Wat is SIP TLS? — SIP-signalering versleuteld uitgelegd

SIP TLS versleutelt de signalering van uw telefoongesprekken — vergelijkbaar met HTTPS voor websites. Dit artikel legt uit hoe het werkt, wat het beschermt en waarom het relevant is voor zakelijke VoIP.

SIP en beveiliging — het probleem

SIP (Session Initiation Protocol) is het protocol waarmee IP-telefoonsystemen gesprekken opzetten, beheren en beëindigen. De standaard implementatie gebruikt UDP of TCP op poort 5060 — zonder versleuteling.

Dit betekent dat iedereen die het netwerkverkeer kan onderscheppen, uw gesprekssignalering in leesbare tekst kan zien: wie belt wie, wanneer, hoe lang. Bovendien kan een aanvaller zich voordoen als uw PBX en ongeautoriseerde gesprekken initiëren — SIP-fraude.

Wat is SIP TLS?

SIP TLS (ook wel SIPS) is SIP met Transport Layer Security. Het versleutelt de signalering op dezelfde manier als HTTPS dat doet voor webverkeer:

Kenmerk	Standaard SIP	SIP TLS
Protocol	UDP of TCP	TLS over TCP
Standaard poort	5060	5061
Signalering	Onversleuteld (leesbare tekst)	Versleuteld
Certificaat vereist	Nee	Ja (server-side)
Gevoelig voor eavesdropping	Ja	Nee
SIP-fraude (INVITE injection)	Mogelijk	Sterk bemoeilijkt

Wat versleutelt SIP TLS WEL en NIET?

SIP TLS versleutelt uitsluitend de signalering: het opzetten, aanpassen en beëindigen van gesprekken. De audio (RTP-pakketjes) valt hier niet onder.

Voor volledige beveiliging gebruikt u SIP TLS + SRTP. SRTP (Secure Real-time Transport Protocol) versleutelt de audio-stroom.

Waarom is SIP TLS belangrijk?

1. SIP-fraude voorkomen

SIP-fraude kost Nederlandse bedrijven jaarlijks miljoenen euro's. Aanvallers scannen het internet op open SIP-poorten (5060/UDP), stelen SIP-credentials en plegen op kosten van het slachtoffer dure interurbane gesprekken. Met SIP TLS zijn de credentials versleuteld en is het signaleringverkeer niet afluisterbaar.

2. Voldoen aan AVG/GDPR

Gesprekken over medische, juridische of financiële onderwerpen bevatten privacygevoelige informatie. Onversleutelde SIP-signalering is hiermee in strijd. SIP TLS helpt aantonen dat u passende technische maatregelen heeft getroffen.

3. Vereiste voor bepaalde branches

Zorgaanbieders, advocatenkantoren en financiële instellingen worden door toezichthouders gevraagd communicatie te versleutelen. SIP TLS is hiervoor de standaard oplossing.

SIP TLS versus SRTP — het verschil

Technologie	Beveiligt	Poort
SIP TLS	Signalering (wie belt wie, credentials)	5061/TCP
SRTP	Audio (het gesprek zelf)	Willekeurige RTP-poort
SIP TLS + SRTP	Alles: signalering + audio	5061/TCP + RTP-range

Hoe werkt SIP TLS technisch?

1. Uw PBX maakt een TCP-verbinding met de SIP-server op poort 5061
2. TLS-handshake: server presenteert certificaat, client verifieert dit
3. Na handshake is de verbinding versleuteld (AES-128 of hoger)
4. Alle SIP-berichten (INVITE, REGISTER, BYE, etc.) verlopen over deze versleutelde verbinding
5. Het SDP-gedeelte van de INVITE bevat de SRTP-keys (versleuteld meegestuurd)

Ondersteunde PBX-platformen

OpVoIP Secure SIP (TLS 5061 + SRTP) is getest met:

• 3CX versie 18 en 20 (on-premise en hosted)
• Yeastar P-Series (P550, P560, P570)
• FreePBX / Sangoma (PJSIP)
• FusionPBX
• Asterisk 18+
• Microsoft Teams (via Direct Routing SBC)