IP Telefonie Sicherheit mit Cisco Unified Communications Manager Dipl. Ing. (FH) Thomas Ströhm Friday, November 09, 2007
Überblick Security Herausforderungen der IP-Telefonie Einsatz von Secure RTP mit dem Cisco Unified Communications Manager 4.2(3) Signalisierungsdaten sicher versenden, H.323 und MGCP Tollfraud: Problemstellungen und Lösungsansätze Genereller Überblick der sicherheitsrelevanten Funktionen des Cisco Unified Communications Manager 4.2(3) und 6.0 2 Copyright Dimension Data 2000-2006
IP Telefonie und die IT Security Signaling Stream Media Stream 3 Copyright Dimension Data 2000-2006
Bedrohung durch VoIP Sniffering mit SPAN Port 4 Copyright Dimension Data 2000-2006
Integration von SRTP für IP Phones und Gateways SRTP ist ein Standard Feature des Cisco Unified Communications Manager (CUCM). Überblick Benötigt einen Windows PC für die Installation bzw. Umstellung. USB Security Tokens erforderlich (Zertifikatsspeicher). Erfordert Anpassungen an den IP Telefonen. Sowohl zwischen Gateway (MGCP controlled) und IP Phone als auch zwischen IP Phones möglich. Signaling (TLS) Media (SRTP) 5
Integration von SRTP für IP Phones und Gateways Zertifikatshierarchie / -aufbau CTL 6
Integration von SRTP für IP Phones Vorbereitung des CUCM Clusters: Aktivieren der benötigten Dienste: Publisher Certificate Authority Proxy Function Service TFTP Server CTL Provider Service 7
Integration von SRTP für IP Phones CTL Client Benötigt Microsoft Windows XP oder 2000 mit USB Port (kann auch CUCM sein) 1. CUCM Cluster in Mixed Mode setzen 2. Automatisches erkennen der CUCM Server (Primärer TFTP Server, CAPF Server, Callmanager Server). 3. Hinzufügen der Security Tokens. 8
Integration von SRTP für IP Phones Nacharbeiten / Anpassungen auf dem CUCM Restart der Dienste auf allen Servern: Cisco Callmanager Service Cisco TFTP Service Anpassungen auf den IP Phones / Enterprise Parameter Alle Phones im Cluster auf SRTP konfigurieren: System > Enterprise Parameters > Device Security Mode Einzelne / Mehrere Phones für SRTP Konfigurieren: Auf dem Device > Device Security Mode 9
Device Security Modes Authenticated (Signaling Authentication) Authentifizierung der Kommunikationspartner sowie Integrität der Signalisierungsdaten (TLS) Encrypted (Signaling Authentication & Media Encryption) Authentifizierung der Kommunikationspartner sowie Integrität der Signalisierungsdaten (TLS) Authentifizierung und Verschlüsselung der Sprachdaten (SRTP) und Signalisierungsdaten (TLS) Phone 1 Phone 2 Authenticated Encrypted Authenticated Authenticated Authenticated Encrypted Authenticated Encrypted 10
Sichere Anbindung für Gateways IPSec zwischen CUCM und Cisco IOS Gateway Integrität, Authentizität und Verschlüsselung für Signalisierungsdaten zwischen CUCM und MGCP oder H.323 Cisco IOS Gateways. SRTP zwischen IPPhones und Cisco IOS MGCP Gateway Integrität, Authentizität und Verschlüsselung für Sprachdaten. 11
Einschränkungen durch SRTP / Signaling Encryption Keine Autoregistration mehr möglich bei MixedMode Einstellung Keine dynamische Portöffnung für RTP / SRTP an Firewalls Nicht alle IP Phones unterstützen SRTP / Signaling Encryption Generell ist eine detaillierte Planung für Einsatz und Umsetzung erforderlich. 12
Toll Fraud PSTN 0308XXXX Problem Incomming Calling Search Space (CSS): > Translation-Pattern: 0308.! mit CSS_International als Outgoing CSS Incomming Called Number: 030800900666666? Lösung: > Translation-Pattern: 0308.[1-9]XXX mit CSS_Internal / National als Outgoing CSS 13 Copyright Dimension Data 2000-2006
Cisco Unified Communications Manager Security Funktionen IP Phone Level Einstellungsanzeige am Telefon PC Port am IP Phone Voice VLAN Access am PC Port Gratutious ARP Web Access Authentication & Encryption 14 Copyright Dimension Data 2000-2006
Cisco Unified Communications Manager Security Funktionen Call Manager / Cluster Level Authentication & Encryption Signatur der IP Phone Loads und Konfigurationsfiles Cisco Security Agent Conference Parameters Call Transfer Restrictions Multi Level Admin IPSec für Gatewaykommunikation Administrationsoberfläche nur über SSL zugänglich Sicherheitsscripte für Windows 2000 Hardening vorhanden 15 Copyright Dimension Data 2000-2006