ICE, STUN, TURN. Mészáros Mihály. A jég(ice), a kanyar (TURN), a bódulat (STUN) és a kijózanító tűzfal (Firewall) NIIF Intézet NETWORKSHOP 2016

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "ICE, STUN, TURN. Mészáros Mihály. A jég(ice), a kanyar (TURN), a bódulat (STUN) és a kijózanító tűzfal (Firewall) NIIF Intézet NETWORKSHOP 2016"

Rezső Pintér
5 évvel ezelőtt
Látták:

1 ICE, STUN, TURN A jég(ice), a kanyar (TURN), a bódulat (STUN) és a kijózanító tűzfal (Firewall) Mészáros Mihály NIIF Intézet NETWORKSHOP 2016

2 Definíciók STUN Klasszikus - RFC 3489 (2003 március) Simple Traversal of UDP Through NATs STUN - Új - RFC 5389 (2008 október) Session Traversal Utilities for NAT TURN - RFC 5766 (2010 április) Traversal Using Relays around NAT (Relay Extensions to STUN) ICE RFC 5245 (2010 április) Interactive Connectivity Establishment

3 Tartalomjegyzék Áttekintés: Tűzfal vs. Valós Idejű Kommunikáció (RTC) IP Címfordítás (NAT) és altípusai ICE/STUN/TURN Mégse olyan jó ötlet az összes IP cím felfedezése Auth. Metódusok fejlődése és implementációinak helyzete. GÉANT 4 SA8 T2 Proof of Concept STUN/TURN tapasztalatai WebRTC és ICE/STUN/TURN Összefoglalás

4 Tűzfal vs RTC

5 Tűzfal kint tartja az illetéktelen forgalmat

6 Emellett sajnos megnehezíti vagy ellehetetleníti az E2E kommunikációt.

7 A cél: Szabványos megoldást találni a komplex akadályokra

8 Tűzfal átjárás Miért gond, ha befalazzuk az ajtót és az ablakot? Az Internet ma: NAT (különböző fajtái), Tűzfal (csomagszűrés), IPv4 => IPv6 áttérés, Multihomed eszközök, stb. TCP nem ideális valós idejű tartalmak számára.

9 NAT

10 NAT típusok (RFC 3489) Full-cone NAT "Restricted Cone" NAT Address-restricted-cone NAT Server 1 NAT Client Port-restricted cone NAT Server 2 Symmetric NAT "Full Cone" NAT Server 1 "Port Restricted Cone" NAT NAT Server 1 NAT Client Client Server 2 Server 2

11 Symmetric NAT "Symmetric" NAT Server 1 NAT Client Server 2

12 RFC 5780 vs 3489 Mapping EIM ADM APDM Filtering EIF ADF APDF Source:

13 ICE, STUN, TURN

14 IP címek, portok feltérképezése Átviteli cím (Candidate) IP cím, port, protokoll Átviteli cím típusok Relayed Reflexive Server, Peer Host Y:y TURN Szerver Publikus Internet X':x' NAT X:x UA

IP címek kifecsegése Böngésző felfedezi az összes interface címeit.

15 Miért gond az IP cím feltérképezés? ICE minden címet felfedez By Design Cél: a lehetséges legjobb kapcsolat kiválasztása. IP címek kifecsegése Böngésző felfedezi az összes interface címeit. Megoldás: Felfedezés korlátozása Már úton a javítás Chrome Opt-In: Network limiter kiterjesztés Második lépés: beépítése a böngészőbe és alapértelmezetté tétele Firefox Új UI eszköz a felfedezhető interface-k korlátozására Várható megjelenés: Firefox Beta 41

16 RETURN RETURN Recursively Encapsulated Auto-Discovery Felfedezés Nagyvállalati Határ Proxy Nagyvállalati és Alkalmazás Leakiness Leaky: használjuk mindet Sealed: erőltessük az enterprise TURN Proxy-t inside network / \ NAT/FW host O / \ srflx...o relay / \ relay srflx O host O \ / \ / \ / Browser Border TURN Proxy server KEY outside network / \ O O \ / Application TURN server O Candidate... Non encapsulated TURN encapsulated Double TURN encapsulated Network edge

17 STUN Auth. Metódusok

Minden alkalom után titkosítókulcs csere.

18 Rövidtávú és hosszútávú felhatalmazás STUN (RFC5389) két különbözőt definiál Short-term Credential mechanism Csak rövidtávra: Egyszer használatos. Minden alkalom után titkosítókulcs csere. ICE kapcsolat ellenőrzésre használja Long-term Credential mechanism Nincs meghatározva a felhatalmazás ideje Főként STUN reflexive cím és TURN relay cím igénylésére Felhasználói adatbázis

19 Long Term Credential (Hosszútávú felhatalmazás) Felhasználónév, Jelszó páros / Tartomány (Realm) Origin alapú REALM (draft-ietf-tram-stun-origin) /WebRTC/ Felhasználói adatbázisban HA1 tárolva HA1=MD5( user:example.com:mysecret ) Üzenet integritás ellenőrzőösszeg (SHA1) HMAC(M, MD5( user:example.com:mysecret )) Visszajátszás elleni védelem Alapértelmezett metódus

20 WebRTC problémái az eredeti mechanizmusokkal Long Term Credential A problémák összegezve: draft-reddy-behave-turn-auth A jelszó titokban tartása nehéz a Web App-oknak Üzenet integritás ellenőrzés. Offline szótár támadás ellen nem védett. A szervernek egy jelszó adatbázishoz kell kinyúlnia minden üzenet integritás ellenőrzés esetén. A felhasználónév nem titkosított, lekövethető a felhasználó Short Term Credential (Egy kapcsolatra tervezve) Visszajátszásos támadások ellen védtelen Egyszeri használatra tervezve

21 Time Limited Long Term Credential (Időkorlátozott Hosszútávú felhatalmazás) draft-uberti-rtcweb-turn-rest-00 REST API és STUN/TURN szerver közös titok. Szolgáltató azonosítja magát és a végfelhasználó számára kér és kap hozzáférést. Ezt a web alkalmazás a végfelhasználó böngészőjébe továbbítja. Felhasználó név = egy időbélyeg és egy tetszőleges adat : -al elválasztva.

22 OAuth

23 Proof of Concept

24 coturn Nyílt forrású STUN/TURN implementáció C-ben írt stabil, kis hardver igényű Az IETF TRAM munkacsoport munkáját közelről követi. Támogat többféle adatbázis kezelőt (5) coturn.net - UDP/TCP/TLS/DTLS/SCTP-t támogat a kliens és coturn szerver között TCP/UDP (Relay)

25 GÉANT Teszt AAI: edugain Elosztott NIIF, UNINETT, FCT/FCCN Legközelebbi Szerver (GeoIP) Auth metódusok LTC,REST API, OAuth (tervezett)

26 Live Demo:

27 GN4 Symposium Demo WebTut Tanár és Diák Symmetric NAT Tablet és PC Mi történik 1. STUN/TURN nélkül 2. STUN/TURN használatával 3. Ha két végpont egy alhálózatban van

28 A gyakorlatban

29 WebRTC

30 WebRTC esete a Tűzfalátjárással

31 WebRTC WebRTC transport draft ICE támogatás kötelező 10% 2% 7% 13% ICE a STUN/TURN szolgáltatásra épül Direkt STUN/NAT TURN/UDP TURN/TCP TURN/TLS WebRTC minden böngészőben WebRTC nem csak web Mobil, Natív alkalmazások WebRTC nem csak vidkonf 68% Adatok a EC16 előadása alapján

32 Összefoglalás ICE törekszik az E2E valós idejű kommunikációra a szabványos tűzfal átjárást, könnyed IPv6 áttérést WebRTC megköveteli az ICE implementációját A ICE teljes körű működéséhez STUN/TURN szerver szükséges A GÉANT4 PoC szolgáltatás elérhető tesztelésre Intézményi szinten vagy EU vagy Globális szolgáltatás? Leading edge kollaborációs technológiák az NIIF közösség szolgálatában

33 Kérdések? KAPCSOLAT:

Hasonló dokumentumok

VoIP biztonság. BME - TMIT Médiabiztonság feher.gabor@tmit.bme.hu

VoIP biztonság. BME - TMIT Médiabiztonság feher.gabor@tmit.bme.hu VoIP biztonság BME - TMIT Médiabiztonság feher.gabor@tmit.bme.hu VoIP támadások Támadás a VoIP szoftveren keresztül OS támadása Windows és Linux/UNIX alapok - szerverek Hardphone hibák Konfigurációs hibák