SIP TLS

Περίληψη:

1. Το Freeswitch απαιτεί τον πράκτορα.αρχείο PEM με τα σωστά δικαιώματα να λειτουργούν ως διακομιστής TLS.

2. Η ασφάλεια του στρώματος μεταφοράς (TLS) είναι ένα πρωτόκολλο που χρησιμοποιείται για την προστασία των μηνυμάτων SIP από την παρακολούθηση.

3. Το TLS είναι μια εξέλιξη του προηγούμενου πρωτοκόλλου SSL που χρησιμοποιείται για κρυπτογράφηση ιστού.

4. Τα πιστοποιητικά και η ασύμμετρη κρυπτογραφία αποτελούν βασικά συστατικά του TLS.

5. Τα πιστοποιητικά χρησιμοποιούνται για τον έλεγχο ταυτότητας οντοτήτων και οι αρχές πιστοποιητικών επαληθεύουν την αυθεντικότητά τους.

6. Η συμμετρική και ασύμμετρη κρυπτογραφία χρησιμοποιείται για κρυπτογράφηση και αποκρυπτογράφηση δεδομένων.

7. Το TLS χρησιμοποιεί συμμετρική κρυπτογραφία για έλεγχο ταυτότητας και ασύμμετρη κρυπτογραφία για κρυπτογράφηση χύδην δεδομένα.

8. Το TLS μπορεί να χρησιμοποιηθεί για να δημιουργήσει με ασφάλεια τις συνομιλίες SIP μέσω του μη ασφαλούς Διαδικτύου.

9. Το Freeswitch υποστηρίζει κρυπτογραφημένη σηματοδότηση (SIPS) με υπογεγραμμένα πιστοποιητικά και κρυπτογραφημένο ήχο/μέσα (SRTP).

10. Το Freeswitch επιτρέπει τη διαμόρφωση της θύρας για SIP μέσα στο προφίλ SIP.

Ερωτήσεις:

1. Τι αρχείο απαιτεί το Freeswitch για να ενεργήσει ως διακομιστής TLS?

Απάντηση: Το Freeswitch απαιτεί τον πράκτορα.αρχείο PEM.

2. Γιατί είναι σημαντικό να έχουμε τα σωστά δικαιώματα για τον πράκτορα.πύργος?

Απάντηση: Τα λανθασμένα δικαιώματα μπορούν να εμποδίσουν τη σωστή λειτουργία του ακροατή TLS.

3. Τι χρησιμοποιείται για το TLS στο SIP?

Απάντηση: Το TLS χρησιμοποιείται για την προστασία των μηνυμάτων SIP από την παρακολούθηση.

4. Ποια είναι η διαφορά μεταξύ TLS και SSL?

Απάντηση: Το TLS είναι μια εξέλιξη του SSL και χρησιμοποιείται τόσο για πρωτόκολλα ιστού όσο και για πρωτόκολλα σε πραγματικό χρόνο όπως το SIP.

5. Τι χρησιμοποιούνται για τα πιστοποιητικά στο TLS?

Απάντηση: Τα πιστοποιητικά χρησιμοποιούνται για τον έλεγχο ταυτότητας οντοτήτων.

6. Ποιος είναι ο σκοπός των αρχών πιστοποιητικών?

Απάντηση: Οι αρχές πιστοποιητικών επαληθεύουν την αυθεντικότητα των πιστοποιητικών.

7. Ποιοι είναι οι δύο τύποι κρυπτογραφίας που χρησιμοποιούνται στο TLS?

Απάντηση: Συμμετρική και ασύμμετρη κρυπτογραφία.

8. Πώς λειτουργεί η συμμετρική κρυπτογραφία?

Απάντηση: Τα δεδομένα κρυπτογραφούνται και αποκρυπτογραφούνται χρησιμοποιώντας το ίδιο κλειδί.

9. Πώς λειτουργεί η ασύμμετρη κρυπτογραφία?

Απάντηση: Τα δεδομένα κρυπτογραφούνται και αποκρυπτογραφημένα χρησιμοποιώντας ένα δημόσιο κλειδί και ένα ιδιωτικό κλειδί.

10. Τι κάνει το TLS για τη συμμετρική κρυπτογραφία για?

Απάντηση: Το TLS χρησιμοποιεί συμμετρική κρυπτογραφία για έλεγχο ταυτότητας.

11. Τι χρησιμοποιεί το TLS για την ασύμμετρη κρυπτογραφία για?

Απάντηση: Το TLS χρησιμοποιεί ασύμμετρη κρυπτογραφία για κρυπτογράφηση χύδην δεδομένα.

12. Μπορεί να χρησιμοποιηθεί TLS για τη δημιουργία ασφαλών συνομιλιών SIP μέσω του μη ασφαλούς Διαδικτύου?

Απάντηση: Ναι, το TLS μπορεί να χρησιμοποιηθεί για ασφαλείς συνομιλίες SIP μέσω του μη ασφαλούς Διαδικτύου.

13. Τι υποστηρίζει το Freeswitch όσον αφορά την κρυπτογραφημένη σηματοδότηση?

Απάντηση: Το Freeswitch υποστηρίζει κρυπτογραφημένη σηματοδότηση γνωστή ως SIP.

14. Ποια είναι η προεπιλεγμένη θύρα για SIP?

Απάντηση: Η προεπιλεγμένη θύρα για SIP είναι θύρα TCP 5061.

15. Τι μπορεί να διαμορφωθεί στο προφίλ SIP στο Freeswitch?

Απάντηση: Η θύρα για SIPs μπορεί να ρυθμιστεί στο προφίλ SIP στο Freeswitch.

SIP TLS

Το Freeswitch απαιτεί μόνο ένα αρχείο για να ενεργεί ως διακομιστής TLS και αυτό είναι ο πράκτορας.αρχείο PEM. Αυτό περιέχει το πιστοποιητικό και το κλειδί που θα χρησιμοποιήσει για ακρόαση. Σημειώστε ότι είναι εξαιρετικά σημαντικό ο πράκτοράς σας.PEM (και προαιρετικά Cacert.PEM) έχουν δικαιώματα ανάγνωσης για το χρήστη freeswitch θα εκτελεστεί ως. Αυτό σημαίνει ότι αν χρησιμοποιήσετε -U freeswitch θέλετε να “chmod 640 πράκτορα.Cacert PEM.PEM “και” root chown.freeswitch πράκτορα.Cacert PEM.PEM “. Τα λανθασμένα δικαιώματα δεν θα επιτρέψουν στον ακροατή TLS να γυρίσει σωστά. Στα Vars σας.XML:

Κατανόηση της ασφάλειας των μεταφορών (TLS)

Κατά τη διάρκεια πολλών άρθρων ιστολογίου i’Αναφέρθηκαν μερικές από τις πτυχές της ασφάλειας του SIP. Για να το αποδείξω με έλεγχο ταυτότητας SIP, συζήτησα τη χρήση μηνυμάτων απόκρισης και κεφαλίδες ελέγχου ταυτότητας. Αυτό το είδος ασφάλειας παραδίδεται σε επίπεδο πρωτοκόλλου. Με άλλα λόγια, οι πελάτες και οι διακομιστές SIP ανταλλάσσουν μηνύματα που επιβάλλουν ασφάλεια σε επίπεδο ταυτότητας. Φυσικά, δεδομένου ότι η ίδια η SIP είναι ένα πρωτόκολλο που βασίζεται σε κείμενο, χρειαζόμαστε κάτι που προστατεύει τα μηνύματα και το περιεχόμενό τους από τα αδιάκριτα μάτια. Εισαγω Ασφάλεια στρώματος μεταφοράς (TLS·.

Το TLS είναι μια εξέλιξη ενός προηγούμενου πρωτοκόλλου που ονομάζεται Ασφαλές στρώμα υποδοχής (SSL·. Το SSL αναπτύχθηκε πριν από αρκετά χρόνια από το Netscape (θυμηθείτε το Netscape?) και χρησιμοποιήθηκε για την κρυπτογράφηση δεδομένων που αποστέλλονται μεταξύ ενός προγράμματος περιήγησης ιστού και ενός διακομιστή ιστού. Ξέρατε ότι χρησιμοποιούσατε το SSL όταν περιείχε η γραμμή διευθύνσεων του προγράμματος περιήγησής σας “https” και οχι “HTTP.” Ορισμένα προγράμματα περιήγησης θα εμφανίζουν επίσης ένα σύμβολο κλειδώματος όταν το SSL ήταν σε χρήση.

Όπως τα περισσότερα από τα άλλα πρωτόκολλα που χρησιμοποιούνται από το SIP, το TLS ελέγχεται από το Task Force Engineering Engineering (IETF·. Αρχικά, τα TLS και SSL WEREN’δεν είναι όλα διαφορετικά μεταξύ τους. Ωστόσο, από τον αρχικό ορισμό του το 1999, η TLS συνέχισε να εξελίσσεται σε ένα εξαιρετικά ασφαλές πρωτόκολλο μεταφοράς τόσο για πρωτόκολλα στο Web όσο και για το σε πραγματικό χρόνο, όπως το SIP.

Στον πυρήνα του TLS είναι πιστοποιητικά και τις έννοιες του συμμετρικός και ασύμμετρη κρυπτογραφία. Θα μπορούσα να γράψω χιλιάδες λέξεις για αυτά τα τρία, αλλά μπορείτε να μάθετε αρκετά για να είστε επικίνδυνοι σε μερικές παραγράφους.

Πρώτον, ένα πιστοποιητικό είναι μια μορφή ψηφιακής ταυτότητας που χρησιμοποιεί μια οντότητα για να ταυτιστεί. Σκεφτείτε το ως οδηγό’Άδεια S για στοιχεία IP. Ωστόσο, για να αποτρέψετε τους δυσάρεστους ανθρώπους να σφυρηλατούν αυτούς τους οδηγούς’άδειες, αρχές πιστοποιητικών (Περίπου) υπάρχουν που χρησιμοποιούνται για την επικύρωση της αυθεντικότητας του πιστοποιητικού. Υπάρχουν ιδιωτικές CAS που λειτουργεί μια επιχείρηση. Υπάρχουν επίσης δημόσια CAS που είναι διαθέσιμα μέσω του Διαδικτύου. Το Verisign είναι ένα παράδειγμα γνωστού δημόσιου CA.

Στη συνέχεια έρχεται συμμετρική και ασύμμετρη κρυπτογραφία. Και οι δύο έχουν να κάνουν με τον τρόπο με τον οποίο τα δεδομένα είναι κρυπτογραφημένα και μη κρυπτογραφημένα. Στην περίπτωση συμμετρικής κρυπτογραφίας, τα δεδομένα κρυπτογραφούνται με ένα κλειδί. Το’S επίσης μη κρυπτογραφημένο με το ίδιο κλειδί. Έτσι, εάν δύο διαφορετικές οντότητες έχουν αυτό το κλειδί μπορούν να στείλουν κρυπτογραφημένα δεδομένα εμπρός και πίσω και κανείς χωρίς αυτό το κλειδί θα καταλάβει τι λένε. Η αντοχή της συμμετρικής κρυπτογραφίας είναι ότι είναι γρήγορη και χρησιμοποιεί μια ελάχιστη ποσότητα ισχύος επεξεργασίας. Η αδυναμία είναι ότι χρειάζεστε έναν ασφαλή μηχανισμό για την ανταλλαγή του κλειδιού.

Τα δεδομένα είναι επίσης κρυπτογραφημένα με ασύμμετρη κρυπτογραφία, αλλά σε αυτή την περίπτωση υπάρχουν δύο κλειδιά – το δημόσιο και το ιδιωτικό κλειδί. Το δημόσιο κλειδί περιέχεται συνήθως στο πιστοποιητικό μιας οντότητας IP και οποιοσδήποτε με αυτό το πιστοποιητικό θα έχει το δημόσιο κλειδί. Το ιδιωτικό κλειδί διατηρείται μυστικό και δεν αποκαλύπτεται ποτέ σε κανέναν. Αυτά τα δύο πλήκτρα συνεργάζονται για να κρυπτογραφούν και να αποκρυπτογραφούν δεδομένα που αποστέλλονται σε σύνδεση IP.

Τα δεδομένα που κρυπτογραφούνται με το δημόσιο κλειδί μπορούν να μην κρυπτογραφηθούν μόνο με ένα σχετικό ιδιωτικό κλειδί. Τα δεδομένα κρυπτογραφημένα με το ιδιωτικό κλειδί μπορούν να μην κρυπτογραφηθούν μόνο με το αντίστοιχο δημόσιο κλειδί. Αυτή η μορφή κρυπτογράφησης είναι γνωστή ως Δημόσια κρυπτογραφία κλειδιού. Απαιτεί περισσότερη ισχύ επεξεργασίας από τη συμμετρική κρυπτογραφία, αλλά δημιουργεί έναν ασφαλή σύνδεσμο δεδομένων που μόνο ο πελάτης και ο διακομιστής μπορούν να αποκρυπτογραφήσουν.

Έγραψα ότι το TLS χρησιμοποιεί τόσο συμμετρική όσο και ασύμμετρη κρυπτογραφία. Χρησιμοποιεί συμμετρική για έλεγχο ταυτότητας και ασύμμετρη για την κρυπτογράφηση των χύδην δεδομένων. Στην περίπτωσή μας, αυτά τα χύμα θα ήταν τα μηνύματα και οι απαντήσεις SIP. Σημειώστε ότι αυτά τα δεδομένα δεν περιλαμβάνουν την πραγματική ροή των μέσων όπως το G.711 ή G.729. Αυτά τα δεδομένα κρυπτογραφούνται χρησιμοποιώντας Ασφαλίστε το πρωτόκολλο σε πραγματικό χρόνο (SRTP) – Ένα blog για μια άλλη μέρα.

Εάν εξακολουθείτε να διαβάζετε, επικροτώ την αντοχή σας. Αυτό δεν είναι εύκολο να καταλάβετε. Λάβετε υπόψη τα εξής, όμως, και θα πρέπει να είστε καλά. Τα πιστοποιητικά χρησιμοποιούνται για την επαλήθευση της αυθεντικότητας των πελατών και των διακομιστών. Υπάρχουν αρχές πιστοποιητικών για να επαληθεύσουν ότι τα πιστοποιητικά δεν είναι πλαστά. Τα δημόσια και ιδιωτικά κλειδιά χρησιμοποιούνται για την κρυπτογράφηση των μηνυμάτων που ανταλλάσσονται μεταξύ των οντοτήτων SIP. Αυτό σημαίνει ότι με το TLS μπορείτε να χρησιμοποιήσετε με ασφάλεια το μη ασφαλές Διαδίκτυο για να δημιουργήσετε ασφαλείς συνομιλίες SIP. Ακόμα κι αν τα μηνύματα SIP παραχωρούνται, κέρδισαν’δεν κάνει κανέναν καλό, αφού δεν θα μπορέσει να καταλάβει τι λέγεται.

SIP TLS

Το Freeswitch υποστηρίζει τόσο την κρυπτογραφημένη σηματοδότηση γνωστή ως SIPs που μπορεί να είναι SSL ή TLS με υπογεγραμμένα πιστοποιητικά, καθώς και κρυπτογραφημένο ήχο/μέσα γνωστού ως SRTP. Η τυπική σύμβαση είναι να έχει το μη κρυπτογραφημένο κανάλι ελέγχου SIP στη θύρα UDP 5060 (αν και τα πρότυπα επιτρέπουν επίσης τη χρήση θύρας TCP 5060 επίσης) και κρυπτογραφημένο SSL ή κρυπτογραφημένο κανάλι ελέγχου SIP που είναι γνωστό ως SIPs στη θύρα TCP 5061 . Οι παρακάτω εικονογραφήσεις απεικονίζουν το SIP ως στη θύρα 5060 και το Sips ως στη θύρα 5061 και στη θύρα (x). Το Freeswitch σας επιτρέπει να διαμορφώσετε αυτήν τη θύρα μέσα στο προφίλ SIP.

Τα δεδομένα RTP χρησιμοποιούν UDP, αλλά η θύρα που χρησιμοποιεί το RTP είναι δυναμική στο ότι διαπραγματεύεται στο κανάλι ελέγχου SIP. Το Freeswitch μπορεί να ρυθμιστεί ώστε να χρησιμοποιεί ένα συγκεκριμένο εύρος θύρας για τις ροές RTP. Στην ενότητα 1 αυτής της σελίδας θα περάσουμε την ανατομία μιας σύνδεσης SIP και πιθανών διαμορφώσεων, ώστε να μπορείτε να επιλέξετε ποια διαμόρφωση θα ταιριάζει καλύτερα στο σενάριό σας και θα διαμορφώσετε ανάλογα το σύστημα Freeswitch σας.

Ανατομία μιας σύνδεσης SIP

Πρώτον, ας αναθεωρήσουμε την ανατομία μιας σύνδεσης SIP προκειμένου να διαλύσει οποιαδήποτε σύγχυση που μπορεί να προκύψει από την υπόθεση ότι η κρυπτογράφηση υποδηλώνει ότι κρυπτογραφούνται τα ρεύματα ήχου (ή RTP).

Στο σχήμα 1 θα σημειώσετε ότι υπάρχουν πράγματι τρεις ξεχωριστές συνδέσεις, ένα TCP για έλεγχο και τα άλλα δύο είναι UDP για τη διέλευση των ροών ήχου προς και από το διακόπτη. Το κανάλι ελέγχου διευκολύνει μια σειρά δυνατοτήτων, αλλά όσον αφορά την κρυπτογράφηση αυτών που ανησυχούμε κυρίως είναι τα ψηφία DTMF που καλούνται κατά τη διάρκεια της κλήσης, όπως μια καρφίτσα τράπεζας ή κάποιο άλλο είδος κώδικα πρόσβασης που είναι προσωπικό και, το σημαντικότερο, ιδιωτικές πληροφορίες. Με το σενάριο που απεικονίζεται στο σχήμα 1, οποιοσδήποτε στο δίκτυο μπορεί να εισπραχθεί και να αποκωδικοποιήσει αυτά τα πολύτιμα δεδομένα.

Ανατομία σύνδεσης SIPS

Η απάντηση σε αυτό το πρόβλημα απεικονίζεται στο Σχήμα 2 και να κρυπτογραφήσει το κανάλι SIP με ένα περιτύλιγμα SSL ή TLS έτσι ώστε ο καθένας να εισάγει πακέτα στο καλώδιο να μην μπορεί να αποκρυπτογραφήσει τα δεδομένα στο κανάλι ελέγχου. Θα σημειώσετε ότι στο σχήμα 2 το απεικονίζουμε όπως στη θύρα 5061, αλλά με το Freeswitch μπορείτε στην πραγματικότητα να το διαμορφώσετε σε οποιαδήποτε συγκεκριμένη θύρα που επιθυμείτε. Αυτό το σενάριο εδώ εξακολουθεί να αφήνει τα πακέτα για τα δεδομένα ήχου στο The Clear. Κάποιος που εισπνέει τα πακέτα θα είναι σε θέση να ανακατασκευάσει την ακουστική συνομιλία σας και να “ακούσει” χωρίς πολύ δυσκολία.

* Σημείωση: Τα τηλέφωνα IP μπορούν να διαφημίσουν υποστηρίζουν κρυπτογράφηση, αλλά ίσως θελήσετε να ελέγξετε τις προδιαγραφές για να επικυρώσετε ότι υποστηρίζουν τόσο τα πιστοποιητικά SSL όσο και TLS.

Ανατομία μιας σύνδεσης SIPS και SRTP

Στο Σχήμα 3 θα σημειώσετε ότι όχι μόνο είναι κρυπτογραφημένο το κανάλι ελέγχου, αλλά οι ροές RTP είναι επίσης κρυπτογραφημένες και αποστέλλονται ως SRTP. Με αυτόν τον τρόπο, και μόνο με αυτόν τον τρόπο, είναι ολόκληρη η συζήτησή σας αρκετά ασφαλής από τις ενδυασίες. Αυτό είναι επίσης σημαντικό, καθώς τα ψηφία DTMF μπορούν επίσης να σταλούν και στα δεδομένα RTP (Inband). Έχοντας και τις δύο SIP και την κρυπτογράφηση SRTP είναι η καλύτερη επιλογή σας όταν πρόκειται να βεβαιωθείτε ότι οι κλήσεις σας SIP είναι ασφαλείς.

* Σημείωση: Τα τηλέφωνα IP μπορούν να διαφημίσουν υποστηρίζουν κρυπτογράφηση, θα πρέπει να ελέγξετε τις προδιαγραφές των τηλεφώνων για να διαπιστώσετε εάν υποστηρίζει το SRTP. Περισσότερα θα ειπωθούν σε αυτό παρακάτω μαζί με προβλήματα διαλειτουργικότητας με ορισμένα τηλέφωνα στο κάτω μέρος αυτής της σελίδας.

Δυνατότητες κρυπτογράφησης freeswitch

Αυτή η σελίδα θα καλύπτει μόνο κρυπτογράφηση TLS, SSL και SRTP.

TLS, SSL και κρυπτογράφηση SRTP

Το Freeswitch υποστηρίζει SIP μέσω SSL και/ή TLS, μαζί με τις δυνατότητες κρυπτογράφησης SRTP. Δεν είναι σαφές εάν το Freeswitch θα κρυπτογραφήσει τις ροές βίντεο, καθώς αυτό δεν έχει δοκιμαστεί στο εργαστήριο KJV, ωστόσο υποψιάζομαι ότι θα το κάνει. Εάν διεξάγετε δοκιμές κρυπτογράφησης βίντεο SRTP, με όλα τα μέσα προσθέστε τα αποτελέσματά σας στο wiki.

Κρυπτογράφηση ZRTP Το ZRTP είναι τώρα αποδοτικό και θα αφαιρεθεί από τα έγγραφα​

Το ZRTP είναι μια δυνατότητα ευκαιριακής κρυπτογράφησης που μπορεί να καταρτιστεί στο Freeswitch. Ανατρέξτε στη σελίδα ZRTP για το How-to και πρόσθετες πληροφορίες σχετικά με το ZRTP.

Υβριδική κρυπτογράφηση

Το Freeswitch μπορεί στην πραγματικότητα να κρυπτογραφήσει δεδομένα για την κυκλοφορία SIP που περνάει μέσα από αυτό. Με αυτόν τον τρόπο μπορείτε να παρέχετε κρυπτογράφηση για τηλέφωνα IP που δεν υποστηρίζουν εγγενή κρυπτογράφηση. Δεδομένου ότι υπάρχει μια πληθώρα υλικού SIP που δεν υποστηρίζει κρυπτογράφηση, αυτή η διαμόρφωση μπορεί να αποδειχθεί χρήσιμη για οποιονδήποτε αριθμό πρακτικών καταστάσεων.

Στο Σχήμα 4 θα παρατηρήσετε ότι το κανάλι ελέγχου SIP από το τηλέφωνο στον διακόπτη δεν είναι κρυπτογραφημένο ενώ το κανάλι ελέγχου από το Freeswitch στο άλλο SIP PBX είναι κρυπτογραφημένο. Είναι σημαντικό να κατανοήσουμε ότι σε αυτή την κατάσταση το SIP Control και τα δεδομένα RTP (Audio) δεν έχουν κρυπτογραφηθεί μεταξύ του τηλεφώνου IP και του Freeswitch. Ως εκ τούτου, εάν το τηλέφωνό σας SIP IP είναι κάπου πίσω από έναν δρομολογητή NAT σε καλωδιακό μόντεμ και ο Freeswitch δεν βρίσκεται πίσω από αυτόν τον δρομολογητή, τόσο το LAN του τηλεφώνου όσο και η σύνδεση στο Διαδίκτυο με το Freeswitch είναι εξ ολοκλήρου στο ύπαιθρο, πράγμα που σημαίνει ότι κάποιος θα μπορούσε να εισπραχθεί αυτά τα πακέτα και να αποκτήσει πολύτιμες πληροφορίες.

Επιπλέον, τα δεδομένα RTP (ήχου) μεταξύ του Freeswitch και του απομακρυσμένου τελικού σημείου που απεικονίζονται ως “άλλα SIP PBX” είναι επίσης μη κρυπτογραφημένα και μπορούν να παρεμποδιστούν, ωστόσο το κανάλι ελέγχου για αυτή τη σύνδεση είναι κρυπτογραφημένο και επομένως λογικά ασφαλές. Εάν το Freeswitch ήταν στο ίδιο LAN με το τηλέφωνο, η πιθανότητα παρακολούθησης είναι μικρότερη, αλλά τα δεδομένα ήχου εξακολουθούν να είναι σε θέση να παρεμποδιστούν.

Στο Σχήμα 5 θα παρατηρήσετε ότι τόσο τα δεδομένα SIP όσο και RTP από το τηλέφωνο IP δεν έχουν κρυπτογραφηθεί, ενώ τα δεδομένα SIP και RTP με το άλλο SIP PBX είναι κρυπτογραφημένες SIP και SRTP κρυπτογραφημένες. Αυτή η επιλογή θα κρυπτογραφήσει τόσο το κανάλι ελέγχου όσο και τα δεδομένα ήχου για τις συνδέσεις μεταξύ του Freeswitch και άλλων τελικών σημείων που υποστηρίζουν κρυπτογράφηση.

Πρέπει ακόμα να γίνει κατανοητό ότι η σύνδεση από το τηλέφωνο στο freeswitch είναι απολύτως ικανή να παρασχεθεί από ένα πακέτο sniffer.

Επιλέγοντας μεταξύ επιλογών κρυπτογράφησης

Υπάρχουν διάφορες επιλογές κρυπτογράφησης για το Freeswitch όπως περιγράφεται παραπάνω. Το TLSV1 κρυπτογραφεί τα πάντα κατά τη σύνδεση TCP. Αυτό έχει το μειονέκτημα ότι μπορεί να συμβεί jitter ή καθυστερήσεις λόγω του TCP. Το UDP προτιμάται γενικά για το RTP και η χρήση του TLSV1 έχει κάποια πρόσθετη κυκλοφορία. Τέλος υπάρχει SSLV23. Αυτό κρυπτογραφεί το κανάλι ελέγχου SIP σε κρυπτογραφημένη σύνδεση TCP χρησιμοποιώντας πιστοποιητικά SSL, αλλά από προεπιλογή δεν παρέχει τίποτα για τα δεδομένα RTP. Οι πληροφορίες σύνδεσης και τα μεταδεδομένα κλήσης μεταδίδονται μέσω του καναλιού ελέγχου, οπότε αν αυτό είναι αυτό που σας ενδιαφέρει για την προστασία αυτού είναι αρκετό και δεν προσθέτει γενικά έξοδα στα δεδομένα RTP. Εάν θέλετε να κρυπτογραφήσετε τα ίδια τα δεδομένα φωνής (οπότε τα δεδομένα φωνής δεν μπορούν να κατανοηθούν), μπορεί να συνδυαστεί με το SRTP. Το SRTP επιτρέπει την κρυπτογράφηση των δεδομένων RTP με δευτερεύοντα γενικά έξοδα σε κάθε ένα από τα πακέτα RTP UDP. Αυτό έχει το πλεονέκτημα ότι τα δεδομένα κλήσης είναι κρυπτογραφημένα, αλλά εξακολουθούν να είναι πάνω από το UDP, οπότε δεν πρέπει να υπάρχει ουσιαστικά διαφορά με το SRTP όπως και με αυτό. Το κλειδί κρυπτογράφησης που χρησιμοποιείται για το SRTP ανταλλάσσεται πάνω από το κανάλι ελέγχου (το οποίο κρυπτογραφεί το SSLV23) έτσι σας δίνει κάτι από τα καλύτερα και των δύο κόσμων. Γενικά το SSLV23 + SRTP είναι το πιο φιλικό προς το τείχος προστασίας/έχει τις λιγότερες αλλαγές για τις υπάρχουσες εγκαταστάσεις. Το SSLV23 + SRTP είναι επίσης αρκετά εύκολο να διαμορφωθεί στον διακομιστή Freeswitch και πιθανότατα η πιο υποστηριζόμενη μέθοδος κρυπτογράφησης για τους περισσότερους πελάτες και τα τηλέφωνα SIP, οπότε γενικά πρέπει να είναι όπου κάποιος πρέπει να ξεκινήσει για κρυπτογράφηση δεδομένων κλήσεων.

Σχετικά με τα τηλέφωνα IP και την κρυπτογράφηση

Μερικοί προμηθευτές θα διαφημίσουν ότι το προϊόν τους υποστηρίζει κρυπτογράφηση SIP. Το ερώτημα γίνεται πόσο καλά υποστηρίζει την κρυπτογράφηση SIP. Ας αναθεωρήσουμε λοιπόν αυτό το περίπλοκο εμπόριο μάρκετινγκ.

• Το τηλέφωνο μπορεί να υποστηρίξει SSL και/ή TLS κρυπτογραφημένη SIP, δηλαδή “SIPS”.
• Το τηλέφωνο μπορεί να φτάσει μέχρι και να υποστηρίξει το TLS με υπογεγραμμένα πιστοποιητικά.
• Πάνω και πέρα ​​από αυτές τις προειδοποιήσεις, το τηλέφωνο μπορεί να φτάσει μέχρι και να υποστηρίξει τα κρυπτογραφημένα δεδομένα ήχου SRTP.
• Τελευταίο αλλά εξίσου σημαντικό, βεβαιωθείτε ότι το τηλέφωνο IP υποστηρίζει πρότυπο SIPS και/ή κρυπτογράφηση SRTP. Ουσιαστικά δεν είναι πολύ μακριά για έναν κατασκευαστή να βρει μια μέθοδο κρυπτογράφησης με τρίχες που λειτουργεί μόνο με τα προϊόντα του.

ΠΡΟΕΙΔΟΠΟΙΗΣΗ: Ελέγξτε τις προδιαγραφές και κάνετε την έρευνά σας πριν αγοράσετε οποιοδήποτε τηλέφωνο SIP IP που διαφημίζεται ως ικανό να εκτελέσει κρυπτογράφηση. Μπορεί επίσης να θέλετε να ελέγξετε αν υπάρχουν προβλήματα με την έκδοση του υλικολογισμικού SIP που λειτουργεί το τηλέφωνό σας και η διαλειτουργικότητα του με το Freeswitch.

Περιορισμοί της εφαρμογής Freeswitch TLS/SSLV23 (FS-3877)

Δυστυχώς, η προεπιλεγμένη διαμόρφωση Lib _ Sofia Stack και Freeswitch έχει μία προεπιλεγμένη (πιθανώς απροσδόκητη) συμπεριφορά που μπορεί να προκαλέσει προβλήματα κρυπτογράφησης που δυσκολεύονται να διαγνωσθούν. Όταν ένας πελάτης συνδέεται με έναν διακομιστή δημιουργεί ένα κρυπτογραφημένο κανάλι TCP που χρησιμοποιείται για την επικοινωνία με τον διακομιστή. Οποτεδήποτε τοποθετεί μια κλήση, μητρώα κ.λπ., Αυτό το κάνει με τη χρήση αυτής της συνεδρίας TCP. Δυστυχώς, όταν ο Freeswitch προσπαθεί να επικοινωνήσει με τον πελάτη για να το πει για μια εισερχόμενη κλήση, συμβιβασμούς, κλπ., Δημιουργεί ένα δεύτερο κανάλι TCP από το διακομιστή στον πελάτη. Ενώ αυτό είναι κρυπτογραφημένο, μπορεί να προκαλέσει κάποια προβλήματα για ορισμένες διαμορφώσεις τείχους προστασίας και για πολλές από τις επιλογές ασφαλείας TLS/SSL στο Freeswitch. Εάν το Freeswitch δεν μπορεί να καθορίσει αυτό το κανάλι, ο πελάτης θα είναι σε θέση να κάνει κλήσεις, αλλά δεν θα είναι σε θέση να λαμβάνει κλήσεις (ή οτιδήποτε άλλο προέρχεται από το διακομιστή στον πελάτη). Επιπλέον, πολλά χαρακτηριστικά TLS ενδέχεται να ενεργούν απροσδόκητα, οπότε η κατεύθυνση είναι σημαντική για να εξεταστεί. Για παράδειγμα, το σύνολο TLS-Verify-Policy σε “Out” θα προκαλούσε την Freeswitch να προσπαθήσει να επαληθεύσει το πιστοποιητικό πελάτη όταν συνδέεται πίσω στον πελάτη, οπότε παρόλο που ο πελάτης συνδέεται αρχικά με το διακομιστή και αυτό θα παραλείψει την επικύρωση για κλήσεις από τον διακομιστή-> πελάτη, το Freeswitch θα το επαληθεύσει. Επιπλέον, αυτό μπορεί να ανοίξει τρύπες ασφαλείας, για παράδειγμα, ο καθορισμός της πολιτικής σε “σε” για την επαλήθευση των εισερχόμενων πελατών δεν θα επαληθεύσει το πιστοποιητικό πελάτη όταν ο διακομιστής συνδέεται πίσω στον πελάτη, πράγμα που θα επέτρεπε να εμφανιστεί εκεί μια επίθεση MITM. Τα πράγματα όπως η επικύρωση του υποκειμένου μπορεί επίσης να είναι δύσκολα, ειδικά αν ο Freeswitch ενεργεί ως πελάτης. Για παράδειγμα, η επικύρωση του αντικειμένου ελέγχει το όνομα κεντρικού υπολογιστή στο οποίο ο Freeswitch συνδέεται με το κοινό όνομα του πιστοποιητικού, ενώ ένας καλός έλεγχος ασφαλείας δεν μπορεί να γίνει όταν ο διακομιστής συνδέεται πίσω στο Freeswitch (όπως στο σημείο αυτό ο Freeswitch προσπαθεί να ελέγξει την διεύθυνση IP ενάντια στο κοινό όνομα). Επιπλέον, η επικύρωση του σκοπού (φροντίζοντας όταν το Freeswitch συνδέεται με έναν διακομιστή, το πιστοποιητικό που έχει εκδοθεί για διακομιστή και όχι πελάτη ή αντίστροφα) δεν υποστηρίζεται επί του παρόντος. Αυτό επιτρέπει στις επιθέσεις MITM έναντι ενός διακομιστή Freeswitch χρησιμοποιώντας ένα πιστοποιητικό πελάτη (ή αντίστροφα), αλλά λόγω της σύνδεσης που πηγαίνει και οι δύο τρόποι, η επικύρωση του σκοπού δεν υποστηρίζεται επί του παρόντος (καθώς μια εισερχόμενη σύνδεση μπορεί να προέρχεται από πιστοποιητικό διακομιστή κατά τη σύνδεση πίσω). Έτσι, ενώ ο Freeswitch’s Gentls _ Cert εκχωρεί σωστά τον σκοπό, δεν χρησιμοποιείται επί του παρόντος από το ίδιο το Freeswitch. Μια λύση για την αποφυγή αυτής της οπής MITM είναι να εκδίδετε πιστοποιητικά πελατών από διαφορετική CA για τώρα.

Διαμόρφωση

Το Freeswitch υποστηρίζει την κρυπτογράφηση της κυκλοφορίας σηματοδότησης SIP μέσω SSL και/ή TLS. Η σύμβαση πρόκειται να εκτελέσει τις SIP στη θύρα 5061 . Οι πιο πολύπλοκες διαμορφώσεις είναι δυνατές, ωστόσο δεν θα καλύπτονται σε αυτή την τεκμηρίωση.

Θα χρειαστείτε τα παρακάτω για να συντάξετε το Freeswitch με υποστήριξη κρυπτογράφησης TLS:

• Το πακέτο Libssl-DEV (The OpenSSL Development) εγκατεστημένο.

Εάν δεν έχετε εγκαταστήσει το πακέτο LIBSSL-DEV, το πρόβλημα θα είναι το προφίλ SIP που περιέχει τις οδηγίες διαμόρφωσης κρυπτογράφησης που καθορίζονται παρακάτω στο βήμα 2.

Εάν έχετε καταρτίσει Freeswitch χωρίς αυτό το πακέτο εγκατεστημένο, δεν θα υπάρξει υποστήριξη για κρυπτογράφηση και θα χρειαστεί να το επανασχεδιάσετε αφού εγκαταστήσετε το πακέτο Libssl-DEV.

Για το Debian Do Aptitude εγκαταστήστε το Libssl-Dev (στο Lenny εγκαταστήστε το libcurl4-openssl-dev) και στη συνέχεια συντάσσεται.

Βήμα 1 – Δημιουργήστε το πιστοποιητικό CA (ρίζα)

Για να χρησιμοποιήσετε το TLS/SSL χρειάζεστε τουλάχιστον δύο πιστοποιητικά: το πιστοποιητικό ρίζας (CA) και ένα πιστοποιητικό για κάθε διακομιστή. Υπάρχει ένα σενάριο στο // freeswitch/bin/gentls _ cert ή μέσα στην πηγή tarball /Scripts/Gentls _ Cert που βοηθά στη δημιουργία αυτών των αρχείων. Υποθέτοντας ότι το όνομα DNS του Freeswitch PBX είναι PBX.freeswitch.org, με

./gentls_cert setup -cn pbx.freeswitch.org -alt dns: pbx.freeswitch.org -org freeswitch.org

Αυτό θα δημιουργήσει πιστοποιητικό CA και το κλειδί μαζί με τον κατάλογο και το πιστοποιητικό CONS/SSL/CA στο φάκελο CORF/SSL.

[ Σημείωση: Το όνομα που δίνεται για -cn και -alt θα πρέπει να είναι το ίδιο με το όνομα DNS της εγκατάστασης Freeswitch και να χρησιμοποιείται ως όνομα γραμματέα στο τηλέφωνο (τουλάχιστον σε polycoms). ] Μπορείτε να αλλάξετε τη γραμμή “Days = 2190” στο αρχείο CERNS _ για να κάνετε το πιστοποιητικό ισχύει για μεγαλύτερο χρονικό διάστημα. Ωστόσο, το να το κάνει πάρα πολύ καιρό έχει κάποιο πρόβλημα γύρω από το πρόβλημα, εμφανίζεται.

Βήμα 2 – Δημιουργήστε το πιστοποιητικό διακομιστή

./gentls_cert create_server -cn pbx.freeswitch.org -alt dns: pbx.freeswitch.org -org freeswitch.org

δημιουργεί το πιστοποιητικό διακομιστή στο // freeswitch/conf/ssl/πράκτορας.πύργος. Αυτό το αρχείο περιέχει το πιστοποιητικό και το ιδιωτικό κλειδί. Θα πρέπει να περιέχει το όνομα τομέα στο κοινό και εναλλακτικό όνομα. Εάν πρέπει να δημιουργήσετε πιστοποιητικά για άλλους διακομιστές χρησιμοποιήστε τη σημαία -out για τους Gentls _ Cert για να καθορίσετε το όνομα του πιστοποιητικού εξόδου/κλειδιού και να αντιγράψετε αυτό στον απομακρυσμένο διακομιστή.

Για να ρυθμίσετε τη νέα CA και να δημιουργήσετε νέο πιστοποιητικό κάτω από τα Windows, μεταβείτε εδώ.

Προκειμένου να τεθεί σε ισχύ το νέο πιστοποιητικό (ο μόνος τρόπος για το Freeswitch να το χρησιμοποιήσει), ο Freeswitch πρέπει να επανεκκινηθεί.

Σημείωση: Το όνομα που δίνεται για -cn και -alt θα πρέπει να είναι το ίδιο με το όνομα DNS της εγκατάστασης Freeswitch και να χρησιμοποιείται ως όνομα γραμματέα στο τηλέφωνο (τουλάχιστον σε polycoms). Αυτό απαιτείται για τα μάτια (και πιθανώς επίσης pangolin).

Ελέγξτε το πιστοποιητικό σας

Μπορείτε να ελέγξετε τα στοιχεία του πιστοποιητικού σας με την εντολή:

OpenSSL x509 -noout -inform pem -text -in/usr/local/freeswitch/conf/ssl/agent.πύργος

Βήμα 3 – Διαμόρφωση προφίλ της Σόφιας

Το Freeswitch απαιτεί μόνο ένα αρχείο για να ενεργεί ως διακομιστής TLS και αυτό είναι ο πράκτορας.αρχείο PEM. Αυτό περιέχει το πιστοποιητικό και το κλειδί που θα χρησιμοποιήσει για ακρόαση. Σημειώστε ότι είναι εξαιρετικά σημαντικό ο πράκτοράς σας.PEM (και προαιρετικά Cacert.PEM) έχουν δικαιώματα ανάγνωσης για το χρήστη freeswitch θα εκτελεστεί ως. Αυτό σημαίνει ότι αν χρησιμοποιήσετε -U freeswitch θέλετε να “chmod 640 πράκτορα.Cacert PEM.PEM “και” root chown.freeswitch πράκτορα.Cacert PEM.PEM “. Τα λανθασμένα δικαιώματα δεν θα επιτρέψουν στον ακροατή TLS να γυρίσει σωστά. Στα Vars σας.XML:

Προσοχή: Το TLS είναι απενεργοποιημένο από προεπιλογή. Ρυθμίστε την εσωτερική _ SSL _ ενεργοποιήστε και/ή εξωτερικό _ SSL _ ενεργοποιήστε το “True” για να ενεργοποιήσετε.

Βήμα 4 Διαμόρφωση πελάτη

Οι πελάτες θα πρέπει όλοι να έχουν τουλάχιστον το πιστοποιητικό ρίζας CA που είναι εγκατεστημένο επάνω τους για να εξασφαλίσει την ασφάλεια. Χωρίς να επιτρέπει την επαλήθευση της αλυσίδας (ότι το πιστοποιητικό διακομιστή εκδόθηκε από την εγκεκριμένη CA) είναι δυνατή μια επίθεση MITM έναντι ενός πελάτη. Το πιστοποιητικό CA είναι το conf/ssl/cafile.Το PEM περιέχει μόνο ένα πιστοποιητικό και οι πελάτες το χρησιμοποιούν για να εξασφαλίσουν ότι το πιστοποιητικό διακομιστή εκδίδεται από την CA. Επιπλέον, ίσως θέλετε (ή πρέπει να ανάλογα με τη συσκευή) να εγκαταστήσετε ένα πιστοποιητικό πελάτη που εκδίδεται από την ίδια CA. Μπορείτε να δημιουργήσετε ένα πιστοποιητικό πελάτη χρησιμοποιώντας την εντολή:

./gentls_cert create_client -cn client1 -out client1

Αυτό θα δημιουργήσει πελάτη1.PEM (Σημειώστε ότι το κοινό όνομα εδώ δεν έχει σημασία, σπάνια θα ήταν ένας διακομιστής που θα είναι ποτέ ενεργοποιημένος για να ελέγξει το θέμα ενός πιστοποιητικού πελάτη, ώστε να μπορείτε να το ορίσετε σε αυτό που θέλετε). Αυτό το ζεύγος πιστοποιητικού/κλειδιού θα πρέπει να εγκατασταθεί στον πελάτη (συνιστάται διαφορετικό για κάθε πελάτη για ασφάλεια), αλλά δεν χρειάζεται να παραμείνει στο διακομιστή, ακόμη και αν θέλετε ο διακομιστής να επαληθεύσει το πιστοποιητικό πελάτη. Εάν ο πελάτης είναι ένας άλλος διακομιστής freeswitch που πελάτης1.PEM θα θέλατε να μετονομάσετε στον πράκτορα.πύργος. Σημείωση Εάν ο άλλος διακομιστής Freeswitch πρόκειται επίσης να χρησιμοποιήσει αυτό το πιστοποιητικό ως διακομιστή και όχι μόνο ένας πελάτης φροντίστε να ακολουθήσετε τα παραπάνω βήματα χρησιμοποιώντας την εντολή δημιουργίας _ για να δημιουργήσετε ένα πιστοποιητικό διακομιστή.

Εμπορικά πιστοποιητικά

Τα περισσότερα πιστοποιητικά διακομιστή Web θα πρέπει να λειτουργούν για το Freeswitch. Για παράδειγμα, τα πιστοποιητικά Thawte SSL123 (η φθηνότερη επιλογή τους) είναι γνωστό ότι λειτουργούν σε τουλάχιστον μία εγκατάσταση. Εάν έχετε αμφιβολίες σχετικά με το εάν ένα πιστοποιητικό θα λειτουργήσει, θα πρέπει να αγοράσετε μόνο το πιστοποιητικό από μια εταιρεία που προσφέρει πολιτική επιστροφής 30 ημερών.

Πολλαπλά προφίλ TLS

Εάν έχετε πολλαπλά προφίλ SOFIA SIP, μπορείτε να βρείτε τον εαυτό σας που θέλετε να ενεργοποιήσετε την υποστήριξη TLS για καθένα από τα προφίλ. Ωστόσο, ο καθένας μπορεί να εκπροσωπείται σε τρίτους χρησιμοποιώντας διαφορετικό αρχείο DNS. Σε αυτή την περίπτωση, απλά δημιουργήστε έναν νέο κατάλογο κάτω από το // freeswitch/conf/ssl/για κάθε εγγραφή DNS . Στη συνέχεια, τοποθετήστε έναν πράκτορα.PEM και Cafile.PEM σε κάθε έναν από τους καταλόγους. Τοποθετήστε κάθε προφίλ στον μεμονωμένο κατάλογο που περιέχει τον συγκεκριμένο παράγοντα του.αρχείο PEM.

Αντιμετώπιση προβλημάτων

Θέματα με TLSV1

Εάν έχετε επιλέξει αυτήν τη διαμόρφωση στο προφίλ σας SIP _:

Υπάρχουν αρκετοί gotchas και snafus πιθανό με TLS. Το TLS τρέχει στο TCP, αντί του UDP, οπότε βεβαιωθείτε ότι τυχόν τείχη προστασίας έχουν ρυθμιστεί ώστε να λειτουργούν με TCP. Δημιουργήστε το κατάλληλο πιστοποιητικό και βεβαιωθείτε ότι έχει φορτωθεί στο τηλέφωνο ή στο ATA. Επίσης, βεβαιωθείτε ότι ο χρόνος έχει διαμορφωθεί σωστά στο τελικό σας σημείο, καθώς θα έχετε κρυπτά μηνύματα σφάλματος “κακού πιστοποιητικού” εάν ο χρόνος είναι πολύ μακριά και θα αποτύχει να χειραγωγήσει σωστά. (Για παράδειγμα, τα πιστοποιητικά δεν έχουν “έγκυρα πριν” και “δεν είναι έγκυρα μετά” χαρακτηριστικά.) Εάν το τηλέφωνό σας δεν θα εγγραφεί ή δεν λειτουργεί σωστά, ενδέχεται να εξετάσετε το ενδεχόμενο να ελέγξετε τη λίστα διαλειτουργικότητας και/ή την αναθεώρηση των τηλεφώνων και της αναθεώρησης του υλικολογισμικού σας. Εάν εξακολουθεί να μην λειτουργήσει σωστά, ίσως θεωρήσετε το SSLV23 ως εναλλακτικό.

Θέματα με SSLV23

Εάν έχετε επιλέξει αυτήν την επιλογή διαμόρφωσης στο προφίλ SIP _:

Αυτό θα σας δώσει τη δυνατότητα να κρυπτογραφείτε τα δεδομένα. Η ασφάλεια είναι παρόμοια με εκείνη των διακομιστών WEC, μπορούν να ελεγχθούν αξιόπιστες ρίζες πιστοποιητικών, υποστηρίζεται ο έλεγχος ταυτότητας πιστοποιητικού πελάτη, τα θέματα και οι ημερομηνίες πιστοποίησης μπορούν να επικυρωθούν (μερικές από αυτές εξαρτώνται από την υποστήριξη πελατών για τη λειτουργία). Αυτό μπορεί στην πραγματικότητα να είναι αυτό που θέλετε και λαμβάνοντας υπόψη ότι πολλά τηλέφωνα δεν υποστηρίζουν TLS, αλλά υποστηρίζουν SSL, ίσως θελήσετε να διαμορφώσετε ανάλογα.

Εάν το προφίλ SIP αποτύχει να ξεκινήσει

Εάν πηγαίνετε στο Freeswitch CLI και πληκτρολογήστε:

Μπορεί να διαπιστώσετε ότι λείπει το προφίλ SIP _ για το οποίο έχετε ρυθμίσει τις ρυθμίσεις TLS/SSL. Σε περίπτωση που συμβαίνει αυτό, πιθανότατα λείπει το πακέτο Libssl-DEV ή ο πράκτορας.Το αρχείο PEM δεν υπάρχει ή έχει λανθασμένα δικαιώματα. Βεβαιωθείτε ότι ο χρήστης freeswitch τρέχει όπως έχει δικαιώματα ανάγνωσης στα πιστοποιητικά και τα κλειδιά. Η ενεργοποίηση της καταγραφής εντοπισμού σφαλμάτων της Sofia Tport στο High θα βοηθήσει να εκτυπώσετε σφάλματα για το γιατί δεν ξεκινά σωστά. Ανατρέξτε στη διανομή σας για να εγκαταστήσετε το πακέτο ανάπτυξης OpenSSL. Αυτό είναι απαραίτητο για τον κώδικα που εκτελεί την κρυπτογράφηση στο Freeswitch για να καταρτιστεί στο δυαδικό. Η ενεργοποίηση ενός υψηλότερου επιπέδου εντοπισμού σφαλμάτων στη Σόφια (Sofia Loglevel και τα 9, ή η Sofia Loglevel Tport 9 γενικά δίνουν αρκετά) και στην κονσόλα μπορεί να βοηθήσει στα προβλήματα εντοπισμού σφαλμάτων και των προβλημάτων χειραψίας.

Σφάλμα διαπραγμάτευσης TLS «Χωρίς αντιστοιχία κρυπτογράφου»

Εάν λαμβάνετε ένα μήνυμα σφάλματος “χωρίς αντιστοίχιση”, ελέγξτε πρώτα για να βεβαιωθείτε ότι έχετε συνδυάσει το κλειδί πιστοποιητικού σας στον πράκτορά σας.αρχείο PEM. Εάν εξακολουθείτε να λαμβάνετε το σφάλμα, αναγεννήστε τόσο το κλειδί όσο και το πιστοποιητικό και δημιουργήστε έναν νέο πράκτορα.PEM με το νέο κλειδί και το πιστοποιητικό, στη συνέχεια δοκιμάστε ξανά.

Περαιτέρω βήματα εντοπισμού σφαλμάτων

Εάν εξακολουθείτε να έχετε προβλήματα με την εκτέλεση των TLS, προτείνονται:

• ) Ρυθμίστε τη Sofia Loglevel στο 9 ( < param name="log-level" value="9"/>) στο Autoload _ Configs/Sofia.τολμηρός.XML
• ) Ρυθμίστε την κονσόλα Freeswitch Loglevel στο Debug (F8)
• ) Επαναφόρτωση mod _ Σόφια και αναθεωρήστε τα αρχεία καταγραφής
• ) Εάν όλα φαίνονται καλά στην πλευρά του διακομιστή, δοκιμάστε να χρησιμοποιήσετε freeswitch ή ένα freeswitch softphones όπως FSClient ή FSCOMM. Αυτά θα σας επιτρέψουν να κάνετε το ίδιο από την πλευρά του πελάτη (συμπεριλαμβανομένης της σύνδεσης FS _ CLI σε αυτούς για να λάβετε δεδομένα καταγραφής) για να δοκιμάσετε και να δείτε τυχόν σφάλματα που μπορεί να έχει ο πελάτης
• ) Η τελευταία λύση έβαλε όλα τα αρχεία καταγραφής στο Pastebin και ζητήστε βοήθεια.

Χρησιμοποιώντας το Freeswitch ως πελάτη SSL/TLS

Το Freeswitch μπορεί να επικοινωνεί με έναν άλλο διακομιστή και να ενεργεί ως πελάτης SIP (AKA χρησιμοποιεί άλλη πύλη). Για να το κάνετε αυτό θα πρέπει να έχετε το καφενείο.PEM στον πελάτη στο φάκελο CORF/SSL με το πιστοποιητικό CA. Θα χρειαστείτε επίσης έναν πράκτορα.αρχείο PEM (αυτό μπορεί να είναι ένα τυχαία δημιουργημένο ζευγάρι δημόσιου/ιδιωτικού κλειδιού ή ένα έγκυρο πιστοποιητικό πελάτη) στον ίδιο φάκελο που χρησιμοποιείται με το πιστοποιητικό πελάτη.

Προχωρημένες επιλογές TLS

Το Freeswitch υποστηρίζει ορισμένες προηγμένες παραμέτρους TLS στις ρυθμίσεις του προφίλ Δείτε τα αρχεία ρυθμίσεων της Σόφιας για λεπτομέρειες.

Γρήγορη ρύθμιση του SSLV23 με SRTP

Γρήγορη εγκατάσταση στο εσωτερικό προφίλ εάν το εσωτερικό όνομα κεντρικού υπολογιστή σας είναι PBX.freeswitch.org:

./gentls_cert setup -cn pbx.freeswitch.org -alt dns: pbx.freeswitch.org -org freeswitch.org ./gentls_cert create_server -cn pbx.freeswitch.org -alt dns: pbx.freeswitch.org -org freeswitch.org

Εάν οι πελάτες σας υποστηρίζουν/επικυρώσουν το πιστοποιητικό διακομιστή αντιγράψτε το πιστοποιητικό CA CONF/SSL/Cafile.PEM στους πελάτες σας.

Οι πελάτες σας συνδέονται με το Freeswitch στη θύρα 5061 αντί για το 5060 και ενεργοποιήστε το TLS (και, εάν είναι δυνατόν SRTP) στον πελάτη. Εάν ο πελάτης σας είναι freeswitch ρύθμιση Transport = TLS κάτω. Τέλος, στον διακομιστή Freeswitch για κλήσεις που συνδέονται με τον πελάτη, θα θελήσετε να τους επιτρέψετε να περάσουν το SRTP, ρυθμίζοντας το RTP _ Secure _ Media = True για την κλήση (βλ. Βήμα 5 παρακάτω για περισσότερες λεπτομέρειες σχετικά με τον τρόπο να το κάνετε αυτό πιο προγραμματικά για τους πελάτες που υποστηρίζουν μόνο αυτό).

Επανεκκινήστε τον διακομιστή Freeswitch (ή επαναφορτώστε το Mod _ Sofia) και έχετε τον πελάτη σας να συνδεθεί και θα πρέπει να μπορείτε να πραγματοποιήσετε και να λαμβάνετε ασφαλείς κλήσεις! Για να βελτιώσετε τον έλεγχο της ασφάλειας των πλήρων επιλογών TLS και ενεργοποιήστε τον έλεγχο πιστοποιητικών (επίσης για να σταματήσετε το MITM).

Βήμα 5 – Ασφάλιση των καναλιών RTP (προαιρετικά)

Οι κλήσεις που προέρχονται από το τηλέφωνο έχουν rtp _ secure _ σύνολο μέσων εάν έχει ρυθμιστεί το TLS. Ελέγξτε την παγκόσμια επέκταση. Υπάρχει ένα τμήμα που σχολιάζεται ότι θα απαιτήσει SRTP στο εξερχόμενο πόδι εάν το εισερχόμενο πόδι είναι κρυπτογραφημένο. Η ενεργοποίηση αυτού θα είναι προβληματική με τα περισσότερα ITSP, αφού δεν υποστηρίζουν το TLS.

Για κλήσεις που προέρχονται από (ή δρομολογούνται) freeswitch και τερματίζονται στο χρήστη/ τελικό σημείο (e.σολ., κλήσεις σε τηλέφωνο), η ακόλουθη αλλαγή θα επιτρέψει στο SRTP εάν το τελικό σημείο καταχωρημένο στο TLS. Σημειώστε ότι είναι μια έγκυρη διαμόρφωση για να εγγραφείτε με το TLS, αλλά δεν απαιτούν SRTP. Αυτό απενεργοποιεί αυτή την έγκυρη επιλογή διαμόρφωσης για χρήστη/ τελικά σημεία. Θα απαιτούσε επίσης περαιτέρω βελτίωση για την υποστήριξη του ZRTP σε χρήστες/ τελικά σημεία που συνδέονται με το TLS. Σε αυτή την περίπτωση, μια καλύτερη προσέγγιση θα ήταν να ορίσετε κάτι στην καταχώρηση καταλόγου του χρήστη που καθορίζει ποια κρυπτογράφηση RTP για υποστήριξη. (Με άλλα λόγια, υπάρχει ένας λόγος που δεν είναι η προεπιλεγμένη ρύθμιση.·

Επεξεργασία conf/directory/default.XML και αλλάξτε το διαδρομή με τηλεφώνημα param σε:

Γιατί είναι καλή ιδέα

Στο Primer κρυπτογράφησης SIP παραπάνω συζητήσαμε γιατί η κρυπτογράφηση των δεδομένων RTP μπορεί να είναι καλή ιδέα. Αυτό γίνεται σε μεγάλο βαθμό στο Dialplan και έχει τη δική του σελίδα αφιερωμένη στη λειτουργικότητά του.

Το SRTP από μόνη της χωρίς TLS δεν είναι ασφαλές, καθώς τα κλειδιά ανταλλάσσονται μεταξύ των δύο τελικών σημείων στο Clear Over SIP, το οποίο είναι ανασφαλές χωρίς TLS ή SSL.

Δείτε ασφαλή σελίδα RTP για τον τρόπο ανάπτυξης του SRTP.

Σημειώστε ότι η παράμετρος SIP_SECURE_MEDIA δεν εφαρμόζεται πλέον και θα πρέπει να ρυθμίσετε το RTP_SECURE_MEDIA

Για εντελώς ασφαλή σύνδεση (σηματοδότηση + μέσα) χρησιμοποιήστε TLS + SRTP. Το TLS χωρίς SRTP ασφαλίζει το SIP. Το SRTP χωρίς TLS δεν ασφαλίζει πραγματικά το RTP!

Βήμα 6 – DNS NAPTR & SRV Records (Προαιρετικά)

Ρύθμιση DNS NAPTR και SRV για TLS

Αυτό δεν απαιτείται καθώς το TLS θα λειτουργήσει χωρίς αυτό, αλλά συνιστάται. Εάν πρόκειται να ρυθμίσετε το TLS, μπορείτε να αφιερώσετε χρόνο για να ρυθμίσετε το σωστό DNS SRV και NAPTR Records.

Ακολουθεί ένα παράδειγμα των αρχείων NAPTR που θα χρειαστείτε (φτιάξτε υπότιτλους για “τομέα.com “όπως είναι απαραίτητο):

τομέα.com. Στο NAPTR 10 0 “S” “SIPS+D2T” “_SIPS._TCP.τομέα.com.
τομέα.com. Στο NAPTR 20 0 “S” “SIP+D2T” “_sip._TCP.τομέα.com.
τομέα.com. Στο NAPTR 30 0 “S” “SIP+D2U” “_sip._UDP.τομέα.com.

Εάν διαμορφώσετε με το-ENABLE-SCTP και έχετε φορτωθεί SCTP στο Linux, μπορείτε να προσθέσετε αυτήν την εγγραφή:

τομέα.com. Στο NAPTR 10 0 “S” “SIPS+D2S” “_SIP._SCTP.τομέα.com.

Τότε θα θελήσετε να ρυθμίσετε αυτά τα αρχεία SRV εκτός από την παραπάνω NAPTR:

_Sips._TCP.τομέα.com. Στο SRV 10 0 5061 SIP.τομέα.com.
_γουλιά._UDP.τομέα.com. Στο SRV 10 0 5060 SIP.τομέα.com.
_γουλιά._TCP.τομέα.com. Στο SRV 10 0 5060 SIP.τομέα.com.

Εάν διαμορφώσετε με το-ENABLE-SCTP και έχετε φορτωθεί SCTP στο Linux, μπορείτε να προσθέσετε αυτήν την εγγραφή:

_γουλιά._SCTP.τομέα.com. Στο SRV 10 0 5060 SIP.τομέα.com.

Παράδειγμα: Τα τηλέφωνα SNOM θα τιμήσουν πλήρως τόσο τη NAPTR όσο και το SRV όπως και η Σόφια-Σιπ σε εξερχόμενες κλήσεις που προέρχονται από το Freeswitch.