WebRTC (Web Gerçek Zamanlı İletişim), eklentilere ihtiyaç duymadan doğrudan web tarayıcıları ve mobil uygulamalar arasında gerçek zamanlı ses, video ve veri paylaşımını kolaylaştıran açık kaynaklı bir projedir.
HTML5’e entegrasyonu ve başlıca tarayıcılardaki desteği, onu çeşitli uygulamalar için çok yönlü bir araç haline getirir. EnableSecurity yakın zamanda WebRTC uygulamalarındaki güvenlik açıklarının tehdit aktörlerinin DoS saldırılarını tetiklemesine olanak tanıdığını keşfetti.
WebRTC Uygulamalarındaki Güvenlik Açıkları
WebRTC, düşük gecikme süresi için “UDP” üzerinden şifreleme için “DTLS” ve “SRTP” gibi standartlaştırılmış protokolleri kullanır.
Bağlantı süreci üç ana adımı içerir: –
- Sinyalizasyon
- ICE medya onayı doğrulaması
- DTLS anlaşması
Sinyalleşme sırasında eşler, “ICE adayları”, “kullanıcı adları” ve “şifreler” ile teklif ve yanıt alışverişinde bulunurlar.
How to Choose an ultimate Managed SIEM solution for Your Security Team -> Download Free Guide (PDF)
ICE daha sonra STUN mesajlarını kullanarak bağlantıyı ve eş kimliğini doğrular. Daha sonra bir “DTLS anlaşması”, “sinyal verme” sırasında alınıp verilenlere göre doğrulanan sertifika parmak izleriyle güvenli bağlantıyı kurar.
Bu süreç, ‘gerçek zamanlı ses’, ‘video’ ve ‘veri paylaşımı’ için “uçtan uca şifreleme” ve “kimlik doğrulama” sağlar.
WebRTC, “eşler arası iletişim” için tasarlanmış olsa da, gelişmiş performans ve NAT geçişi için sıklıkla aracı sunucuları kullanır.
Teknoloji, özellikle kötü niyetli “DTLS ClientMerhaba” mesajlarının bağlantıları bozabileceği medya izni doğrulaması ve DTLS anlaşması aşamaları arasındaki geçiş sırasında belirli DoS saldırılarına karşı savunmasızdır.
Bu güvenlik açığı, “WebRTC”nin “ICE”yi “kapsamlı bir aktarım mekanizması” yerine yalnızca bir başlangıç ”izin mekanizması” olarak ele almasıyla ortaya çıkar.
Kötü niyetli aktörler, “meşru eş”in gerçek zamanlı iletişim hizmetlerinde “hizmet reddine” neden olabilmesinden önce, sahte bir “DTLS ClientHello” mesajı enjekte ederek bu boşluktan yararlanabilir.
Bu sorun özellikle “doğal paket kaynağı doğrulaması” bulunmayan “UDP” kullanan sistemlerde baskındır.
Savunmasız uygulamalar arasında “Asterisk”, “RTPEngine” ve “FreeSWITCH” gibi popüler açık kaynaklı projelerin yanı sıra bazı “özel çözümler” yer alıyor.
Azaltma stratejileri, “DTLS ClientHello paketlerinin” kaynağı üzerinde daha sıkı kontroller uygulamayı içerir, çünkü bu, bunların “doğrulanmış ICE aday çifti” ile eşleşmesini sağlar.
Çalışma, “RFC 8826” ve “RFC 8827″nin “ICE tarafından doğrulanmış medya akışları” ile ilgili olarak “DTLS ClientHello mesajlarının” işlenmesine ilişkin açık yönergeleri içerecek şekilde güncellenmesini önermektedir.
Bu güvenlik açığı, WebRTC bağlamlarında “medya”nın daha kapsamlı anlaşılması ihtiyacını vurguluyor ve “RTP”nin ötesine geçerek ICE doğrulama süreçlerine “DTLS” ve “SCTP”yi dahil ediyor.
Free Webinar on How to Protect Small Businesses Against Advanced Cyberthreats -> Watch Here