Bei der Implementierung eines Unified-Communications-Systems sollte unser Interesse nicht nur der Signalübertragung ans ich gelten, sondern auch der Verschlüsselung der zwischen Geräten übertragenen Medien.
Es gibt drei beliebte RTP-Verschlüsselungsmodi:
- SRTP MIKEY / SDES (erfordert TLS-Verschlüsselung der Signalisierung)
- SRTP DTLS
- ZRTP
SRTP
Das Secure Real-Time Transport Protocol (oder SRTP) definiert ein RTP-Profil (Real-Time Transport Protocol), das Verschlüsselung, Nachrichtenauthentifizierung und Integrität sowie Replay-Schutz für die RTP-Daten in Unicast- und Multicast-Anwendungen bieten soll. Es wurde erstmals im März 2004 von der IETF als RFC 3711 veröffentlicht.
Seit seiner Einführung haben es viele Anbieter in ihre Systeme integriert, wobei der am meisten unterstützte Verschlüsselungsstandard auf der AES 128-Verschlüsselung basiert.
Da Schlüssel in SIP-Nachrichten im Klartext ausgetauscht werden, ist die Verschlüsselung der Signale obligatorisch. Ein Sicherheitsnachteil dieses Ansatzes besteht darin, dass der SIP-Proxy in der Mitte alle Informationen kennt, die zum Decodieren der ausgetauschten Audiodaten erforderlich sind. Diese Konfiguration ist in Unternehmensumgebungen von Vorteil, in denen wir den Datenschutz vor Entitäten außerhalb des Unternehmens gewährleisten und gleichzeitig Funktionen wie Anrufaufzeichnung nutzen möchten.
SRTP DTLS
SRTP verwendet Datagram Transport Layer Security (DTLS) und bietet Punkt-zu-Punkt-Sicherheit (Gerät-zu-Gerät) zwischen den Endpunkten in einer Kommunikationsverbindung. Es ist ein auf TLS basierendes Kanalsicherheitsprotokoll. Die Verschlüsselungsschlüssel werden über denselben Port ausgetauscht, der dann mithilfe eines DTLS-Protokolls für RTP verwendet wird.
Bei Verwendung von DTLS-SRTP:
- Werden die Anwendungsdaten mit SRTP geschützt.
- Wird der DTLS-Handshake verwendet, um Schlüssel, Algorithmen und Parameter für SRTP festzulegen.
- Wird eine DTLS-Erweiterung verwendet, um SRTP-Algorithmen zu übertragen.
- Werden andere Inhaltstypen der DTLS-Datensatzschicht mit dem normalen DTLS-Datensatzformat geschützt.
Mit anderen Worten: Es ist wichtig, die Sicherheit auf Punkt-zu-Punkt-Ebene (Gerät-zu-Gerät) zu gewährleisten und sich nicht auf die Sicherheit der Signalübertragung (z.B. SIP) zu verlassen.
SRTP-DTLS wird derzeit von WebRTC-fähigen Browsern unterstützt und ist der obligatorische RTP-Verschlüsselungsmodus des WebRTC-Projekts bzw. der WebRTC-Spezifikation. Es ersetzt SRTP SDES, das ursprünglich für die WebRTC-Implementierung von Chrome angedacht und implementiert war. Es erhielt deshalb den Vorzug gegenüber SRTP-SDES, weil es einen besseren Schutz bei der Punkt-zu-Punkt-Kommunikation gewährleistet.
ZRTP
Auch ZRTP ist ein Punkt-zu-Punkt-Verschlüsselungsprotokoll, das jedoch nicht sehr weit verbreitet ist.
Um eine Punkt-zu-Punkt-Verschlüsselung zu gewährleisten, werden unter Verwendung des Diffie-Hellman-Schlüsselaustauschprotokolls ein gemeinsames Geheimnis (“Shared Secret”) und andere Sicherheitsparameter ausgetauscht. Für die gegenseitige Authentifizierung wird eine kurze Authentifizierungszeichenfolge (Short Authentication String, SAS) genutzt, sodass keine Unterstützung durch eine PKI (Public Key Infrastructure) erforderlich ist. Der ZRTP-Austausch findet über dieselben Ports statt, die von der Multimedia-Sitzung für den RTP-Verkehr verwendet werden (im Gegensatz zum Signalisierungspfad).
Die Authentifizierung und später auch der verschlüsselte Medienaustausch werden über einen einzelnen Port durchgeführt, wie im SDP angegeben. ZRTP verhindert verlässlich das Abhören von Gesprächen, bringt aber im Gegenzug Probleme bei Anrufaufzeichnungen mit sich.
Heutzutage ist ZRTP hauptsächlich in SIP-Softphones implementiert. Wenn ZRTP vom Remote-Endpunkt nicht unterstützt wird, greifen die meisten Clients normalerweise auf das Standard-RTP zurück
Fazit
Medienverschlüsselung ist ein wichtiges Thema und jedes UC-System sollte sie für Anrufe über öffentliche Datennetze implementieren.
Wir sollten daran denken, dass Anrufe, die über herkömmliche PSTN-Netze weitergeleitet werden, von Strafverfolgungsbehörden und Betreibern abgehört werden können. Wenn also Vertraulichkeit besonders wichtig ist, müssen wir die Benutzer dazu auffordern, ihre Kommunikation über reine VoIP-Verbindungen abzuwickeln.
Zusammenfassend lässt sich sagen, dass die Verwendung von WebRTC und VoIP-Telefonie eine bequemere und sicherere Möglichkeit bietet, die Kommunikation zwischen Mitarbeitern und Kunden zu fördern.
