Discussion:
Voip met android.
(te oud om op te antwoorden)
Erik
2017-04-25 14:19:40 UTC
Permalink
Ik ben wat aan het uitproberen met voip bellen op mijn android.
Sinds marshmallow zit voip in het os ingebakken.

Toch zit ik met wat vragen.
De meeste sip servers zijn niet ssl.
Ook bij xs4all heb ik die optie niet kunnen vinden.
De vpn werkt ook niet stabiel op mijn toestel naar de fritz.

Gaat mijn wachtwoord dan open over de lijn?

Hoe maak ik het veilig?

Moet ik wel de ingebouwde voip gebruiken.
Ik neem aan, dat die de wifi selecteert om te bellen; Dat is qua veiligheid jammer.
De fritzfon app is ook qua verbinding stabiel en betrouwbaar.
Wat is een goed alternatief?

Ik wil graag over gaan op de sim van xs4all.
Maar dan moet ik wel een betrouwbare telefoon verbinding hebben.

Erik
Ruud Uphoff
2017-04-26 11:29:30 UTC
Permalink
Post by Erik
Ik ben wat aan het uitproberen met voip bellen op mijn android.
Sinds marshmallow zit voip in het os ingebakken.
Toch zit ik met wat vragen.
De meeste sip servers zijn niet ssl.
Ook bij xs4all heb ik die optie niet kunnen vinden.
De vpn werkt ook niet stabiel op mijn toestel naar de fritz.
Gaat mijn wachtwoord dan open over de lijn?
Hoe maak ik het veilig?
Moet ik wel de ingebouwde voip gebruiken.
Ik neem aan, dat die de wifi selecteert om te bellen; Dat is qua veiligheid jammer.
De fritzfon app is ook qua verbinding stabiel en betrouwbaar.
Wat is een goed alternatief?
Ik wil graag over gaan op de sim van xs4all.
Maar dan moet ik wel een betrouwbare telefoon verbinding hebben.
Erik
Het is veilig. Veilig is altijd een korter woord voor "aanvaardbaar
risico". Jij bepaald t zelf dat risico. Hier is hoe het (ongeveer) werkt.

1. Gebruikersnamen en wachtwoorden, meestal als je ergens inlogt.
=======================================================================
Wachtwoorden zijn normaliter gecodeerd opgeslagen op servers. Er bestaat
geen sleutel om dat opgeslagen wachtwoord te decoderen. Het enige dat
mogelijk is, is herkennen of een wachtwoord overeenstemt met het
opgeslagen gecodeerde wachtwoord.

SSL helpt alleen tegen het minst grote gevaar, namelijk dat je
wachtwoord onderweg van jouw naar een server wordt onderschept. Waar SSL
niets aan kan doen, is als de beheerder van de server, genaamd Peter de
Pruser, zijn doos laat hacken waardoor het crapuul de database met
wachtwoorden te pakken krijgt. Dan ben je de pineut als je een slap
wachtwoord gebruikt. 8 tekens is echt nooit genoeg want bijvoorbeeld
H3%p67]s ziet er sterk uit maar sneuvelt op een gewone pc middels brute
force (probeer elke combinatie) in twee dagen of als NSA bezig gaat in
een uurtje.

2. En nu SIP.
=============
Daar gaat het wachtwoord helemaal niet over de lijn! De rollen worden
omgekeerd. De server stuurt je het wachtwoord zoals zij het gecodeerd
opgeslagen hebben en jij (de client) moet aangeven dat overeenstemt.

Nu bestaan er voor hackers vrij simpele methoden om dat gecodeerde
wachtwoord te achterhalen. Maar dat is geen probleem zolang je een sterk
wachtwoord gebruikt.

Handige links:
https://veiliginternetten.nl/wachtwoord-check/
https://howsecureismypassword.net/



--
Met vr. gr,
Ruud Uphoff
Dirk T. Verbeek
2017-04-26 14:27:44 UTC
Permalink
Post by Ruud Uphoff
2. En nu SIP.
=============
Daar gaat het wachtwoord helemaal niet over de lijn! De rollen worden
omgekeerd. De server stuurt je het wachtwoord zoals zij het gecodeerd
opgeslagen hebben en jij (de client) moet aangeven dat overeenstemt.
Ah, interessant!
Miquel van Smoorenburg
2017-04-26 17:40:23 UTC
Permalink
Post by Ruud Uphoff
2. En nu SIP.
=============
Daar gaat het wachtwoord helemaal niet over de lijn! De rollen worden
omgekeerd. De server stuurt je het wachtwoord zoals zij het gecodeerd
opgeslagen hebben en jij (de client) moet aangeven dat overeenstemt.
Ja, dat zou mooi zijn. Dan zeg je als client gewoon altijd 'klopt'
en je ben binnen.

Het werkt anders. De server kent het wachtwoord. Jij kent het wachtwoord.

De server bedenkt een random string, en stuurt die naar jou. Jij
codeert (encrypt of hasht) die string met het wachtwoord en
stuurt dat terug. De server doet hetzelfde. Als wat jij hebt
berekend overeenkomt met wat de server heeft berekend weet de
server dat jij over het correcte wachtwoord beschikt.

Dit heet digest authentication.

Mike.
Dirk T. Verbeek
2017-04-26 19:18:51 UTC
Permalink
Post by Miquel van Smoorenburg
Post by Ruud Uphoff
2. En nu SIP.
=============
Daar gaat het wachtwoord helemaal niet over de lijn! De rollen worden
omgekeerd. De server stuurt je het wachtwoord zoals zij het gecodeerd
opgeslagen hebben en jij (de client) moet aangeven dat overeenstemt.
Ja, dat zou mooi zijn. Dan zeg je als client gewoon altijd 'klopt'
en je ben binnen.
Het werkt anders. De server kent het wachtwoord. Jij kent het wachtwoord.
De server bedenkt een random string, en stuurt die naar jou. Jij
codeert (encrypt of hasht) die string met het wachtwoord en
stuurt dat terug. De server doet hetzelfde. Als wat jij hebt
berekend overeenkomt met wat de server heeft berekend weet de
server dat jij over het correcte wachtwoord beschikt.
Dit heet digest authentication.
Mike.
Ah, het hele verhaal maakt het veel aantrekkelijker.
Nevil Valewijn
2017-04-26 20:49:41 UTC
Permalink
Post by Miquel van Smoorenburg
Post by Ruud Uphoff
2. En nu SIP.
=============
Daar gaat het wachtwoord helemaal niet over de lijn! De rollen worden
omgekeerd. De server stuurt je het wachtwoord zoals zij het gecodeerd
opgeslagen hebben en jij (de client) moet aangeven dat overeenstemt.
Ja, dat zou mooi zijn. Dan zeg je als client gewoon altijd 'klopt'
en je ben binnen.
Het werkt anders. De server kent het wachtwoord. Jij kent het wachtwoord.
De server bedenkt een random string, en stuurt die naar jou. Jij
codeert (encrypt of hasht) die string met het wachtwoord en
stuurt dat terug. De server doet hetzelfde. Als wat jij hebt
berekend overeenkomt met wat de server heeft berekend weet de
server dat jij over het correcte wachtwoord beschikt.
Dit heet digest authentication.
Mike.
Dat klinkt in eerste instantie dat de server zelf over een wachtwoord in
plain text beschikt. Oftewel als de server zelf wordt gekraakt, vindt de
hacker alle leesbare wachtwoorden?

Immers zowel de server als de client moet dus dezelfde wachtwoord
gebruiken om een (dezelfde) random string te coderen die met elkaar
overeenkomen. Geen versleutelde, want de client voert immers een
ongecodeerde wachtwoord in.

Dan moet de server de link tussen de client en wachtwoord zodanig uit
elkaar houden, dat een hacker het verband tussen beide elementen niet
kan vinden.

De SIP-methode klinkt ook positief. Maar een hacker zou dan de
verbinding moeten omleiden en via dezelfde verbinding doorgeven dat het
geboden wachtwoord, dat de hacker niet kent, klopt en hij is binnen.

Vroeger was het zelfs "normaal" om bij een fout wachtwoord een wachttijd
in te voeren voordat een nieuwe poging gedaan kan worden. Bv. 10
seconden wachten, dan 1 minuut, dan 5 minuten, etc. Of na 3 pogingen
wordt de toegang geblokkeerd. Dat maakt een brute aanval op het raden
van een wachtwoord vrijwel nutteloos.

Maar ja, alle wegen leiden naar Rome. Er is baas boven baas.
--
Nevil Valewijn

De wereld volgens Valewijn
Loading...