Betriebstagung DFN-Verein , 14:30 15:00 Uhr Torsten Remscheid. U. Hautzendorfer / VoIP im DFN Fernsprechen

Transkript

1 Betriebstagung DFN-Verein , 14:30 15:00 Uhr Torsten Remscheid U. Hautzendorfer / VoIP im DFN Fernsprechen

2 Agenda 1 VoIP-Anschluss im DFNFernsprechen, Übersicht 2 Seit 2006 stabiler Betrieb, das Redundanzkonzept 3 Leistungsmerkmale 4 VoIP-Verschlüsselung srtp sichere Audio/Vidoübertragung TLS - Verschlüsselung SIP-Signalisierung U. Hautzendorfer / VoIP im DFN Fernsprechen

3 1. VoIP-Anschluss im DFNFernsprechen, Übersicht Hochschule DFN-Verein T-Systems a/b- Telefon VoIP- Telefon VoIP PBX ternet DFN Int X-WiN EC 50 MSP SS7 PSTN Media Gwy Breakout Breakin Connect U. Hautzendorfer / VoIP im DFN Fernsprechen

4 2. Seit 2006 stabiler Betrieb, das Redundanzkonzept Hochschule DFN-Verein T-Systems a/b- Telefon VoIP- Telefon Media Gwy VIP VoIP PBX N Internet DF KN A KN B X-WiN EC 50 EC 50 MSP SS7 SS7 PSTN Kanten- und Kanten- und Alle Baugruppen 1+1 N-fache Knotendisjunkte Knotendisjunkte Line Cards n+1 Anbindung Wegeführung Wegeführung zum PSTN U. Hautzendorfer / VoIP im DFN Fernsprechen

5 2. Redundanzkonzept: Anforderungen Design IP-PBX POP VG proxy 2 IP-PBX POP VG Proxy 1 U. Hautzendorfer / VoIP im DFN Fernsprechen

6 3. Leistungsmerkmale, unterstützte Standards keine Registrierung kein TLS trusted Umgebung (SIP- IP kann vertraut werden) p-asserted-identity als Feld für rechtliche Belange A-number-screening erforderlich hohe Anzahl von Durchwahlblöcken Audio Codecs Anforderung IP Anforderung Security Authorisierung G.711a-law G.729a T.38 (G3 Fax) z.z. nicht nachgefragt: G.711mu-law G.729ab UDP private und überlappende Kunden-Adressbereiche feste IP, d.h. kein Domänen-konzept Trennung der einzelnen Kunden pro Kunden-PBX ein SIP-Trunk Firewallfunktionalität/ Netztrennung U. Hautzendorfer / VoIP im DFN Fernsprechen

7 3. Leistungsmerkmale, unterstützte Standards SIP Adressierung Anforderung Features Anforderung SDP MediaTypes / Transcoding SIP-URI mit rufnummer@ip-adresse SIP Headerinfos mit p-asserted-id diversion OIP (CLIP) OIR (CLIR) Transfer/ Forwarding SIP-Ping session timer early/ late offer CUCM mit late offer early media (für Ansagen) Codecs G.711 a-law G.729a T.38 Version 0+1 Codec-Aushandlung ( Honor Remote Precedence) Payload size 20 ms (Standard) 10, 30, 40 auf Wunsch kein VAD CllAd Call Admission i Control U. Hautzendorfer / VoIP im DFN Fernsprechen

8 3. Leistungsmerkmale, unterstützte Standards Media Attribute inactive sendonly reconly sendrec DTMF RFC 2833, payload type 100/101 Clear Channel Media type video Kunde-zu-Kunde- Kommunikation Nicht portierte Rufnummern RufNr Formate Anforderung Physik Projektbezogen Call-by-Call Preselection Emergency Calls / 110 Behördenruf / 115 international Services MGW/VG Echo Cancelation G.168 dynamic jitter buffer bislang nicht realisiert: Mdi Media type video U. Hautzendorfer / VoIP im DFN Fernsprechen

9 4. VoIP-Verschlüsselung Hochschule DFN-Verein T-Systems a/b- Telefon VoIP- Telefon VIP VoIP PBX N Internet DF X-WiN EC 50 EC 50 MSP SS7 SS7 PSTN Media Gwy SBC (ACME) TLS srtp Zertifakate-Server (nur bei Bedarf zur Schlüsselverwaltung, vorerst bei DFN nur ein Schlüssel) U. Hautzendorfer / VoIP im DFN Fernsprechen

10 4. Secure Real Time Protocol (srtp) Header format RTP Packet Format (RFC 3550) srtp Packet Format (RFC 3711) 32 Bit 32 Bit V P X CC M PT Sequence Number Timestamp Synchronization Source (SSRC) Identifier Contributing Source (CSRC) Identifier RTP Header Extensions (optional) Payload V P X CC M PT Sequence Number Timestamp Synchronization Source (SSRC) Identifier Contributing Source (CSRC) Identifier RTP Header Extensions (optional) Encrypted Payload Authen nticated Portion SRTP Master Key Identifier (SRTP MKI) - optional Authentication Tag - recommended U. Hautzendorfer / VoIP im DFN Fernsprechen

11 4. (srtp) Key Management mit sdescription (SDP) IP- PBX srtp Master Key Master Salt srtp SBC SHA-1 1Session Keys für Authentifizierung tifi i RTP Pakete AES Session Keys für Payload Verschlüsselung SDP: SDescription (RFC 4568) a=crypto:1 AES_CM_128_HMAC_SHA1_80 SHA1 80 inline:yujdzgvmz2hpsktmbw9quxjzvhvwd3l6mtizndu2 2ˆ20 1: :32 a= crypto: <tag> <crypto-suite> <key-params>[session-paramsfazit U. Hautzendorfer / VoIP im DFN Fernsprechen

12 Aus Datenschutzgründen wurde das automatische Herunterladen dieser externen Grafik von PowerPoint verhindert. Klicken Sie auf der Statusleiste auf 'Optionen', und klicken Sie dann auf 'Externe Inhalte aktivieren', um diese Grafik herunterzuladen und anzuzeigen. VoIP im DFNFernsprechen 4. TLS Verschlüsselung des SIP-Trunks IP- PBX SIP via TLS CA Zertifikat erstellen Cipher Suite (RFC 2246) Schlüsselaustausch + Authentifizierung: RSA Hashfunktion: SHA Verschlüsselung: AES Kompression? Schlüsselinformation SBC X509v3 Zertifikat Version, Seriennummer Algorithmen-ID Aussteller Gültigkeit (von / bis) Zertifikatinhaber Zertifikatinhaber-Schlüsselinfo Public-Key-Algorithmus Public Key des Zertifikatinhabers Eindeutige ID des Ausstellers (opt. ) Eindeutige ID des Inhabers (opt.) Erweiterungen Zertifikat-Signaturalgorithmus Zertifikat-Signatur U. Hautzendorfer / VoIP im DFN Fernsprechen

13 4. TLS Handshake Protokoll Phase 1 Festlegen der Sicherheitsressourcen public key client private key client public key server private key server Erzeugen einer Zufallszahl Rc Crypto-Information Client client_hello (Crypto-Info) Parameter Version, Zufallszahl Rc, Sitzungsnr., Chiffriermodus i und Erzeugen einer Zufallszahl Rs Kompressionsmethode server_hello (Crypto-Info) Crypto-Information Server Parameter Version, Zufallszahl Rs, Sitzungsnr., Chiffriermodus und Kompressionsmethode Client Server U. Hautzendorfer / VoIP im DFN Fernsprechen

14 4. TLS Handshake Protokoll Phase 2 Server Authentifizierung public key client private key client public key server private key server server_certificat (ink. ) Überprüfen des Server Zertifikates Mutual Authentication (Optional ) Demant client certificat client_certificat (inkl. ) client certificat verschlüsselt mit Überprüfen des Client Zertifikates Client Überprüfen des verschlüsselten Client Zertifikates Server U. Hautzendorfer / VoIP im DFN Fernsprechen

15 4. TLS Handshake Protokoll Phase 3 Client Authentifizierung und Schlüsseltausch public key client private key client public key server private key server Erzeugen des random number pre-master secret (RNpms) Erzeugen des master secrets (MS) einmaliger Session Key client key exchange RNpms verschlüsselt mit Change to encrypted connection End SSL handshake Change to encrypted connection Erzeugen des master secrets (MS) einmaliger Session Key Client End SSL handshake Server U. Hautzendorfer / VoIP im DFN Fernsprechen