SIPGATE-Account gehakt - Fitzbox, Handy oder Sipgate unsicher, wer ist Verursacher!?

[Christian123]

Hallo zusammen, heute hatte ich von sipgate eine Mail erhalten, dass meine VoiP-Nummer ggf. missbraucht wurde, was auch stimmt. Weder in der Fritzbox noch im Handy konnte ich abgehende Nummer im Verlauf finden. Dies sidn die einzigen Geräte wo ich die Nummern mit den Passwörtern eingerichtet haben.

Von wo wurde der Betrugsversuch gestartet? Zum Glück hatte ich kein Guthaben auf dem Konto und nutze dies auch nur für die Fälle, wenn ich kostenpflichtige Nummern anrufen möchte. Bin aber verunsichert, wo ich ein Leck habe und wie das passieren konnte. Hat sipgate ein Problem? Hat jemand über meinen Browser die Zugriffdaten abgegriffen und somit die VoiP Zugriffsdaten geklaut oder aus der Fritzbox oder dem Handy von media5fone gestohlen? Als Anage die Nummer als Bild wie ich den Eintrag bei sipgate vorgefunden haben. Uhrzeit heute 15:30Uhr.

Vielen Dank für Infos.

 

[stoney]

Bitte entscheide Dich wo Du dein Problem platzieren möchtest, Crosstposts sind unerwünscht

 

[sonyKatze]

Von wo wurde der Betrugsversuch gestartet?

Das kann Dir niemand beantworten außer der Dieb selbst.

Software-Updates!
Nach solch einer Attacke kannst Du nur schauern, dass alle Endgeräte mit einem konfigurierten VoIP/SIP-Client (= potentielles Einfallstor) die neuste Software-Version haben. Dabei verlasse Dich bitte auf die automatische Aktualisierung nicht, sondern frage gezielt nach: Ich habe Apple iPhone mit iOS x.yz. Ich habe die FRITZ!Box xxxx mit FRITZ!OS 0x.yz. Ich habe Media5fone in Version … ist das noch aktuell?

Überhaupt noch Software-Updates?
Die nächste Frage ist dann, ob die eingesetzten Produkte überhaupt noch Updates erhalten. Das kannst Du als Laie nicht beantworten. Also auch das fragen. Zum Beispiel Media5-fone wird seit Sep. 2018 nicht mehr im Apple App Store bzw. über den Google Play Store vertrieben. Allerdings ist zu bezweifeln, dass jemand es geschafft hat in die App bzw. dort einzudringen. Ich würde die App erst entfernen, wenn Du einen adäquaten Ersatz gefunden hast und glücklich bist (CounterPath Bria, Acrobits Groundwire, …).

Passwort lang!
Wahrscheinlich ist, dass jemand über Jahre probiert hat Dein Sipgate-Konto zu knacken. Und irgendwann ist ihm das gelungen. Daher bei SIP-Konten ein Passwort verwenden, was so lange wie möglich ist (Entropie). Du gibst das Passwort nur einmal ein, daher ist das nur einmal eine Qual. Bei Sipgate kannst Du die Passwörter nicht frei einstellen sondern nur automatisch erstellen lassen. Mir persönlich ist deren aktuelle Passwort-Länge immer noch zu kurz (Länge 12, Zeichen 62). Das vor Jahren automatisch generierte Passwort war viel zu kurz (Länge 6, Zeichen 36). Wichtig bei Sipgate: Nicht nur das SIP-Passwort sondern auch das Account-Passwort ändern.

Passwort pflegen! (Sipgate: SIP und Account)
Daher in den Kalender einen Eintrag machen und solch kurze Passwörter alle x Monate neu generieren lassen:
Sipgate Basic → (Taste) Login → (Routing) Telefone → Dein Telefon → Passwort: Zahnrad.

Eigene Telefone anlegen! (Tarif-Option „Sipgate basic plus“ spezifisch)
Und das wichtigste zum Schluß: Für jedes Endgerät und jeden VoIP/SIP-Client auf dem Endgerät ein eigenes „Telefon“ bei Sipgate anlegen. So hätte Sipgate in diesem Fall ermitteln können, wo das Einfallstor war.

Sipgate wird für Dich bereits alles gemacht haben? Also unter „Webseite → (Einstellungen) Mein Account → Passwort“ ein neues gegeben haben. Du musst Dich „nur“ um Deine FRITZ!Box kümmern: fritz.box → System → Benutzer → (Reiter) Anmeldung im Heimnetz.

 

[kleinkariert]

Da sipgate basic nicht verschlüsselt, außer man benutzt VPN, kann in jedem fremden WLAN die SIP-Registrierung mitgeschnitten werden.

 

[Micha0815]

Sollte dem so sein, frage ich mich, wieviele Android-APPs -z.B. von Dellmont/Betamax- sich mit den SIP-Servern/Accounts unverschlüsselt verbinden, falls man mit seinem Tablet/Smartphone in fremden WLAN als Gast agiert? Imho wäre ein damit einhergehender Guthabenschwund längst thematisiert worden hier im Forum?
Zudem irriert mich

Zum Glück hatte ich kein Guthaben auf dem Konto und nutze dies auch nur für die Fälle, wenn ich kostenpflichtige Nummern anrufen möchte

diese Aussage doch, da imho nur kostenlose Gespräche zwischen Sipgate-Accounts möglich erscheinen! (ein paar internationale Accounts in Partnernetzen waren/sind wohl erreichbar?).
Die Hinweise von @sonyKatze sind imho zielführend, wobei ich just in einem anderen Zusammenhang von Massentest von früher erbeuteten Accounts las. Iirc nutzt der Wechsel des Account-Zugangspassworts -das mag ellenlang+kryptisch sein - bei sipgate nichts vor der Sip-Passwort-Sicherheit, was ggfs. schon vor CM-Lücke generiert wurde?
LG and my2cent

 

[sonyKatze]

… fremden WLAN …

Nein, das war definitiv nicht das Problem. Für den Interessierten mehr dazu in diesem und jenem Post.

 

[Micha0815]

Habe ich als "Einfaltspinsel" das richtig verstanden, dass man zwar ein Gespräch als Man-in-the-Middel mitschneiden/mithören kann ... da gibt es ja u.a. ein py-Tool zum decodieren von Mitschnitten seitens eines geeigneten FB-Zugriffs. Nur sollte das Ganze zwecks SIP-Account-Datenaustausch halbwegs sicher sein, wenn man sich in fremden WLANs bewegt auch ohne VPN?
Falls ich generell falsch liege ... BITTE ich um Korrektur.
LG

 

[sonyKatze]

Ja, das SIP-Konto ist auch in einem fremden WLAN nicht das Problem.
Du liegst nicht generell falsch. Daher bedürfte es keiner Korrektur. Aber auch wenn es Offtopic ist, möchte ich ein paar Dinge wieder verrücken.

Wenn man etwas nicht weiß, ist man kein Einfaltspinsel schon gar nicht in der Informatik, wo quasi alles ein Hirngespinst eines anderen Menschen ist. Also etwas in der Informatik nicht zu wissen, ist keinerlei Schande. Auch der Spruch „Wer nicht fragt bleibt dumm“ passt in der Informatik nur schwer, weil man oft gar nicht weiß, dass man fragen sollte. Daher alles gut. Zurück zu Deiner Frage:

Man braucht nicht mal Man-in-the-Middle (MitM) zu sein, um ein Telefon-Gespräch (also den Inhalt) komplett mitzulauschen. Ein rein passives Lauschen – z.B. ein Spiegeln bzw. Paket-Mitschnitt – reicht aus, um zu hören was Du telefonierst und zu sehen mit wem Du telefonierst. Aber Deine Einwahl-Daten (Konto) bleiben sicher. Man sieht zwar auch Deinen Benutzernamen und bei wem Du Dich anmeldest, aber das Passwort wird nicht im Klartext übertragen. Weil bei SIP auch kein Downgrade auf Klartext-Passwort erlaubt = nicht möglich ist, kann selbst ein aktiver Angreifer (z.B. MitM) nichts ausrichten. Das war bei älteren Internet-Protokollen aus den 90er und 80er Jahren noch anders z.B. E-Mail: Damit war ein Downgrade auf Klartext möglich und es war daher gegen einen aktiven Angreifer nicht gewappnet. Um so mehr brachte bei E-Mail der Zwang von TLS. Aber durch den Zwang auf Digest-Auth in SIP ist Dein Konto sicher† – solange Du ein ausreichend starkes Passwort hast (Entropie) und man das Passwort nicht anders bekommt; siehe oben.

Soviel zum Konto. Wenn Du zusätzlich Deine Inhalte schützen willst, dann wird es Zeit für VPN oder SIP-over-TLS/SDES-sRTP oder … und so weiter. Anders formuliert: Bist Du in einem fremden Netz, solltest Du überlegen – wie bei Politik und Militär üblich –, ob Du alles besprechen musst. Allerdings muss Politik und Militär auch von einem Angreifer außerhalb unseres Rechtsrahmens ausgehen (kümmern sich nicht um das Fernmelde-Geheimnis). Eigentlich müsstest Du Dich als Bürger nur dann darum kümmern, wenn Du besonders gefährdet bist. Und hier wird es spannend, weil aktuell unsere Grundrechte dadurch ausgehebelt werden, weil unsere Legislative glaubt, sie dürfe Ergebnisse von Angreifern außerhalb unseres Rechtsrahmens übernehmen … deswegen, wird auch Hinz und Kunz indirekt überwacht. Deswegen habe ich mich entschieden, bei mir alles zu verschlüsseln. Also auch die Inhalte. Aber das ist ein ganz anderes Thema – der Inhalt –, hat nichts mehr mit der original Frage dieses Threads zu tun; und kann jeder für sich entscheiden. Hier in der Frage ging es um das Konto.

† Theoretisch könnte ein Angreifer Dein Passwort erraten und schon nach wenigen Versuchen Glück gehabt haben. Hier arbeitet die Informatik allein mit Wahrscheinlichkeiten. Die Wahrscheinlichkeit ist so gering, dass sich ein Angreifer andere Ziele sucht. Als sicher gilt etwas, wenn man alle Menschen und Computer zusammenschließt und diese Dein Menschen-Leben lang rechnen müssten, um das Geheimnis zu knacken.

 

[mipo]

Deswegen habe ich mich entschieden, bei mir alles zu verschlüsseln. Also auch die Inhalte. Aber das ist ein ganz anderes Thema – der Inhalt –, hat nichts mehr mit der original Frage dieses Threads zu tun; und kann jeder für sich entscheiden. Hier in der Frage ging es um das Konto.

Hallo @sonyKatze
die Verschlüsselung insbesondere der Inhalte des Gesprächs bringen natürlich nur etwas innerhalb von Deinem Endgerät/Telefonanlage über das WLAN/LAN bis zum Provider. Damit sind Ausspähversuche der Trivialuser (Nachbarn, Kollegen, IT-Abteilung) schon einmal weitestgehend ausgeschlossen. Doch in Deinen Sätzen, die richtig sind, suggerierst Du dem Leser, dass all seine Kommunikation bei Verwendung der Verschlüsselung "sicher" ist. Das ist leider definitiv nicht der Fall. Der Provider muss (gesetzlich vorgeschrieben!) entsprechende Möglichkeiten für staatlichen Stellen/Geheimdienste schaffen um Gespräche abhören zu können. Da nutzt eine Verschlüsselung überhaupt nichts. Sie müsste wenn dann schon End-to-End Verschlüsselt sein.

Daher gehe ich Dir absolut recht: Man sollte sich gut überlegen über was man spricht.

@Christian123 Ich vermute einmal ein zu schwaches Passwort wirst Du zur Absicherung Deines Sipgate Accounts benutzt haben. Sipgate müsste eigentlich hier nähere Auskünfte geben können, werden die aber wahrscheinlich aus "Datenschutzgründen" nicht machen.

Viele Grüße
Michael

 

[Christian123]

Hi, sipgate hat mittlerweile geantwortet und sagte nur ich solle alle Passwörter tauschen. Können mir nicht sagen von wo aus der Zugriff erfolgte, auch nicht die IP.

Ich habe ein neues Passwort nach nun gut 12Jahren neu generiert aber sie konnten mir nicht sagen wo das Leck ist. Nutze die Nummer nur als zentrale Anrufnummer für Sonderrufnummern und telefoniere mit einer anderen Nummer immer raus. Die Zugangsdaten zum Account habe ich auch geändert, sind aber in Firefox gespeichert. Es gibt damit 4 Möglichkeiten:

Browser-Passwort für den Zugang (wäre denkbar)
Fritzbox ??? Sehe dort nichts im Protokoll, heisst aber nichts wenn nur die Daten geklaut wurden. Ist ev. meine Einrichtung des Fernzugriff das Problem?
sipgate selber hat ein Problem ???
Handy media5fone ??? Sehe dort nichts im Protokoll, heisst aber nichts wenn nur die Daten geklaut wurden

Wie richtige ich bei sipgate die Nutzung der Telefone getrennt ein um zu sehen von wo aus was erfolgt?

 

[sonyKatze]

Wie richtige ich bei sipgate die Nutzung der Telefone getrennt ein um zu sehen von wo aus was erfolgt?

Das geht nur mit sipgate basic plus – habe ich oben berichtigt.

 

[margol]

Hallo zusammen,
ich muss leider zugeben, dass ich vor einigen Jahren mit der privaten SIPgate-Leitung auch das Problem hatte, dass jmd. mein Guthaben vertelefoniert hat. Waren 25 EUR in etwa.
Peinlich ist, das ich in Frankreich mit einem französischen Router ein älteres IP-Telefon ans laufen bringen wollte. Und da alles nicht half, hatte ich es als DMZ ins Internet gestellt.
Die eigentlichen Probleme wurden von mir gefunden und behoben, aber ich hatte vergessen,die DMZ abzuschalten.
Also habe ich für 25 EUR eine Erfahrung gemacht, die ich auch nicht wieder vergesse....

JA, es ist peinlich.

Aber, ich habe in der Firma seit 2012 bis 2018 SIPgate als Anlagenanschluss auf einer AGFEO Anlage in Köln im Einsatz gehabt, als einzige Telefonanbindung der Firma. Es hat bestens funktioniert.
Den SIPgate Anlagenanschluß habe ich dann, nachdem ich die Firma aufgelöst habe und wir nach Frankreich gezogen sind, auf einer Fritzbox eingerichtet, funktioniert auch bestens. Die Fritzbox nutzt das französische Internet über Orange.

Gruß Markus

 

[mipo]

Hallo Markus,
da bist Du sicherlich nicht der einzige, der Lehrgeld bezahlt hat. Ich habe einmal mit einer Asterisk-Bastellösung ein wenig herumgespielt. Schlau wie ich war, hatte ich den Port 5060 im Router auf den Asterisk geleitet (wollte ja natürlich auch von außen mal telefonieren) und Nebenstelle = PW gesetzt. Waren damals, da schön nachgeladen wurde 3 x 25 Euro weg. Aber gottseidank Prepaid. Mit Postpaid wäre ich sicherlich pleite gegangen ... Ware X-Gespräche nach Kuba zu 3,63 Euro/Minute dabei.

Gruß
Michael

 

[margol]

Hi Michael,
es gab bei mir aber auch eine geile Variante. Ich wusste 2012, dass wir mit der Firma umziehen würden und habe für die AGFEO AS 200 IT eine VOIP Karte gekauft und die Anlagenanschlüsse umgezogen.
Im neuen Büro hatte ich mir 100 MBit von Unitymedia legen lassen - vorher.
Am Tage des Umzugs nahm ich das 19" Gehäude (Telefonanlage) unter dem Arm, trug diese ins neue Büro, Strom und Internet angeschlossen und schon war das Telefon wieder aktiv.
So cool habe ich noch nie einen Umzug der Telefonanlage gemacht.
Privat hatte ich schon lange VOIP, da wir viel in Frankreich waren, musste ich keinem sagen, wie er mich erreicht. Immer die Kölner Rufnummer - die tut es immer, und wenn es via Smartphone ist.
Gruß Markus