Abo
  • Services:
Anzeige
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Verschlüsselung: Schwachstellen in zahlreichen VoIP-Anwendungen entdeckt

Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Das ZRT-Protokoll soll für sichere Verbindungen und verschlüsselte VoIP-Telefonate sorgen. Forscher haben Schwachstellen in zahlreichen ZRTP-Anwendungen entdeckt, die die Sicherheitsmechanismen aushebeln.

Eine Untersuchung zahlreicher VoIP-Anwendungen hat ergeben: Trotz der im ZRT-Protokoll implementierten Sicherheitsmechanismen lassen sich verschlüsselte Telefonate vergleichsweise einfach umleiten oder abhören. Das ist in erster Linie auf Design-Schwächen der jeweiligen Software zurückzuführen. Es gab aber auch eine inzwischen geschlossene Schwachstelle. Und eine Sicherheitsfunktion in ZRTP wird der Bequemlichkeit geopfert. Die Forscher um Dominik Schürmann an der TU Braunschweig haben die Schwachstellen untersucht.

Anzeige

Das vom renommierten Sicherheitsforscher Phil Zimmermann entwickelte ZRT-Protokoll (Z(immermann) Real-time Transport Protocol) sorgt mit dem Diffie-Hellman-Schlüsselaustausch für verschlüsselte Verbindungen, die direkt zwischen zwei Teilnehmern aufgebaut werden. Zusätzliche Sicherheitsfunktionen stellen sicher, dass die Verbindung zwischen zwei Endstellen vertrauenswürdig ist. ZRTP wurde 2011 als RFC 6189 von der Internet Engineering Task Force (IETF) veröffentlicht und dient als Basis für zahlreiche Anwendungen, darunter das von Zimmermann mitentwickelte Silent Phone von Silent Circle.

Mangelnde Umsetzung von Sicherheitsfunktionen

Schürmann und seine Kollegen haben zahlreiche populäre Anwendungen untersucht, die ebenfalls ZRTP als Basis verwenden. Grundlage für ihre Auswahl war, dass die Anwendungen ihren Quellcode zugänglich machen, um die Software einer möglichst genauen Untersuchung zu unterziehen. Zu der getesteten Software gehören Signal, Linphone Android, Jitsi, CSipSimple und Acrobits Softphone.

In Linphone Android entdeckten die Forscher gleich eine Schwachstelle, die nach Absprache mit den Entwicklern bereits in Version 3.2.0 behoben wurde. Ansonsten entdeckten die Forscher in erster Linie Schwächen in der Umsetzung der Sicherheitsfunktionen in ZRTP selbst.

Striktere Regeln gefordert

Um Angriffe durch Dritte beim Verbindungsaufbau auszuschließen, werden sogenannte Short Authentication Strings (SAS) angezeigt und durch die Teilnehmer verglichen. Stimmen sie nicht überein, besteht die Gefahr, dass sich ein Unbefugter in die Unterhaltung eingeklinkt hat. In Signal fehlt beispielsweise ein Dialogfeld, das gemeinsame SAS bestätigen kann. Inzwischen verwendet Signal ZRTP nicht mehr, sondern setzt auf WebRTC mit eigenen zusätzlichen Sicherheitsfunktionen.

In Acrobits Softphone, CSipSimple, Jitsi und Linphone werden Telefonate über unsichere Protokolle aufrechterhalten, wenn der Verbindungsaufbau über ZRTP versagt. Zwar würden die Nutzer meist gewarnt, Untersuchungen hätten aber ergeben, dass hauptsächlich versierte Nutzer diese Gefahren als solche erkennen, bzw. dass die Warnungen während des Telefonats schlichtweg übersehen werden. Die Forscher schlagen deshalb vor, in einem solchen Fall die Verbindung zu kappen. Nur die Software Signal sei so vorgegangen.

Sowohl CSipSimple als auch Jitsi und Linphone Android machen es Dritten vergleichsweise einfach, sich in eine Verbindung einzuklinken, ohne dass der Vergleich per SAS versagt. Die Anwendungen verzichten nämlich darauf, die ZID des jeweiligen Nutzers an seine SIP-Adresse zu binden. Das RFC von ZRTP schlägt zwar eine Etikettierung der ZIDs vor, um Nutzer zumindest vor solchen Angriffen zu warnen; die Forscher vermuten jedoch, dass die Entwickler wegen der zusätzlichen Komplexität für Nutzer darauf verzichten.


eye home zur Startseite
triplekiller 28. Mär 2017

interessiert mich sehr. ich habe jahre verbracht, sprachverschlüsselung zu lernen. dieser...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. Schaeffler Technologies AG & Co. KG, Nürnberg
  2. ETAS GmbH & Co. KG, Stuttgart
  3. über HB Marketing Personal, Mindelheim
  4. PROMOS consult GmbH, Berlin


Anzeige
Top-Angebote
  1. 9,99€
  2. 139,90€
  3. 44,90€

Folgen Sie uns
       


  1. Essential Phone

    Android-Gründer zeigt eigenes Smartphone

  2. Kaby Lake Refresh

    Intels 8th Gen legt über 30 Prozent zu

  3. Colossal Cave

    Finalversion von erstem Textadventure ist Open Source

  4. TVS-882ST3

    QNAP stellt hochpreisiges NAS mit 2,5-Zoll Schächten vor

  5. Asus Zenbook Flip S im Hands On

    Schön leicht für ein Umklapp-Tablet

  6. Project Zero

    Windows-Virenschutz hat erneut kritische Schwachstellen

  7. GPS Share

    Gnome-Anwendung teilt GPS-Daten im LAN

  8. Net-Based LAN Services

    T-Systems bietet WLAN as a Service ab Juni

  9. Angacom

    Unitymedia verlangt nach einem deutschen Hulu

  10. XYZprinting Nobel 1.0a im Test

    Wie aus einem Guss



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
XPS 13 (9365) im Test: Dells Convertible zeigt alte Stärken und neue Schwächen
XPS 13 (9365) im Test
Dells Convertible zeigt alte Stärken und neue Schwächen
  1. Prozessor Intel wird Thunderbolt 3 in CPUs integrieren
  2. Schnittstelle Intel pflegt endlich Linux-Treiber für Thunderbolt
  3. Asus B9440 im Test Leichtes Geschäftsnotebook liefert zu wenig Business

Calliope Mini im Test: Neuland lernt programmieren
Calliope Mini im Test
Neuland lernt programmieren
  1. Arduino Cinque RISC-V-Prozessor und ESP32 auf einem Board vereint
  2. MKRFOX1200 Neues Arduino-Board erscheint mit kostenlosem Datentarif
  3. Creoqode 2048 Tragbare Spielekonsole zum Basteln erhältlich

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Wemo Belkin erweitert Smart-Home-System um Homekit-Bridge
  2. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  3. Tapdo Das Smart Home mit Fingerabdrücken steuern

  1. Re: Das wird kaum was...

    tingelchen | 14:59

  2. Re: 20kW Leistung... was ein Witz sowas überhaupt...

    Hugo21 | 14:56

  3. Re: immerhin sie merken was abgeht

    tingelchen | 14:53

  4. Re: Als Bestandeskunde...

    bbk | 14:53

  5. mehr Code => mehr Fehler

    Nikolai | 14:49


  1. 15:07

  2. 14:39

  3. 14:20

  4. 14:08

  5. 14:00

  6. 13:56

  7. 13:09

  8. 12:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel