Über VoIP-Telefone für Firmen werden auch sensitive Inhalte geteilt. Da sollten die Prozesse rund um die Telefone auch ein Mindestmass an IT-Sicherheit bieten.
#Yealink nutzt jedoch für seine VoIP-Telefone einen Provisionierungsprozess (~"Registrierungsprozess"), mit dem unbefugte Dritte an die Zugangsdaten für die Telefonieserver der Firma kommen können.
#DNIP #VoIP
https://dnip.ch/2025/06/25/yealink-voip-phones-insecurity-by-design/
Die Ursache:
#Yealink untergraben die Sicherheit ihrer eigenen Zertifikate vollständig (mir standen die Haare zu Berge, als ich das erfuhr!) Jedes Telefon hat eine Kopie der CA, inklusive dem eigentlich super gut zu schützenden Private Key.
Die Auswirkungen:
Unbefugte Dritte können die Zugangsdaten via Internet zu den Telefonieservern erlangen und damit Zugang zur Telefonnummer und Adressbüchern. In einem weiteren Schritt ist auch Mithören von Telefonaten möglich.
2/2
https://dnip.ch/2025/06/25/yealink-voip-phones-insecurity-by-design/
Marcel Waldvogel
Sylvester Tremmel