Con asterisk 1.6.x se ha empezado la experimentación del protocolo TLS para volver un poco más segura la comunicación entre “entidades” que usan para comunicar entre ellas el protocolo SIP. Con el protocolo TSL todo este flujo de comunicación queda encriptado y sin posibilidad de ser “interceptado” por personas “ajenas” :) Aunque no resuelve del todo el problema de la seguridad y privacidad en la comunicaciones SIP (el audio/video `continuaría siendo enviado en “claro”), es un paso hacia una buena dirección.

Yo empecé mi primeras pruebas justo ayer y esta pequeña guía es para aquellos che quieran compartir conmigo esta experiencia. Estos son los pasos que he seguido para configurar asterisk y el SoftPhone Bria:

Primero he creado un certificado autofirmado:

cd /etc/asterisk

primero he creado una clave privada:

openssl genrsa 1024 > host.key

y luego un certificado firmado con la clave privada recién creada:

openssl req -new -x509 -nodes -sha1 -days 365 -key host.key > host.cert

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:CO
State or Province Name (full name) [Berkshire]:Bogota
Locality Name (eg, city) [Newbury]:Bogota
Organization Name (eg, company) [My Company Ltd]:VozToVoice
Organizational Unit Name (eg, section) []:TLS
Common Name (eg, your name or your server's hostname) []:sip.miodominio.com
Email Address []:admin@miodominio.com

La parte más importante del certificado es el Common Name donde tenemos que indicar el dominio que luego usaremos para conectar nuestros clientes SIP.

Una vez que tengamos los dos archivos creamos un nuevo archivo que contenga los dos:

cat host.cert host.key > asterisk.pem

Ahora podemos configurar el sip.conf

nano sip.conf

y en el bloque de configuración del soporte TLS ponemos:

tlsenable=yes ; activamos el soporte TLS

tlsbindaddr=0.0.0.0 ; la dirección ip que asterisk usará para aceptar las conexiones (si no definimos el puerto el predefinido será el 5061 que tenemos que abrir en nuestro cortafuegos – protocolo UDP)

tlscertfile=/etc/asterisk/asterisk.pem ; carpeta y nombre del archivo que contiene nuestro certificado

Siempre en el mismo archivo, para cada extensión que queremos que use el protocolo TLS para conectarse a Asterisk añadimos la línea:

transport=tls

Guardamos los cambios con CTRL-O y salimos del editor con CTRL-X

entramos en la consola de asterisk

asterisk –rvvvvvvvvvvvvvvvvvvvvv

y actualizamos la configuración SIP

CLI> sip reload

si todo salió bien aparecerá entre las distintas líneas:

SSL certificate ok

Ahora tenemos que instalar el certificado en el computador donde está instalado Bria Profesional (en mi caso Windows Vista). Para hacer esto copiamos el archivo host.cert en ese computador y le cambiamos el nombre en host.crt. Ahora lo podemos instalar clicando (en mi caso dos veces) sobre el archivo. Empezará el proceso de instalación del certificado. Una vez terminado tenemos que asegurarnos que ese certificado esté entre la lista de los certificados en que se confía.

Terminado este proceso (En windows vista para tener más información pueden consultar la “ayuda y soporte técnico” usando come clave de búsqueda “certificados”), podemos empezar con la configuración de Bria Profesional.

Lo abrimos y desde el menú “File” escogemos “Account settings”; en la nueva ventana que aparece “ADD” y configuramos nuestra nueva cuenta come en la imágenes que aparecen aquí abajo.

Damos OK y el cliente se conectará a Asterisk.

El protocolo TLS se usará solamente entre Asterisk y la extensiones configuradas con este tipo de soporte.

Logros:

• Pude llamar de una extensión a otras, configuradas con y sin protocolo TLS (audio ok)
• Pude llamar un numero de teléfono fijo usando un proveedor SIP (audio ok)
• Pude consultar el correo de voz (audio ok)

Problemas:

• A veces al colgar la línea queda levantada y los dos canales activos (no se envía el cancel al Bria o desde el Bria)
• Lo mismo pasa con las llamadas entre extensiones
• ¿Problemas de NAT?

Este en una parte de los mensajes “SIP” entre Asterisk y la extensión; pueden observar que efectivamente en la comunicación se utiliza el protocolo TLS:

OPTIONS sip:1300@87.12.XXX.XXX:12184;transport=TLS;rinstance=d6489313c8a01079 SIP/2.0
Via: SIP/2.0/TLS 209.17.186.221:5060;branch=z9hG4bK5478547c;rport
Max-Forwards: 70
From: "asterisk" <sip:asterisk@209.17.XXX.XXX:5060>;tag=as324ecead
To: <sip:2300@87.12.XXX.XXX:12184;transport=TLS;rinstance=d6489313c8a01079>
Contact: <sip:asterisk@209.17.XXX.XXX:5060;transport=TLS>
Call-ID: 59b623c6793270e5190b6ebd158d1002@209.17.XXX.XXX
CSeq: 102 OPTIONS
User-Agent: Asterisk PBX
Date: Sun, 03 May 2009 17:24:52 GMT
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, SUBSCRIBE, NOTIFY
Supported: replaces, timer
Content-Length: 0

---

SIP/2.0 200 OK
Via: SIP/2.0/TLS 209.17.XXX.XXX:5060;branch=z9hG4bK5478547c;rport=5061
Contact: <sip:192.168.1.102:56577;transport=TLS>
To: <sip:2300@87.12.XXX.XXX:12184;transport=TLS;rinstance=d6489313c8a01079>;tag=05350b7d
From: "asterisk"<sip:asterisk@209.17.XXX.XXX:5060>;tag=as324ecead
Call-ID: 59b623c6793270e5190b6ebd158d1002@209.17.XXX.XXX
CSeq: 102 OPTIONS
Accept: application/sdp
Accept-Language: en
Allow: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, NOTIFY, MESSAGE, SUBSCRIBE, INFO
User-Agent: Bria release 2.4.3 stamp 50900
Content-Length: 0

Se esperan aportes, consejos y correcciones.