Abo
  • Services:
Anzeige
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Verschlüsselung: Schwachstellen in zahlreichen VoIP-Anwendungen entdeckt

Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher.
Mangelnde Implementierungen von Sicherheitsfunktionen des ZRTP machen VoIP-Anwendungen unsicher. (Bild: Dominik Schürmann)

Das ZRT-Protokoll soll für sichere Verbindungen und verschlüsselte VoIP-Telefonate sorgen. Forscher haben Schwachstellen in zahlreichen ZRTP-Anwendungen entdeckt, die die Sicherheitsmechanismen aushebeln.

Eine Untersuchung zahlreicher VoIP-Anwendungen hat ergeben: Trotz der im ZRT-Protokoll implementierten Sicherheitsmechanismen lassen sich verschlüsselte Telefonate vergleichsweise einfach umleiten oder abhören. Das ist in erster Linie auf Design-Schwächen der jeweiligen Software zurückzuführen. Es gab aber auch eine inzwischen geschlossene Schwachstelle. Und eine Sicherheitsfunktion in ZRTP wird der Bequemlichkeit geopfert. Die Forscher um Dominik Schürmann an der TU Braunschweig haben die Schwachstellen untersucht.

Anzeige

Das vom renommierten Sicherheitsforscher Phil Zimmermann entwickelte ZRT-Protokoll (Z(immermann) Real-time Transport Protocol) sorgt mit dem Diffie-Hellman-Schlüsselaustausch für verschlüsselte Verbindungen, die direkt zwischen zwei Teilnehmern aufgebaut werden. Zusätzliche Sicherheitsfunktionen stellen sicher, dass die Verbindung zwischen zwei Endstellen vertrauenswürdig ist. ZRTP wurde 2011 als RFC 6189 von der Internet Engineering Task Force (IETF) veröffentlicht und dient als Basis für zahlreiche Anwendungen, darunter das von Zimmermann mitentwickelte Silent Phone von Silent Circle.

Mangelnde Umsetzung von Sicherheitsfunktionen

Schürmann und seine Kollegen haben zahlreiche populäre Anwendungen untersucht, die ebenfalls ZRTP als Basis verwenden. Grundlage für ihre Auswahl war, dass die Anwendungen ihren Quellcode zugänglich machen, um die Software einer möglichst genauen Untersuchung zu unterziehen. Zu der getesteten Software gehören Signal, Linphone Android, Jitsi, CSipSimple und Acrobits Softphone.

In Linphone Android entdeckten die Forscher gleich eine Schwachstelle, die nach Absprache mit den Entwicklern bereits in Version 3.2.0 behoben wurde. Ansonsten entdeckten die Forscher in erster Linie Schwächen in der Umsetzung der Sicherheitsfunktionen in ZRTP selbst.

Striktere Regeln gefordert

Um Angriffe durch Dritte beim Verbindungsaufbau auszuschließen, werden sogenannte Short Authentication Strings (SAS) angezeigt und durch die Teilnehmer verglichen. Stimmen sie nicht überein, besteht die Gefahr, dass sich ein Unbefugter in die Unterhaltung eingeklinkt hat. In Signal fehlt beispielsweise ein Dialogfeld, das gemeinsame SAS bestätigen kann. Inzwischen verwendet Signal ZRTP nicht mehr, sondern setzt auf WebRTC mit eigenen zusätzlichen Sicherheitsfunktionen.

In Acrobits Softphone, CSipSimple, Jitsi und Linphone werden Telefonate über unsichere Protokolle aufrechterhalten, wenn der Verbindungsaufbau über ZRTP versagt. Zwar würden die Nutzer meist gewarnt, Untersuchungen hätten aber ergeben, dass hauptsächlich versierte Nutzer diese Gefahren als solche erkennen, bzw. dass die Warnungen während des Telefonats schlichtweg übersehen werden. Die Forscher schlagen deshalb vor, in einem solchen Fall die Verbindung zu kappen. Nur die Software Signal sei so vorgegangen.

Sowohl CSipSimple als auch Jitsi und Linphone Android machen es Dritten vergleichsweise einfach, sich in eine Verbindung einzuklinken, ohne dass der Vergleich per SAS versagt. Die Anwendungen verzichten nämlich darauf, die ZID des jeweiligen Nutzers an seine SIP-Adresse zu binden. Das RFC von ZRTP schlägt zwar eine Etikettierung der ZIDs vor, um Nutzer zumindest vor solchen Angriffen zu warnen; die Forscher vermuten jedoch, dass die Entwickler wegen der zusätzlichen Komplexität für Nutzer darauf verzichten.


eye home zur Startseite
triplekiller 28. Mär 2017

interessiert mich sehr. ich habe jahre verbracht, sprachverschlüsselung zu lernen. dieser...



Anzeige

Stellenmarkt
  1. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  2. Daimler AG, Germersheim
  3. Daimler AG, Neu-Ulm
  4. DMG MORI Management GmbH, Bielefeld


Anzeige
Blu-ray-Angebote
  1. 29,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  3. 9,97€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)

Folgen Sie uns
       


  1. Ronny Verhelst

    Tele-Columbus-Chef geht nach Hause

  2. Alphabet

    Google Gewinn geht wegen EU-Strafe zurück

  3. Microsoft

    Nächste Hololens nutzt Deep-Learning-Kerne

  4. Schwerin

    Livestream-Mitschnitt des Stadtrats kostet 250.000 Euro

  5. Linux-Distributionen

    Mehr als 90 Prozent der Debian-Pakete reproduzierbar

  6. Porsche Design

    Huaweis Porsche-Smartwatch kostet 800 Euro

  7. Smartphone

    Neues Huawei Y6 für 150 Euro bei Aldi erhältlich

  8. Nahverkehr

    18 jähriger E-Ticket-Hacker in Ungarn festgenommen

  9. Bundesinnenministerium

    Neues Online-Bürgerportal kostet 500 Millionen Euro

  10. Linux-Kernel

    Android O filtert Apps großzügig mit Seccomp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Creoqode 2048 im Test: Wir programmieren die größte portable Spielkonsole der Welt
Creoqode 2048 im Test
Wir programmieren die größte portable Spielkonsole der Welt
  1. Arduino 101 Intel stellt auch das letzte Bastler-Board ein
  2. 1Sheeld für Arduino angetestet Sensor-Platine hat keine Sensoren und liefert doch Daten
  3. Calliope Mini im Test Neuland lernt programmieren

Ikea Trådfri im Test: Drahtlos (und sicher) auf Schwedisch
Ikea Trådfri im Test
Drahtlos (und sicher) auf Schwedisch
  1. Die Woche im Video Kündigungen, Kernaussagen und KI-Fahrer
  2. Augmented Reality Ikea will mit iOS 11 Wohnungen virtuell einrichten
  3. Space10 Ikea-Forschungslab untersucht Umgang mit KI

Microsoft Surface Pro im Test: Dieses Tablet kann lange
Microsoft Surface Pro im Test
Dieses Tablet kann lange
  1. Microsoft Neues Surface Pro fährt sich ohne Grund selbst herunter
  2. iFixit-Teardown Surface Laptop ist fast nicht reparabel
  3. Surface Studio Microsofts Grafikerstation kommt nach Deutschland

  1. Re: Steuergelder = Quellcode offenlegen

    piratentölpel | 00:31

  2. Re: Erfahrungsgemäß ist bei den Surface Laptops

    dEEkAy | 00:31

  3. Re: DSLRs?

    Flexy | 00:22

  4. Re: Es ist echt verblüfffend.....

    Patman | 00:12

  5. Re: Reichtum ist parasitär

    piratentölpel | 00:05


  1. 23:54

  2. 22:48

  3. 16:37

  4. 16:20

  5. 15:50

  6. 15:35

  7. 14:30

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel