AES 256 Szyfrowanie medium dla połączeń VOIP

Wprowadzenie

System telekomunikacyjny TELESIS PX/X1/Stillink posiada architekturę typu "wszystko w jednym" wraz z zintegrowanym GK i możliwościami programowego komutatora, funkcjami kierowania (brama medialna) IP - TDM oraz licznymi udogodnieniami tradycyjnymi, systemowymi i IP. Pomimo tego, że algorytm szyfrowania medium opisany w tym rozdziale jest wykorzystywany dla połączeń H.323 typu punkt - punkt, to jest zalecany również dla połączeń H.323 typu punkt końcowy - GK w celu zapewnienia bezpieczeństwa komunikacji.

W kolejnych rozdziałach opisano pokrótce algorytmy stosowane do komunikacji pomiędzy dwoma instalacjami, takimi jak:

  • Dwa systemy telekomunikacyjne TELESIS PBX IP dowolnego typu (cyfrowe centrale telefoniczne TELESIS PX24U/PX24M/PX24X, TELESIS X1 oraz konwertery sygnalizacji STILLINK 200/800) w każdej lokalizacji
  • Obydwa systemy telekomunikacyjne TELESIS PBX IP dowolnego typu są dostarczone wraz z niezbędnymi licencjami dla zabezpieczenia medium VoIP a ich parametry są odpowiednio ustawione.

Zabezpieczenie rejestracji w GK

Dwa systemy telekomunikacyjne TELESIS PBX IP dowolnego typu współdzielą nazwę konta i hasło. Każdy system, jako punkt końcowy H.323 rejestruje się w GK innego systemu z wykorzystaniem wspólnej nazwy konta i hasła. W celu rejestracji wymieniane są wiadomości RAS protokołu H.225 pomiędzy obydwoma systemami, zgodnie z Podstawowym Profilem Bezpieczeństwa H.235 (ang. H.235 Baseline Security Profile) z lub bez kontroli integralności. Podstawowy profil bezpieczeństwa zapewnia bezpieczeństwo rejestracji punktu końcowego w GK używając algorytmu HMAC-SHA1-96 bazującego na zabezpieczeniu hasłem. Uwierzytelnianie: Dla rejestracji punktu końcowego w GK przy połączeniach H.323, wiadomość uwierzytelnienia RAS jest zgodna ze standardem Podstawowego Profilu Bezpieczeństwa H.235 (ang. H.235 Baseline Security Profile). Ta usługa bezpieczeństwa realizuje uwierzytelnianie tylko wybranych pól, natomiast nie zapewnia całkowitej integralności wiadomości. Uwierzytelnianie tylko na poziomie profilu bezpieczeństwa może być preferowane dla wiadomości przechodzących przez urządzenia NAT/firewall. Algorytm Hashing jest algorytmem HMAC-SHA1-96 opartym na wykorzystywaniu hasła.

Integralność: Dla rejestracji punktu końcowego w GK przy połączeniach H.323, wiadomość uwierzytelniania RAS i kontrola integralności są zgodne ze standardem Podstawowego Profilu Bezpieczeństwa H.235 (ang. H.235 Baseline Security Profile). To jest bezpieczeństwo łączące obydwie funkcje uwierzytelniane i kontrola integralności wiadomości. Algorytm Hashing jest algorytmem HMAC-SHA1-96, opartym na wykorzystywaniu hasła.

Szyfrowanie medium

W celu szyfrowania medium używany jest 256 bitowy zaawansowany standard szyfrowania (AES-256). Standard AES-256 opisuje kryptograficzny algorytm, który wykorzystuje symetryczny blokowy szyfr (ang. Symmetrical Block Cipher), który może przetwarzać 128 bitowe bloki danych z 256 bitowym kluczem obcinającym nadmiar informacji (ang. Crypto Key), który jest uzgodniony przez procedurę Diffie-Hellman. Próbki audio z kodeka są gromadzone, szyfrowane i następnie wprowadzane w część użytkową protokołu transportowego czasu rzeczywistego RTP (ang. Real Time Transport Protocol). Strona odbiorcza dokonuje procesu deszyfracji części użytkowej.

Bezpieczny kontakt mógłby być zapewniony przez generowanie i wymianę współdzielonych półkluczy Diffie-Hellma. Główny klucz Diffie-Hellman dla szyfrowania AES-256 jest generowany jako kombinacja dwóch współdzielonych półkluczy wymienianych między obydwoma systemami telekomunikacyjnymi TELESIS PBX IP dowolnego typu zaangażowanymi w połączenie.

Wymiana kluczy Diffie-Hellman

Systemy telekomunikacyjne TELESIS PBX IP dowolnego typu wymieniają półklucze Diffie-Hellman wykorzystując uwierzytelnianie oparte na podstawowym profilu bezpieczeństwa H.235 z lub bez kontroli integralności. To zabezpiecza przed atakami człowieka MIM (ang. Man-Inthe-Middle) a systemy komunikujące się mogą być pewne z kim współdzielą półklucze Diffie-Hellman. Algorytm Hash dla podstawowego profilu bezpieczeństwa (BSP) H.235 lub podstawowego profilu bezpieczeństwa H.235 z kontrolą integralności jest algorytmem HMAC-SHA1-96. Wymiana półkluczy Diffie-Hellman w algorytmie HMAC-SHA1-96 zapewnia dodatkowe bezpieczeństwo.

Wymiana klucza pojawia się w fazie wymiany sygnalizacji za pomocą wiadomości H.225 przy zestawianiu połączenia H.323 pomiędzy dwoma systemami dla komunikacji punkt - punkt (ang. end-to-end). Na początku komunikacji wiadomość sygnalizacyjna jest używana do wymiany klucza w obu kierunkach. W kierunku w przód wysyłana jest wiadomość Zestawiania Połączenia (ang. Setup). W kierunku przeciwnym mogą być przesłane wiadomości Potwierdzenie Zestawiania (ang. Setup Acknowledge), Przetwarzanie Połączenia (ang. Call proceeding), Wywołanie (ang. Alerting) lub Połączenie (ang. Connect). Ponieważ uwierzytelnienie zabezpieczone jest hasłem, które jest znane tylko dla dwóch współpracujących systemów, to może być ono narażone na ataki MIM, jeśli wybrano proste hasła. Systemy telekomunikacyjne TELESIS PBX IP dowolnego typu umożliwiają na wymianę półkluczy Diffie-Hellman zapewniając, że może być wybrane wystarczająco długie hasło. Proces zestawiania połączenia może zostać przerwany w następujących przypadkach:

  • Nieudane uwierzytelnianie
  • Uwierzytelnianie lecz brakuje półklucza w wiadomości Zestawiania Połączenia (ang. Setup)
  • Uwierzytelnianie lecz brakuje półklucza w jednej z wiadomości wstecz: Potwierdzenie Zestawiania (ang. Setup Acknowledge), Przetwarzanie Połączenia (ang. Call proceeding), Wywołanie (ang. Alerting) lub Połączenie (ang. Connect).

Podsumowanie

Bezpieczeństwo komunikacji VoIP pomiędzy dwoma systemami telekomunikacyjnymi TELESIS PBX IP dowolnego typu jest zapewnione poprzez:

  • Wystarczająco długie hasło
  • Podstawowy Profil Bezpieczeństwa (ang. Baseline Security Profile) dla wiadomości RAS generowanej w celu rejestracji punktu końcowego H.323 w GK
  • Podstawowy Profil Bezpieczeństwa (ang. Baseline Security Profile) dla sygnalizacji na rzecz połączenia w celu wymiany kluczy Diffie-Hellma dla zapewnienia bezpieczeństwa.
  • Wymianę półkluczy Diffie-Hellman wg algorytmu HMAC-SHA1-96
  • Zastosowanie szyfrowania AES-256