Spolehlivý SIP klient pro Android s dobrou integrací

[alfi]

s hesly pracuje jen v zašifrované podobě, tedy není to žádný bezpečnostní risk.
 

To není tak úplně pravda - SIP používá Digest authentication a tím spíš, pokud je na nešifrovaném spojení, jde z odposlechnuté komunikace spočítat original, viz třeba https://docs.gitlab.com/user/applicatio ... cks/287.2/, https://github.com/eric-conrad/digestive, kiddies se to učí na základních kurzech https://www.youtube.com/watch?v=UVu54EUGtZo apod.

Já ACR phone používám, integrace volání a kontaktů do jedné aplikace je výborná, jde vybrat, jestli chci volat přes GSM nebo VoIP. Registrace na příchozí hovory na Nokia G42 drží dlouhodobě i bez push zpráv, ale moc je nepoužívám. Asi nejvíc prudí aplikace tím, že klidně v noci pípá (i na ztlumeném zvonění) a chce prokliknout notifikaci. Cca jednou za den až několik dnů (vypadá to spíš jako security ze strany Androidu - že o takové aplikaci vím. Ale je to docela otravné. Už jsme to tu myslím kdysi řešili)

Ano push notifikace fungují. Ale jejich doručení je androidem různě zdržováno. Nyní mám dva telefony Jeden Mi 11 Lite kam jsem si nahrál Lingea OS. (tedy svobodnější nesprzněnou verzi androidu)
 

On je za tím dobrý úmysl - šetřit energii. Držet otevřené mobilní i Wifi spojení je energeticky náročné a při nepoužívání se jednotlivé prvky postupně odpojují, až může dojít k rozpojení úplně - pak se z internetu nedá připojit a spojení musí napřed otevřít telefon, viz třeba https://patents.google.com/patent/EP2695458A1/en - není to vůbec jednoduché. A některé telefony to možná dělají agresivněji než jiné
 

[xsouku04]

Ty domácí úkoly co mají za úkol zjistit heslo jsou ale pro případ, slovníkových hesel. Tedy heslo se hledá pomocí pomocí nějakého předgenerovaného slovníku? Tedy pro případ, kdy hesla tvoří lidé. U generovaných hesel by útočník potřeboval drahou grafickou kartu, aby byl schopen získat 8 místné heslo a značnou trpělivost. S 16 nebo 20 znaků dlouhým náhodným SIP heslem má úplně smůlu.

Ostatní SIP push služby to dělají jednoduše tak, že si hesla ukládají do databáze, což je podstatně více nebezpečné, protože tam hrozí, že jim někdo ukradne všechny hesla během jednoho okamžiku. A pak je může roky zneužívat.

Tedy nashe push proxy přidává jen teoretické nebezpečí, že se tam usadí někdo, kdo bude odposlouchávat síťový provoz, aby pak později mohl louskat sipové hesla. To ale může kdekoli po cestě.

Je ale pravda, že bychom asi měli dovolit si vygenerovat delší sipová hesla, aby i ono teoretické rozšifrování osmimístného hesla nebylo možné.

[alfi]

Je ale pravda, že bychom asi měli dovolit si vygenerovat delší sipová hesla, aby i ono teoretické rozšifrování osmimístného hesla nebylo možné.
 

Ono by delší a složitější heslo mělo být spíše povinně vyžadováno - ty osmímístné už jsou dneska pohoda (viz třeba https://specopssoft.com/blog/best-passw ... g-attacks/ = 5 minut až 3 hodiny) a rychlost bude každý rok narůstat Rizikové je i to, že dneska odposlechnutá komunikace může jít lousknout už třeba za 2-3 roky a heslo bude pořád stejné..
 
 
 

[jadu]

Určitě bych hlasoval pro delší hesla než 8 znaků. Možná, že některá zařízení delší neumožňují, takže by to třeba nemusela být povinnost, ale já bych pod 12 nešel, optimálně tak 16. Třeba by si šlo nastavit u každé linky počet znaků pro generátor.

[xtonda]

Ono by delší a složitější heslo mělo být spíše povinně vyžadováno - ty osmímístné už jsou dneska pohoda (viz třeba https://specopssoft.com/blog/best-passw ... g-attacks/ = 5 minut až 3 hodiny) a rychlost bude každý rok narůstat Rizikové je i to, že dneska odposlechnutá komunikace může jít lousknout už třeba za 2-3 roky a heslo bude pořád stejné..

 

A jak tohle souvisí? Ano, MD5 je slabá a nemá se používat, to se ví už dlouho, má se používat něco lepšího

 
 
 

[jadu]

MD5 není nejbezpečnější, ale stačí. protože se použije jen při Digest Authentication a hash se počítá nejen z uživatelského jména, realm a hesla, ale i z jedinečného nonce (Number used ONCE), takže se i případně zachycený hash nedá opakovaně použít, protože příště je nonce jiné a tedy i hash.

Slabé heslo je potencionální problém. Naštěstí má Odorik BFP (brute force ptotection), které je v případě 8-znakového hesla nezbytnost. TLS je další bezpečnostní prvek, ale pokud bude chtít někdo útočit hrubou silou, tak to může i v TLS tunelu. TLS je nezbytné pro bezpečné SRTP, protože bez něj je možné odchytit klíče při dohadování SRTP a šifrování prolomit.

Takže podstatné je mít silné heslo a BFP, TLS zabrání odposlechu a je nutné pro bezpečné SRTP a MD5 nevadí.

[alfi]

Ono by delší a složitější heslo mělo být spíše povinně vyžadováno - ty osmímístné už jsou dneska pohoda (viz třeba https://specopssoft.com/blog/best-passw ... g-attacks/ = 5 minut až 3 hodiny) a rychlost bude každý rok narůstat Rizikové je i to, že dneska odposlechnutá komunikace může jít lousknout už třeba za 2-3 roky a heslo bude pořád stejné..
 

A jak tohle souvisí? Ano, MD5 je slabá a nemá se používat, to se ví už dlouho, má se používat něco lepšího

 

Pan Soukup píše

... proxy s hesly pracuje jen v zašifrované podobě, tedy není to žádný bezpečnostní risk. 

ale nemá pravdu - http digest s md5 už se za bezpečné nepovažuje. Tj. když provozovatel proxy (i kdekoliv jinde přes nešifrovaný SIP) bude chtít, všechna krátká hesla dokáže získat SIP, pokud vím, nic lepšího než ten digest neumí - nebo rozhodně ne všechny telefony
 
 
 

[xsouku04]

No říká se že bezpečné není, ale získávat všechna kratší ale neslovníková hesla na proxy by nebylo zadarmo a vyžadovalo by to dost velký výkon. Je to rozhodně lepší, než si hesla ukládat rovnou, jak to dělají všichni ostatní. Protože pak kromě odposlechu hrozí též že se někdo dostane přímo do té databáze. I když je možné, že hesla šifrují nějaký klíčem a vždy před použitím rozšifrovávají. Ten klíč tam je někde přítomen.

A pokud jsou SIP hesla náhodná a mají 16 a více znaků, jsou stále bezpečná.
 

[jadu]

ale nemá pravdu - http digest s md5 už se za bezpečné nepovažuje. Tj. když provozovatel proxy (i kdekoliv jinde přes nešifrovaný SIP) bude chtít, všechna krátká hesla dokáže získat SIP, pokud vím, nic lepšího než ten digest neumí - nebo rozhodně ne všechny telefony  

Největší posun v bezpečnosti SIP nespočívá v nahrazení MD5, ale v přechodu na šifrovanou signalizaci pomocí SIPS (TLS). Souhlasím s tím, že to většina zařízení neumí. Další možnost je místo MD5 použít SHA-256/512, ale i když to je od roku 2020 součástí SIP (RFC 8760), tak opět to skoro nikdo neumí.

A pokud jsou SIP hesla náhodná a mají 16 a více znaků, jsou stále bezpečná. 


 

 Ano, to je nejlepší - silné heslo + BFP. Z toho odvozuji, že se uvažuje nad nasazením, což je skvělé.