¶ Введение
DION в облачном и гибридном режимах работы передает данные через потенциально уязвимую для атак сеть интернет.
В случае использования DION как полностью облачного сервиса обмен данными происходит между облаком DION и клиентским приложением. При этом передается как управляющая информация, так и медиа-трафик.
Набор данных, передаваемых в облако, отличается при гибридном внедрении. Медиа-данные замкнуты в контуре организации.
В данном документе описаны аспекты шифрования данных при передаче и хранении.
¶ Между клиентским приложением и сервисами DION
Существует три типа клиентских приложений DION:
- Web приложение, представляет собой Single Page Application, опубликованное в интернете по адресу https://dion.vc/;
- Desktop приложение, представляет собой приложение на базе Electron и Web-приложения;
- Мобильные приложения для iOS и Android.
¶ Используемые протоколы
Для взаимодействия с сервисами DION клиентские приложения используют следующие протоколы:
- HTTP API (REST) и gRPC для синхронных запросов по управлению различными ресурсами и сервисами (например профиль пользователя, конференции, чаты и т.д.);
- WebSocket для получения уведомлений от backend сервисов Dion при изменении состояния ресурсов, которое инициировано внешним воздействием (например, уведомления о включении микрофона в конференции, уведомление о новом сообщении в чате и т.д.);
- WebRTC для отправки и получения медиаконтента конференций (аудио и видео потоки);
- Push сообщения для отображения Push уведомлений на мобильных устройствах.
¶ HTTPS и WebSocket
Шифрование HTTP трафика, включая WebSocket, производится с помощью TLS 1.2 и выше. Подробный актуальный аналитический отчет от компании Qualys.Inc можно скачать по ссылке.
Для HTTP трафика сервиса чатов дополнительно производится шифрование на прикладном уровне. Шифрование выполняется симметричным AES-256 GCM ключом, который формируется для каждой сессии пользователя между клиентским приложением и backend сервисом чатов Dion по алгоритму ECDH на эллиптической кривой NIST P-256. Уникальный ключ актуален только для текущей сессии.
¶ WebRTC
Сигнализация (signalling) для WebRTC соединений построена на базе WebSocket подключений (см.выше).
Медиа трафик передается с использованием следующих протоколов:
- DTLS для установки соединения до медиа серверов Dion;
- SRTP для передачи аудио и видео потоков.
¶ PUSH сообщения
Push сообщения DION отправляются через внешние сервисы доставки APNS и FCM. Отправка сообщений во внешний сервис доставки push-сообщений производится по HTTPS протоколу с TLS 1.2+ шифрованием.
Подробные отчеты TLS:
- APNS: https://www.ssllabs.com/ssltest/analyze.html?d=api.push.apple.com
- FCM: https://www.ssllabs.com/ssltest/analyze.html?d=fcm.googleapis.com
¶ Между SIP терминалом и сервисами DION
SIP терминалы могут звонить в конференции DION по протоколу SIP. Соединение может производиться через УпАТС или напрямую. Для упрощения на схеме отображено непосредственно само устройство, обозначающее всю SIP-инфраструктуру на пути следования звонка.
SIP звонки используют следующие протоколы:
- SIP для установления связи до DION SIP Server (трафик по данныму протоколу не шифруется)
- RTP для передачи медиатрафика до DION SIP Server (трафик по данныму протоколу не шифруется)
- HTTPS, WSS для передачи сигнального трафика от SIP Server к backend сервисам DION
- SRTP для передачи медиатрафика от SIP Server к медиа-серверам DION
Существуют два варианта размещения SIP Server: в облаке DION (стандартный вариант) и в гибриде (в контуре организации).
При гибридном размещении SIP server незащищенный трафик не покидает сеть организации.
¶ Между DION и внешними сервисами
Для внешних сервисов Dion предоставляет HTTP REST API. Шифрование трафика при взаимодействии внешних сервисов через этот API производится аналогично взаимодействию с клиентскими приложениями с помощью TLS 1.2+.
¶ Хранение данных
В продуктах Dion используются следующие системы хранения данных:
- PostgreSQL - для хранения реляционных данных;
- S3 - для хранения файлов, например пересылаемых в чатах, содержащих записи встреч и т.д.;
¶ PostgreSQL
Данные в БД PostgreSQL шифруются следующим образом:
- Данные чатов шифруются симметричным ключом по алгоритму AES-256 GCM, управление ключами производится в сервисе KMS, расположенным в облаке DION. Для каждой организации формируется уникальный ключ шифрования.
- Данные облачного видеопортала шифруются симметричным ключом по алгоритму AES-256 GCM.
- Данные видеопортала в гибридном варианте шифруются симметричным ключом по алгоритму AES-256 GCM, управление ключами производится во внешнем Hashicorp Vault, который предоставляется Заказчиком.
- название и описание видео записей;
- название и описание видео каналов;
- комментарии;
- теги;
- название плейлистов;
- ключи шифрования файлов в S3.
¶ S3
Взаимодействие с объектным хранилищем осуществляется по S3 совместимому интерфейсу на базе протокола HTTP с шифрованием TLS 1.2+. Данные дополнительно шифруются симметричным шифром AES-256 GCM. Для видео в формате HLS используется AES-128.