Abo
  • Services:
Anzeige
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Verschlüsselung: Schwachstellen in zahlreichen VoIP-Anwendungen entdeckt

Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Das ZRT-Protokoll soll für sichere Verbindungen und verschlüsselte VoIP-Telefonate sorgen. Forscher haben Schwachstellen in zahlreichen ZRTP-Anwendungen entdeckt, die die Sicherheitsmechanismen aushebeln.

Eine Untersuchung zahlreicher VoIP-Anwendungen hat ergeben: Trotz der im ZRT-Protokoll implementierten Sicherheitsmechanismen lassen sich verschlüsselte Telefonate vergleichsweise einfach umleiten oder abhören. Das ist in erster Linie auf Design-Schwächen der jeweiligen Software zurückzuführen. Es gab aber auch eine inzwischen geschlossene Schwachstelle. Und eine Sicherheitsfunktion in ZRTP wird der Bequemlichkeit geopfert. Die Forscher um Dominik Schürmann an der TU Braunschweig haben die Schwachstellen untersucht.

Anzeige

Das vom renommierten Sicherheitsforscher Phil Zimmermann entwickelte ZRT-Protokoll (Z(immermann) Real-time Transport Protocol) sorgt mit dem Diffie-Hellman-Schlüsselaustausch für verschlüsselte Verbindungen, die direkt zwischen zwei Teilnehmern aufgebaut werden. Zusätzliche Sicherheitsfunktionen stellen sicher, dass die Verbindung zwischen zwei Endstellen vertrauenswürdig ist. ZRTP wurde 2011 als RFC 6189 von der Internet Engineering Task Force (IETF) veröffentlicht und dient als Basis für zahlreiche Anwendungen, darunter das von Zimmermann mitentwickelte Silent Phone von Silent Circle.

Mangelnde Umsetzung von Sicherheitsfunktionen

Schürmann und seine Kollegen haben zahlreiche populäre Anwendungen untersucht, die ebenfalls ZRTP als Basis verwenden. Grundlage für ihre Auswahl war, dass die Anwendungen ihren Quellcode zugänglich machen, um die Software einer möglichst genauen Untersuchung zu unterziehen. Zu der getesteten Software gehören Signal, Linphone Android, Jitsi, CSipSimple und Acrobits Softphone.

In Linphone Android entdeckten die Forscher gleich eine Schwachstelle, die nach Absprache mit den Entwicklern bereits in Version 3.2.0 behoben wurde. Ansonsten entdeckten die Forscher in erster Linie Schwächen in der Umsetzung der Sicherheitsfunktionen in ZRTP selbst.

Striktere Regeln gefordert

Um Angriffe durch Dritte beim Verbindungsaufbau auszuschließen, werden sogenannte Short Authentication Strings (SAS) angezeigt und durch die Teilnehmer verglichen. Stimmen sie nicht überein, besteht die Gefahr, dass sich ein Unbefugter in die Unterhaltung eingeklinkt hat. In Signal fehlt beispielsweise ein Dialogfeld, das gemeinsame SAS bestätigen kann. Inzwischen verwendet Signal ZRTP nicht mehr, sondern setzt auf WebRTC mit eigenen zusätzlichen Sicherheitsfunktionen.

In Acrobits Softphone, CSipSimple, Jitsi und Linphone werden Telefonate über unsichere Protokolle aufrechterhalten, wenn der Verbindungsaufbau über ZRTP versagt. Zwar würden die Nutzer meist gewarnt, Untersuchungen hätten aber ergeben, dass hauptsächlich versierte Nutzer diese Gefahren als solche erkennen, bzw. dass die Warnungen während des Telefonats schlichtweg übersehen werden. Die Forscher schlagen deshalb vor, in einem solchen Fall die Verbindung zu kappen. Nur die Software Signal sei so vorgegangen.

Sowohl CSipSimple als auch Jitsi und Linphone Android machen es Dritten vergleichsweise einfach, sich in eine Verbindung einzuklinken, ohne dass der Vergleich per SAS versagt. Die Anwendungen verzichten nämlich darauf, die ZID des jeweiligen Nutzers an seine SIP-Adresse zu binden. Das RFC von ZRTP schlägt zwar eine Etikettierung der ZIDs vor, um Nutzer zumindest vor solchen Angriffen zu warnen; die Forscher vermuten jedoch, dass die Entwickler wegen der zusätzlichen Komplexität für Nutzer darauf verzichten.


eye home zur Startseite
triplekiller 28. Mär 2017

interessiert mich sehr. ich habe jahre verbracht, sprachverschlüsselung zu lernen. dieser...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. ESG Elektroniksystem- und Logistik-GmbH, Bonn
  2. Jobware Online-Service GmbH, Paderborn (Home-Office möglich)
  3. OSRAM GmbH, Regensburg
  4. afb Application Services AG, München


Anzeige
Spiele-Angebote
  1. (-15%) 16,99€
  2. 5,99€
  3. 7,99€

Folgen Sie uns
       


  1. Festo

    Der Octopus Gripper nimmt Objekte in den Schwitzkasten

  2. Microsoft

    "Es gilt, die Potenziale von Mädchen zu fördern"

  3. Hochschulen

    Ein Drittel mehr Informatik-Studienanfängerinnen

  4. Webroot Endpoint Security

    Antivirusprogramm steckt Windows-Dateien in Quarantäne

  5. 1 GBit/s

    Mobilfunkbetreiber verkauft LTE als 5G Evolution

  6. 3D Xpoint

    Intels Optane Memory überzeugt nur bedingt

  7. Elektronischer Personalausweis

    Das tote Pferd soll auferstehen

  8. Siege M04 im Test

    Creatives erste Sound-Blaster-Maus überzeugt

  9. Netgear GS510TLP

    Lüfterloser PoE+-Switch mit 75 Watt Power Budget

  10. Daimler

    Stromspeicher mit Mercedes-Stern für Sonnenenergie



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
OWASP Top 10: Die zehn wichtigsten Sicherheitsrisiken bekommen ein Update
OWASP Top 10
Die zehn wichtigsten Sicherheitsrisiken bekommen ein Update
  1. Malware Schadsoftware bei 1.200 Holiday-Inn- und Crowne-Plaza-Hotels
  2. Zero Day Exploit Magento-Onlineshops sind wieder gefährdet
  3. Staatstrojaner Office 0-Day zur Verbreitung von Finfisher-Trojaner genutzt

Creators Update: Game Mode macht Spiele runder und Windows 10 ruckelig
Creators Update
Game Mode macht Spiele runder und Windows 10 ruckelig
  1. Microsoft Zwei große Updates pro Jahr für Windows 10
  2. Windows 10 Version 17xx-2 Stromsparmodus kommt für die nächste Windows-Version
  3. Windows as a Service Die erste Windows-10-Version hat noch drei Wochen Support

Linux auf dem Switch: Freiheit kann ganz schön kompliziert sein!
Linux auf dem Switch
Freiheit kann ganz schön kompliziert sein!
  1. Digital Ocean Cloud-Hoster löscht versehentlich Primärdatenbank
  2. Google Cloud Platform für weitere Microsoft-Produkte angepasst
  3. Marktforschung Cloud-Geschäft wächst rasant, Amazon dominiert den Markt

  1. 5% Rabatt beim onlineshopen...

    jude | 11:46

  2. Re: Machen die jetzt dasselbe?

    Trollversteher | 11:46

  3. Re: Das Teil besteht von vorne bis hinten aus...

    Dietbert | 11:45

  4. Re: Zwiegespalten: Zerstörung = Fortschritt?

    Muhaha | 11:45

  5. Re: Konsolen wird es noch sehr lange geben!

    My1 | 11:45


  1. 12:04

  2. 11:55

  3. 11:46

  4. 11:22

  5. 10:55

  6. 10:46

  7. 10:05

  8. 09:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel