SRTP mit Asterisk OHNE PATCH

[greedo]

Hallo zusammen,
ich habe im April08 meine Dipl. Arbeit mit dem Titel "VoIP-Konzept für SSL-geschützte Internettelefonie" abgegeben und arbeite jetzt inzw. seit ca. 2 Jahren als Entwickler an dem Konzept. Leider kann ich die Dipl. Arbeit (noch) nicht veröffentlichen.
Hierbei handelt es sich um ein Softphone als Applet das extern mittels SSL eingesetzt werden kann, so viel kann ich schon mal verraten ;-)

Aktuelle Problemstellung/kurzer Erfahrungsbericht:

Das Konzept soll um ein weiteres "Feature" erweitert werden, ich versuche derzeit zunächst den extern einsetzbaren UAC um srtp erweitern, mit Asterisk im Spiel natürlich.
Hierzu habe ich den Phoner http://www.phoner.de/download.htm, der ja srtp mit asterisk(OHNE SRTP-Patch!) kann, im Einsatz "getraced":

Der Trick bei Phoner, an der Asterisk vorbei SRTP zu machen ist, soweit ich das erkannt habe, dass ein Multicast DNS mechanismus verwendet wird um die SIP-Pakete mit a=cyrpto im SDP und im Anschluss die im Payload verschl. RTP-Sprachdatenpakete etc. direkt an den gewünschten Gesprächspartner zu versenden.

SIP URI Service Discovery using DNS-SD
http://tools.ietf.org/id/draft-lee-sip-dns-sd-uri-02.txt

Ich persönlich bin aber von dieser "Trickserei" nicht besonders beeindruckt:
Zunächst funktioniert das nur im gleichen Subnetz, bringt nix bei externem Einsatz des UAC. Dann ist es nicht besonders sicher, die MDNS Einträge, welche soz. den SIP-Registrar im Asterisk ersetzten, sind nicht authentifiziert...

Fazit:
Ich denke man kommt bei der Architektur externer UAC, Asterisk im Intranet und a=chrypto ;-) nicht drum herum, Asterisk um SRTP zu befähigen - oder habt ihr vielleicht eine Idee in dieser Konstellation??

Würde mich sehr freuen eure Meinung/Erfahrung in diesem Kontext zu lesen, hab jetzt auch so mit der Zeit die Erfahrung gemacht, dass in diesem Umfeld doch tatsächlich vieles noch in Kinderschuhen steckt und solche Foren manchmal Gold wert, manchmal aber auch destruktiv sein können, aber das ist halt mal so denke ich im "Alpha"-Status...

In diesem Sinne möchte ich nur nochmal darauf hindeuten, dass dies lediglich meine Erkenntnisse aus Tests im praktischen Einsatz sind aus denen ich versuche etwas schlauer zu werden

 

[speedy1980]

Aus meiner Sicht, der bisher kaum Erfahrungen mit SRTP hat:
- Multicast macht aus den von Dir angesprochenen Gründen keinen Sinn
- Asterisk muss SRTP können (Telefonat von internem Telefon mit internem Asterisk über Internetverbindung --> eventuell ist die Firewall so konfiguriert, dass Telefone keinen Internetzugriff haben sondern nur der Asterisk - hab ich schon bei mehreren Kunden gesehen)

 

[greedo]

Hallo speedy1980,

mir würde es vorerst schon reichen, wenn ich Telefon/intern zu Telefon/intern mit Asterisk/intern SRTP machen könnte ohne das Patch, hab dazu aber auch leider keine Vernünftige Lösung - ich möchte eben die Anforderungen für den Einsatz meines UAC so gering wie möglich halten, praktisch nur Asterisk wie es in der Praxis weit verbreitet eingesetzt wird, was aber zumindest bei SRTP ohne das Patch nicht machbar scheint (ausser der MDNS "pseudo-lösung", die wie gesagt nicht tauglich scheint).

Jetzt versuche ich es wie gesagt zumindest mal mit dem Patch um überhaupt mal mit SRTP selbst anfangen zu können, mal sehn wie weit ich komme ;-)

 

[Ottone]

Du kannst ja Asterisk 1.6 (beta) einsetzen, da ist es als "experimental" an Bord, oder Du nimmst FreeSwitch her. Mehr zum Thema im voip.info Wiki, das sicherlich auch glücklich wäre einen link zu Deiner DA bzw. deren Erkenntnissen zu haben.

 

[stony999]

Bei mir läuft Freeswitch mit TSL und SRTP mit Telefonen von SNOM (Achtung neueste Firmware ab 7.1.33 benutzen).