Děkuji za postřehy. Pokud to bude v našich silách, byl bych rád, pokud bychom nedostatky opravili. Bohužel tomu moc nerozumím, konfiguraci provádí kolega Kovik. Tak se tedy ptám, jestli to dobře chápu. Certifikát se používá proto, aby se někdo třetí nemohl vydávat za Odorik.cz- tedy man in the middle atack a tím odposlechnout hovory. Příliš slabý znamená, že by se mu nějak hrubou silou mohl rozlousknout a poté se vydávat za sip.odorik.cz a provést man in the middle útok?Dobrý den,
měl bych několik poznámek k zabezpečení „volacího“ protokolu. Nejsem si jistý, ale přijde mi, že jste jediný VoIP operátor, který SIP TLS a SRTP v ČR poskytuje. Pak by se mohlo zdát, že jakákoliv kritika není na místě, ale níže uvedené píši, protože si myslím, že opak je pravdou.
Certifikát je příliš slabý, 512bitů již téměř postrádá význam. Navíc sám sebou podepsaný je pro mnoho aplikací nepoužitelný (nař. LinPhone). V aplikacích a telefonech, kde lze říci, že nechci kontrolovat certifikát serveru i nebezpečný.
Co se týká použitého protokolu SSLv3 mělo být už dávno vypnuté. Samozřejmostí by měla být i podpora Diffie-Hellmanova čísla. Tady začíná být situace složitá, protože obecně by stačilo použití DHE pokud bude dhparam rovno nebo větší než 2048bitů. Použití DHE znamená větší zátěž ústředny, tedy lepší je použití ECDHE, ale to zase neumí spoustu stolních telefonů. Tedy ideálně oboje, což technicky není problém („jen“ ta práce).
No a poslední věc s tím přímo související. Je více než zvláštní, že si v administraci lze zvolit SRTP bez vynucení SIP TLS. Bez TLS je, ale SRTP naprosto zbytečné.
Vytváření falešného pocitu zabezpečení je obecně považováno za nebezpečnější-horší než vědomí nezabezpečení.
Chápu, že jste operátor a, že na vyžádání hovory nahrajete a odevzdáte. Chápu i to, že použití SRTP nezabrání přístupu k hovorům v čitelné vlastně slyšitelné podobě v ústředně. Ale i tak považuji počet, které bude něčí telefonát zajímat a kteří k němu budou mít přístup za tak minoritní, že určitě hlasuji pro SRTP, ale bezpečné. Navíc, který stolní telefon umí ZRTP? (jen řečnická otázka)
Snad se můj názor do knihy přání a stížností hodí, protože je to vlastně obojí. No a snad bude i někoho zajímat
Aby aplikace jako LinPhone a podobné platnost našeho certifikátu automaticky rozpoznala, stačí si koupit ten stejný certifikát jako pro doménu i za stejnou cenu? Nebo je to něco úplně jiného? S aplikací LinPhone nemám dobré zkušenosti, mívá zákeřné bugy. Existují i jiné aplikace, co by tohle mohly využít? Většina hardwarových telefonů má hodně omezené nebo žádné autority, takže bez ručního nahrání by to stejně nešlo.
Že použití SRTP bez TLS je nesmysl, vím. Klíče se pak přenášejí nešifrované v SIP hlavičkách, tedy dešifrovat hovor si může každý znalý této možné kuriozity. I tak existují telefony (starší Grandstreamy), které podporují SRTP a TLS nikoli. U nás na webu, pokud vím, se SRTP ani TLS nijak nevolí, tedy předpokládám, že poukazujete na nesmyslnost telefonů?Je více než zvláštní, že si v administraci lze zvolit SRTP bez vynucení SIP TLS. Bez TLS je, ale SRTP naprosto zbytečné.
Pokud vím, žádný stolní telefon ZRTP neumí. A pokud někdo přecijen prodává krabičku jako ATA adaptér, který ZRTP umí (narazil jsem na tom v jednom případě), je to tím, že v krabičce je celý Asterisk. Tedy je to opět spíše softwarový telefon. Osobně si myslím, že ZRTP je prostě kvalitní. Tak kvalitní, že jistí mocní mají zájem na tom, aby se to hodně nerozšířilo, proto žádný hardware, co by to podporoval, pokud vím, neexistuje. Pak by hrozilo, že veškerý nákladný odposlouchávací projekt půlky světa by byl k ničemu. (viz aféra, kdy USA odposlouchávalo mobil paní Merklové - to je podle mne špička ledovce). Samozřejmě má domněnka nemusí být pravdivá a možná existuje jiný důvod. Stejně to ale nechápu, protože podle mne jediné poměrně jednoduché dedikované a jinak hloupé zařízení (aby nešlo napadnout samotné - jako např. Android) s podporou ZRTP je jediný způsob, jak odposlechu po celé cestě opravdu znemožnit. Mít vždy stejné nebo nebezpečně předávané klíče není dvakrát bezpečné.Navíc, který stolní telefon umí ZRTP? (jen řečnická otázka)
Jste-li znalí problematiky šifrování, měl bych ještě jeden dotaz. Pokud někdo dělá VoIP šifrované hovory, hovor je neodposlechnutelný, jen pokud odposlouchávající nezná klíče. Ale pokud je to policie a udělá zátah, klíče najde uložené v oněch zařízením a pomocí těch klíčů si zpětně dřívější hovory rozšifruje.
Tedy jediný pohodlný způsob, jak zabránit zpětnému dešifrování poté co, se zmocní klíčů, je použít ZRTP?