oder: “Warum Versionsnummern nicht ernst genommen werden sollten”

Da war er also, der Call Manager 4.0.
Das magische Teil.
Der heilige Gral.

Auch nicht viel bunter als der Vorgänger, das Ding – aber das bemerkte ich ja auch schon gestern. Mein alter Freund, den ich heute Nacht wieder beauftragte, bemerkte weniger Sicherheitslücken, zum großen Teil ein Verdienst des “cisco magical voodoo security wizzards”[tm] ala Cisco Security Agent, aber ein Scan brachte den Call Manager trotzdem weiterhin zum Straucheln.

Einen Großteil meines Tages verbrachte ich heute, nachdem ich das Nessus-Log ausgewertet hatte, mit der Analyse der neuen Security-Features des Call Manager 4.0, insbesondere im Hinblick auf die Phones. Da ich noch nicht über Security Tokens verfüge, kann ich nur die Verbesserungen an der Firmware – Cisco nennt zum Beispiel das Abschalten des internen Phone-Webservers “hardening” – beurteilen.

Das Ergebnis war desaströs. Obwohl nun laut Hersteller Verbesserungen im Bereich ARP-Spoofing vorgenommen wurden, haben ettercap und ich davon leider nicht viel gemerkt. Die Angriffe, die ich bereits erfolgreich gegen die alte Version der Phones durchgeführt habe, funktionierten immer noch prima.

Hoffentlich bringen die TLS-Verschlüsselungen, die der Call Manager auch unterstützt, ernstzunehmende Verbesserungen, ansonsten sind die Systeme IMHO noch nicht wirklich einsetzbar.

Den Rest des Tages habe ich dann mit Studien von Cisco Best Practices und Design Whitepapers verbracht; irgendwie muss ja auch mal das Einleitungs-Kapitel fertig werden…