liesse/

So ein Legastheniker, wie ich einer bin, denkt
im ersten Moment nicht an die Möglichkeitsform.

Das von Thomas007 behauptete Sicherheitsloch

Das ist kein Sicherheitsloch. Wenn man das
Wort Manager-Interface mal buchstabiert, merkt man
erst, über was wir hier sprechen. Es ist eine
Schnittstelle für einen Manager, also für jemanden der auch
z.B. die extensions.conf editieren kann.
Den Zugriff kann mann zwar Hostbasiert, bzw. User/Passwort-basiert und
noch mit read/write den Befehlsumfang einschränken, letztendlich bleibt
es was es ist.

Eine vorstellbare Lösung dafür ist ein kleines Perl-Script,
das die Funktionalität des Manager-Interface nachahmt und
nur die erlaubten Befehle an den "real manager" weiterleitet.
Aber das wollte 007 nicht, weil er's nicht kann.
Ich wette mal es lässt sich mit etwa < 50 Zeilen Perl-Code
realisieren.


Gruß
britzelfix

 

[Thomas007]

Das ist kein Sicherheitsloch. Wenn man das
Wort Manager-Interface mal buchstabiert, merkt man
erst, über was wir hier sprechen. Es ist eine
Schnittstelle für einen Manager....

So kann man natürlich auch argumentieren.

Dann sind aber die angebotenen Wähl-Programmen konzeptionell vollkommen kaputt. Insbesondere wenn keine Hinweise auf die erheblichen Sicherheitsprobleme durch Verwendung dieser Tools gemacht werden und kein geeigneter Proxy zu Filterung von bösen Befehlen mitgeliefert wird.

 

[britzelfix]

@Thomas007

Dann sind aber die angebotenen Wähl-Programmen konzeptionell vollkommen kaputt. Insbesondere wenn keine Hinweise auf die erheblichen Sicherheitsprobleme durch Verwendung dieser Tools gemacht werden und kein geeigneter Proxy zu Filterung von bösen Befehlen mitgeliefert wird.

Ja, leider. Da waren einige Hacker einfalsreicher, als die Programmierer.
Ich würde mal vorschlagen zuerst beim Anbieter zu reklamieren.

Gruß
britzelfix

 

[birnerseff]

Hi,

das Perl Skript ist sicher eine gute Lösung, und manche Erweiterungen (z.B. FOP) verwenden auch soetwas.
Andere halt nicht....
Als ich vor einiger Zeit eine etwas unkonventionelle Telefonlösung gebraucht habe (wir verwenden in der Firma teilweise "Telefone" von Plantronics mit einem an/aus-Knopf als Bedienelement), da bot sich nun mal das Manager Interface als einzige Möglichkeit an, die Funktionalität zu realisieren, und die Entscheidung zwischen einer reinen Clientlösung (bei der Missbrauch möglich ist) und einer Client/Server Lösung war weniger von Sicherheitsgedanken wie von Wartbarkeit bestimmt; dass da auch ein Risiko drinsteckt, ist mir damalsnicht aufgefallen
und anderen Entwicklern scheinbar auch nicht, sonst wäre TAPI für Asterisk vermutlich eine Client Server Lösung
Ich habe vor kurzem mal bei Bekannten eine Fertiganlage eingerichtet; dort wurde ausdrücklich dieses TAPI empfohlen ... und dort gibt es auch ausdrücklich keine Möglichkeit, eigene Software (also so einen Perl Proxy) zu installieren. Deshalb denke ich auch, man sollte eher bei Digium als bei den Entwicklern der Zusätze mal nachfragen

birnerseff