linphone mit Telekom VoIP SIP

Ich habe vor einiger Zeit mein T-Online-DSL auf IP-only umgestellt und dabei meinen bisherigen ISDN-Anschluss wegrationalisiert – VoIP/SIP ist ja die neue geile Scheiße.  (Zur Umstellung gibt’s baaaald auch noch nen Blogeintrag.)

Da ich meine 10 ISDN-Telefonnummern behalten konnte (ich habe die nie ernsthaft genutzt) ist das jetzt natürlich eine schöne Chance, mal mit SIP am PC rumzuspielen. Da habe ich dann ein Headset und muss bei SSH-Remote-Hilfesessions bei meinen Eltern nicht immer mit einer Hand den Telefonhörer halten.

Meine (vermutlich ziemlich uninformierte) Wahl fiel auf linphone und da ich mir die nötigen Einstellungen erst zusammengoogeln musste, dachte ich mir, ich schreibe sie hier mal gesammelt auf.

Unter Options / Preferences trägt man auf dem Reiter Network settings folgendes ein:

• SIP (UDP) Port 5060
• Behind NAT / Firewall (use STUN to resolve)
• Stun server: stun.t-online.de

Dann auf den Reiter Manage SIP Accounts wechseln und dort mit Add einen neuen Eintrag anlegen (scheinbar wird immer automatisch ein Standardeintrag für die lokale IP-Adresse angelegt, das schadet nichts und kann so bleiben):

• Your SIP identity: sip:0123456789@tel.t-online.de , wobei 012345679 die zu registrierende Telefonnummer ist (inklusive Vorwahl, mit führender Null)
• SIP Proxy address: <sip:tel.t-online.de>

Das war’s schon fast, jetzt fehlt nur noch das Passwort. Wann linphone das abfragt, scheint irgendwo in den Sternen zu stehen, ich hatte auch schon diverse Male zwei Passwortdialoge gleichzeitig auf (und manchmal gehen die auch von alleine wieder zu…). Mit Erase all passwords auf dem Reiter Manage SIP Accounts kann man das Erscheinen des Passwortdialoges wohl etwas wahrscheinlicher machen :-) Im Zweifelsfall nach Klick auf den Button das Programm einmal beenden und wieder neu starten.

• UserID: Die hier automatisch vorgeblendete Telefonnummer ist falsch. Vermutlich dient das nur als Hinweis, für welchen der Accounts man gerade das Passwort eingibt. Korrekt muss hier die eigene T-Online-Mailadresse hin: thomas.mustermann@t-online.de
• Password: Hier kommt nicht das Einwahlpasswort hin, das man auch im Router hat. Stattdessen "das andere", das früher mal für die Hotspot-Anmeldung galt (?) und mit dem man wohl auch ins Webmail von T-Online kommt.

Dann müsste unten in der Statusleiste "Registration on <sip:tel.t-online.de> successful" und stehen und die SIP-Identity in der Combobox darüber hat rechts einen grünen Kuller.

Das war’s. Enjoy your phoning!

Das ganze funktioniert hinter einer Router-Kaskade aus Fritzbox und OpenWRT wie beschrieben aus dem Stand, keine Portweiterleitungen oder Firewallfreischaltungen nötig.


#rant: An meinem Telekom-Router klappt es aber auch nach Verrenkungen ums Verrecken nicht, was wohl daran liegt, dass ich einen Speedport W724V Typ A bekommen habe, der laut Telekom-Hilfeforum Probleme mit SIP hat, da der eingebaute siproxyd alle RTP-Pakete wegfischt. Kann man nicht ausschalten oder durch Portweiterleitungen umgehen. Warum ich das Gerät bekommen habe, nachdem ich bei der Beratung im T-Shop explizit erwähnt habe, dass ich auch SIP am PC machen will, muss mir der T-Shop nochmal nachträglich erklären…


#security: SIPS oder Transportverschlüsselung scheint die Telekom nicht anzubieten. Da ich keinen Bock habe, dass unterwegs mein Webmail-Passwort im Klartext über die Leitung geht, habe ich mir das mal in Wireshark angeguckt. Folgendes war zu sehen:

1. linphone möchte das Passwort MD5-verschlüsselt übertragen (das sieht erstmal nur wie ein "ich würde das gerne so schicken" aus, ohne dass es übertragen wird). Aus dem MD5-Hash kann man das Passwort zwar nicht so einfach¹ zurückrechnen, aber wenn man die verschlüsselten Daten abfängt, könnte man die einfach nochmal verwenden und sich damit als jemand anderes bei der Telekom anmelden und über deren Anschluss telefonieren.
2. Der Telekom-Server sagt "nö, so nicht, das machen wir anders" und schickt eine Nonce mit zurück.
3. linphone schickt nochmal das Passwort los, wieder verschlüsselt, aber diesmal basierend auf der Nonce.

Kurzfazit:

• Replay-Attacken fallen damit flach, denn beim nächsten Mal kommt eine andere Nonce und ein mitgeschnittener MD5-Hash ist damit wertlos.
• Zertifikate gibt es aber nicht, wer also ins DNS eingreift und tel.t-online.de auf einen eigenen Rechner umbiegt, kann fleißig MD5-verschlüsselte Passwörter sammeln, denn linphone würde nicht merken, dass es nicht mit dem falschen Server redet.
• Und Transportverschlüsselung fehlt wohl komplett, jeder kann also die Gespräche "mithören". Das ist zu Hause "egal", weil die Leitung hinter dem Router sowieso der Telekom gehört, aber im Internetcafé oder über Freifunk² ist das extra-doof.

---

¹ MD5 ist doch schon als unsicher verschrien, oder?
² muss noch testen, ob das über Freifunk und WLAN fix genug ist oder ins Stottern kommt