Likes: 0
19/12/13 11:03
Nog een vraag, wanneer je een PBX in een hosted omgeving draait en verbind je bedrijf met deze PBX dan worden de toestellen standaard volgens mij onbeschermd aangemeld bij de centrale?
Vele telefoons hebben een VPN mogelijkheid, maar makkelijker is het natuurlijk om het hele netwerk te verbinden via een VPN.
Maar hoe zit het met alle hosted centrales die aangeboden worden, deze bieden geen VPN standaard aan.
Is het normaal aanmelden van je telefoon dan toch veilig genoeg?
19/12/13 11:15
Of het veilig _genoeg_ is, is wat je je zelf moet afvragen.Oorspronkelijk geplaatst door Norman
Wat ben je aan het beschermen, en waar tegen ?
De SIP standaard(en) en RTP (het media protocol) hebben ook encrypted versies, en die kunnen onderhandeld worden indien beide partijen (centrale en telefoon) ze ondersteunen.
Maar inderdaad bestaat ook voor VoIP het risico van (password/login) brute forcers (/cq dictionaries). Misschien nog meer dan voor gewone logins, omdat met een gehackte PBX geld te maken is door naar extreem dure nummers te bellen.
19/12/13 11:23
Het gaat mij inderdaad voornamelijk om het password sniffen.
Bij SRTP is dan het authenticatie process ook encrypted of alleen het gesprek?
19/12/13 11:47
SRTP gaat alleen over het gesprek. En de keys worden in plaintext uitgewisseld bij de call setup via SIP.
De signalering (SIP) heeft ook encrypted varienten (SIP TLS, feitelijk SIP over SSL ).
Als dit belangrijk is, zou ik denk ik voor een VPN variant kiezen omdat je dan een betere garantie hebt dat _als_ het werkt, het ook veilig is.
Ik denk dat je bij SIP TLS + SRTP meer risico hebt dat je vanwege een mismatch/onderhandeling/configuratie fout e.d. 'ongemerkt' terugvalt naar plain text.
(Plus trouwens dat ook al vang je sniffen af, gewoon bruteforcen/dictionary attacks prima mogelijk zijn. Daar helpt SIP TLS niet tegen, hooguit dat de botjes er mogelijk _nog_ geen support voor hebben.
Het aantal sip accounts met '1234' als key zou ik _niet_ de kost willen geven.)
19/12/13 13:09
Ok dan word het inderdaad een VPN ...
Kun je dan met de firewall de 5060 ook blokkeren en alleen toelaten voor de DID aanbieder ?
Zijn er verder nog trunks die SRTP bieden?
Ik ken alleen deze https://didlogic.com/services/encrypted-calls
Ben benieuwd!
19/12/13 13:38
Dat is wat ik bij voorkeur zou doen, maar je moet natuurlijk wel zeker weten waar de provider vandaan komt.
Dat kan best een pool van adressen zijn.
Overigens, als je een VPN met de provider hebt, heb je niks meer met udp/5060 te maken, dan is het alleen het VPN protocol wat je moet doorlaten.
Let ook op hoe de spraakflow loopt. Het basis idee van VoIP is dat bij sip-to-sip de spraak direct van telefoon naar telefoon loopt, ook al gaat de call setup via een pbx.
Natuurlijk heb je ook modellen waarin dat wel via een gateway gaat (juist voor bedrijf met nat + borderfirewall achtige setups).
Je verwacht dat de aanbieders iets leveren wat voor hun 'gebruikelijke' klanten werkt, maar als dit is het soort dingen wat lastig uitzoeken is als niet-standaard bent voor een type setup.
Geen idee.
Quote