Ziel der Forschungsarbeit
Im Rahmen mehrerer Abschlussarbeiten wurden verschiedene Sicherheitslösungen für die Übertragung von VoIP-Daten ausführlich analysiert. Während die Sicherheit vieler dieser Verfahren anerkannt ist, ist bisher nicht ausführlich erforscht, in wie weit diese Sicherungsmaßnahmen die Benutzung von VoIP beeinflussen. Der Forschungsschwerpunkt des Instituts für Internet-Sicherheit im Bereich VoIP liegt daher nicht nur in der Analyse und Gegenüberstellung dieser Sicherheitsverfahren, sondern betrachtet auch deren Einfluss auf die Übertragungsqualität. Die wichtigsten Ergebnisse des Projekts sind im folgenden dargestellt. Die oben genannten Themen sind in den Diplomarbeiten von Peter Backs und Class Rettinghausen, die im Rahmen dieses Projekts erstellt wurden, weitreichender und ausführlicher diskutiert.
Möglichkeiten zur Sicherung von VoIP
Es gibt zwei unterschiedliche Ansätze den Schutzbedarf von VoIP zu decken.
Der erste Ansatz ist die Nutzung von VoIP über ein Virtual Private Network (VPN). In vielen Unternehmen mit mehr als einer Niederlassung existieren VPNs, um den Datenaustausch zwischen diesen Geschäftsstellen zu schützen. Gerade wenn eine solche Sicherheitsinfrastruktur schon vorhanden ist, liegt es nahe, diese auch für die VoIP-Daten – Signalisierung und Medienstrom – zu nutzen; die aufwendige Einrichtung einer speziellen Lösung würde wegfallen. Kritisch ist bei diesem Ansatz jedoch das Ausmaß des Schutzes, denn VPNs schützen nur die Daten, die zwischen den VPN-Partnern ausgetauscht werden, nicht die Kommunikation mit anderen Organisationen.
Die andere Möglichkeit zur Sicherung von VoIP ist der Schutz durch VoIP-spezifische Sicherungsmaßnahmen, die Ende-zu-Ende-Sicherung der VoIP-Daten bieten. Für die Absicherung von Signalisierung und Medienstrom gibt es verschiedene Verfahren, die allerdings die Schaffung einer neuen Infrastruktur voraussetzen.
Für den Einsatz beider Konzepte ist in jedem Fall eine Public Key Infrastruktur vorausgesetzt, die entsprechend der potentiellen Kommunikationspartner umfassend sein muss. Eine ähnlich gut etablierte PKI wie sie im Web-Umfeld eingesetzt wird, gibt es bei VoIP nicht. Hier werden kryptografische Schlüssel in der Regel organisationsintern ausgetauscht, so dass gesicherte Kommunikation mit anderen Unternehmen nicht möglich ist.
Einfluss von Sicherungsmaßnahmen auf die Übertragungsqualität von VoIP
Beide vorgestellten Konzepte zur VoIP-Sicherung wurden im Rahmen dieses Forschungsprojekts bezüglich ihres Einflusses auf die Übertragungsparameter analysiert.
Versuchsaufbau
VPN-basierte VoIP-Sicherung läßt sich in Bezug auf QoS hervorragend analysieren, da die VPN-Gateways transparent in den Übertragungsweg geschaltet werden. VPNs koppeln üblicherweise Subnetze, weshalb zu diesem Zweck die privaten Subnetze 192.168.1.0/24 und 192.168.2.0/24 über das Routingnetz 192.168.3.0/24 verbunden werden. An den Grenzen der privaten Subnetze stehen die Security Gateways, die in folgender Abbildung als Schlösser dargestellt werden. Hier können flexibel verschiedene Arten von VPN-Boxen oder einfache Router ohne Sicherheitsfunktionen eingesetzt werden. Als repräsentative Auswahl wurde die frei verfügbare Implementierung des IPSec-Protokolls OpenSWAN und das populäre und ebenfalls freie OpenVPN gewählt.
In diesem Testszenario wurde der Einfluss der Sicherheitsmaßnahmen auf alle QoS-Parameter (Delay, Jitter, Packet Loss und Bandbreite) bestimmt und einer Referenzmessung, in der einfache Router anstelle der VPN-Gateways eingesetzt wurden, gegenübergestellt.
Die Parameter Delay, Jitter und Packet Loss
Die Messungen ergaben, dass die eingesetzten Sicherungsmaßnahmen keinen messbaren Einfluss auf Jitter oder Packet Loss haben. Darüber hinaus hat sich der Delay der VoIP-Verbindungen nur unkritisch erhöht. Dies zeigen die folgenden Abbildungen, die mit zwei unterschiedlichen Messtools gemessen wurden: eine Beta-Version des Produkts NetGage des Projektes QoSSIP der FH Köln und der „VoIP Test Suite“ der ITD Informationstechnologie GmbH & Co. KG.
Die geringen Unterschiede sind nicht zuverlässig reproduzierbar und durch Messfehler zu erklären. Die Kontrollmessung mit dem zweiten Tool (siehe weitere Grafik zum Delay) bestätigt – unter Berücksichtigung von Messfehlern – eine Erhöhung der Verzögerung um lediglich 1-2 ms, was nahezu unerheblich ist.
In weiteren Messungen wurde darüber hinaus die transparente Kompression der VPN-Gateways aktiviert. Das Ergebnis dieser Maßnahme war beim Einsatz des Codecs G.711 sehr positiv. Hier konnte der Overhead, der durch die Sicherheitsmaßnahmen entstand, durch die Kompression der Nutzdaten kompensiert werden. Bei anderen Codecs hatte Kompression keine Auswirkungen, da diese von sich auch schon stark komprimieren. Auf den Delay hat die transparente Kompression ebenfalls nur im Submillisekunden-Bereich Einfluss und ist damit unkritisch für den Einsatz mit VoIP. Es ist allerdings zu erwarten, dass die VPN-Gateways bei aktivierter Kompression schneller ausgelastet sind, sofern diese belastet werden.
Beim VoIP-spezifischen Ansatz treten aufgrund der Ende-zu-Ende-Sicherung Probleme bei der QoS-Analyse auf, denn in diesem Fall muss die eingesetzte Messsoftware die entsprechenden Sicherungsprotokolle unterstützen, was zur Zeit bei keiner Lösung der Fall ist. Es läßt sich vorrangig nur der QoS-Parameter Bandbreite zuverlässig messen.
Der Parameter Bandbreite
Der Overhead der VPN-basierten und VoIP-spezifischen Sicherheitslösungen mit Standardeinstellungen ist nachfolgend grafisch dargestellt.
Da die benötigte Bandbreite jedoch stark von den verwendeten VoIP- und Sicherheitseinstellungen abhängt, kann durch folgende Parameter die Bandbreite einer VoIP-Verbindung beeinflusst werden:
- Paketierung der Sprachsegmente. Werden mehrere Sprachsegmente pro IP-Paket übertragen, werden instegamt weniger Pakete gesendet. Es entsteht weniger Overhead durch IP, UDP, RTP, aber auch weniger Overhead durch die Sicherheitslösungen. Werden mehrere Segmente pro Paket übertragen, ist die benötigte Bandbreite geringer, die Verzögerung der Sprachverbindung nimmt jedoch erheblich zu, da die Sprachsegmente länger beim Sender zwischengespeichert werden.
- Wahl des Codecs.
- Codec-Bandbreite. Die Codecs unterscheiden sich grundsätzlich in der benötigten Bandbreite, aber auch in der Sprachqualität.
- Segmentgröße. Abhängig von der Segmentgröße werden mehr oder weniger Pakete übertragen, was den Overhead beeinflusst. Hier gilt dasselbe wie für den ersten Punkt.
- Blockgröße der verwendeten Verschlüsselung. Die Blockgröße eines Verschlüsselungsalgorithmus stellt die Menge an Bytes dar, in der der Algorithmus Nutzdaten verschlüsselt. Die Menge der Nutzdaten muss daher ein ganzzahliges Vielfaches der Blocklänge sein. Ist das nicht der Fall, wird dieser Zustand durch Auffüllen von sog. Padding-Bytes erreicht. Abhängig von der Blockgröße und der Größe und Anzahl der Sprachsegmente pro Paket kann daher unterschiedlich viel Padding entstehen. Die gängigsten Blockgrößen sind 8 Byte (z.B. DES) und 16 Byte (z.B. AES).
Mit welcher Bandbreite abhängig von oben genannten Einstellungen gerechnet werden muss, kann folgender Tabelle entnommen werden.
Fazit und Empfehlung
Zusammenfassend läßt sich sagen, dass sich die Sicherheitsmaßsnahmen vorrangig auf die benötigte Bandbreite bei der Übertragung von VoIP auswirken. Abhängig von den oben dargestellten Einstellungen kann sich die Größe der VoIP-Pakete mehr als verdoppeln. Für Benutzer mit schmalbandiger Internetanbindung sowie für Unternehmen mit vielen VoIP-Nutzern kann dies ein erhebliches Problem darstellen. Durch Einstellungen der VoIP- und Verschlüsselungssoftware bzw. der Wahl selbiger läßt sich jedoch die Bandbreite direkt beeinflussen (siehe Tabelle).
Stellt eine zu hohe Bandbreite ein kritisches Problem dar, so ist die das VoIP-spezifische SRTP einer tunnelnden VPN-Lösung vorzuziehen. Spielt die Bandbreite dagegen keine entscheidende Rolle und eine VPN-Infrastruktur ist in genügender Abdeckung vorhanden, so kann auch VoIP problemlos auf diese Art gesichert werden.
Da die verbreiteten Sicherungsverfahren jedoch allesamt PKI-basiert sind und es entsprechend ausführliche Infrastrukturen nicht gibt, wird gesichertes VoIP auch in nächster Zeit nur in Insellösungen sicher übertragen werden.