In den letzten Wochen gab es in meinem Umfeld gegensätzliche Standpunkte zur Sicherheit von Konferenzen via Skype bzw. Skypecast. Zum einen kenne ich einen international agierenden Businessanwender mit über 1000 Mitarbeitern, der Skype firmenintern/-extern aktiv einsetzt. Zum anderen wurde auf der AVN Roadshow sowie im Rahmen eines Experteninterviews zu Thema VC, Skype massiv abgelehnt. Die Gründe dafür waren, dass Skype eine peer-to-peer Lösung ist und somit quasi zwangsweise über fremde Rechner geht, und weil es für Gespräche in klassische Netze (wie andere VoIP Lösungen auch) Gateways nutzt, die als Sicherheitsrisiken betrachtet wurden.
Daraufhin habe ich einmal ein wenig gegoogelt und bin für mich zu dem Ergebnis gekommen, dass Skype durchaus so sicher bzw. unsicher ist, wie traditionelles Telefonieren.
Siehe dazu auch den sehr informativen Artikel von Florian Messner und die Infos unter voip-information.de …
Bei Skype muss man doch Folgendes sehen: Im Gegensatz zu SIP-Anwendungen kommt bei Skype unter anderem “garantiert” eine hohe und permanente Verschlüsselung aller Daten zum Einsatz. Dies sogar bei Verbindungen zu klassischen Telefonanschlüssen, zumindest bis zum Gateway. Vom Gateway zum Telefon erfolgt dann keine Verschlüsselung mehr, was genauso für “traditionelle” Telefonate gilt. Weitere, zusätzliche Sicherheitsoptionen sind für Skype gegeben …
OK, jetzt kann man, dass Gateway natürlich als eine kritische Schnittstelle sehen. Das gilt ja bspw. auch beim Banking via WAP, da stehen die Gateways ja auch nicht irgendwo, sondern unter Kontrolle und Verschluss in den EDV-Zonen der Geldinstitute. Aber wir sprechen ja hier über Voice und nicht über Banking. Und da gilt doch: Sind nicht auch traditionelle Telefonleitungen die wir für unsere Kommunikation in der Regel benutzen nicht genauso angreifbar? Letztendlich kann ich ja auch dort eine Leitung direkt anzapfen. Und bitte schön, wie viele Mails werden nicht verschlüsselt bzw. wie lässig wird mit dem Thema umgegangen …?
Für mich stellt sich Skype daher als eine Lösung dar, welche nicht weniger sicher ist, als die klassische Telefonie und ganz bestimmt sicherer ist, als die Kommunikation via E-Mail. Wer mehr Sicherheit haben will, muss das fairerweise auch bei den anderen Kommunikationskanälen sicher stellen. Mit SIP-Lösungen (Session Initiation Protocol), die sich in naher Zukunft auch mit klassischen VideoKonferenzen verbinden lassen, wäre ich dagegen sehr zurückhaltend …
Die gößte Unsicherheit empfinde ich bei Skype im Bereich der Software-Einstellungen. Nämlich darin, welche USER man zulässt und darin, wie USER mit Ihren Skype-Kennwort umgehen (so sie es denn kennen). Und das hat halt weniger etwas mit dem System, als mit dem Menschen selber zu tun …
Nachtrag am 30.06.2006:
Einer der es ganz anders sieht, aber offensichtlich auch wirtschftliche Interessen hat es anders zu sehen, findet sich hier …
Nachtrag am 01.06.2006:
Das wird hier noch ein Security-Weblog, wenn es so weiter geht ,-). Aus verschiedenen Quellen erreichten mich Mails zum obigen Thema. Alles sehr interessant, wobei ich persönlich keinen Widerspruch zu meiner Aussage erkennen kann, dass Skype nicht unsicherer ist als klassische Telefonate … Siehe 1, - 2, - sowie das folgende Zitate aus einer Mail:
• “… Ein Mann namens Philippe Biondi hat sich mit Skype beschäftigt.
Das Handout (PDF) ist zum einen technisch interessant. Zum anderen ist intereressant, wer den Philippe für die Arbeit bezahlt hat:
- das EADS Research Center! Dazu würde ich gern wissen, ob EADS Skype für kommerzielle und forschungsorientierte Telefonate nutzt.
Wenn EADS damit keine Probleme hat, wäre das ein Hinweis auf gute IT-Security …”
Nachtrag vom 25. Juli 2006
Ein weiterer sehr kompetenter Kommentar findet sich hier. Um diesen zu lesen ist aber eine Anmeldung bei openBC notwendig.