Criptografia avançada de fluxo de mídia (AES-256)

Por padrão, os fluxos de mídia que passam pela plataforma da Vonage são criptografados usando AES-128. Em sessões roteadas, a mídia é criptografada entre todos os clientes e o servidor de mídia. Em sessões retransmitidas, a mídia é criptografada entre cada par de clientes.

Para maior segurança, o AES-256 recurso adicional oferece criptografia no padrão AES-256 para transmissões de mídia.

Importante: Esse recurso está disponível como um recurso adicional.

Com o recurso adicional AES-256 ativado, quando um cliente se conecta a um Media Router ou a outro cliente, o algoritmo de criptografia a ser utilizado será negociado. Se o cliente for compatível com AES-256, essa será a cifra negociada para o tráfego de mídia. Se o cliente não for compatível, será utilizado o AES-128. No caso de sessões retransmitidas, ambos os clientes devem ser compatíveis com AES-256; caso contrário, eles recorrerão ao AES-128.

Depois que você habilitar o complemento de criptografia AES-256, esse recurso será ativado automaticamente para todos os projetos da sua Account.

Importante: Para garantir que o AES-256 seja utilizado, recomenda-se configurar as sessões para usar o Media Router (sessões com o modo de mídia (configurado como “routed”). Em sessões retransmitidas, o Chrome, o Firefox, o Opera, o Samsung Internet, o WebView do Android, o WebView no iOS e o Edge baseado no Chromium priorizam o AES-128 durante a negociação da cifra DTLS SRTP; portanto, os fluxos enviados por esses navegadores usarão o AES-128.

Em sessões retransmitidas, se o AES-256 estiver habilitado para o seu projeto, os SDKs do cliente da Video API para Android, iOS, Windows e Linux priorizam os algoritmos de criptografia AES de 256 bits durante a negociação. No entanto, em sessões retransmitidas, os navegadores da web usarão o AES-128.

Suporte à criptografia em clientes SDK

O AES-256 é compatível (além do AES-128) em cada um dos SDKs de cliente (versão 2.18 e posteriores). Os SDKs de cliente para Android, iOS, Windows e Linux oferecem suporte à criptografia AES-256. No entanto, para aplicativos web que utilizam o OpenTok.js, o AES-256 não é compatível com todos os navegadores. As versões mais recentes dos seguintes navegadores oferecem suporte ao AES-256:

Chrome 62 ou superior
Firefox 56 ou superior
Edge, baseado no Chromium
Ópera
Samsung Internet
Safari 15.4 ou superior

Observações importantes:

O Safari não oferece suporte às cifras AES GCM e, portanto, recorrerá ao AES-128 (consulte esse relatório de bug do WebKit).
Mesmo nas versões do Firefox e do Chrome que oferecem suporte ao AES-256, em sessões retransmitidas esses navegadores priorizam o AES-128 durante a negociação da cifra DTLS SRTP, o que resulta no uso do AES-128. Por esse motivo, recomendamos que você configure as sessões para usar o Media Router (sessões com o modo de mídia (definido como “routed”) para garantir a criptografia AES-256 nos navegadores compatíveis.

Perguntas frequentes

O que é o recurso de criptografia AES-256?

A criptografia AES-256 é um nível mais avançado de criptografia de mídia que pode ser usado com os fluxos de mídia da Video API da Vonage. Por padrão, os fluxos de mídia da Video API da Vonage utilizam AES-128, oferecendo os algoritmos de criptografia AEAD_AES_128_GCM e AES_CM_128_HMAC_SHA1_80 para garantir a máxima conectividade. O recurso de criptografia AES-256 bits faz com que os fluxos de mídia utilizem criptografia de 256 bits, com uma opção de fallback para AES-128. Esse recurso está disponível como um recurso adicional.

A criptografia AES de 256 bits pode ser usada para sessões retransmitidas e roteadas?

Sim, porém, no caso de sessões retransmitidas, essa capacidade é determinada pela ordem de prioridade das cifras utilizadas durante a negociação DTLS-SRTP habilitada na implementação do navegador. Para garantir o uso do AES-256, recomenda-se fortemente o uso de sessões roteadas.

Em sessões roteadas, a mídia é criptografada entre todos os clientes e o servidor de mídia da Vonage. Se o AES-256 estiver habilitado para o seu projeto, o Vonage Media Router negociará com cifras AES-256 para direcionar a negociação de criptografia de 256 bits para o tráfego de mídia de todos os clientes conectados ao servidor de mídia. (No entanto, o Safari não oferece suporte à criptografia AES-256.)

Em sessões retransmitidas, os dados são criptografados entre cada par de clientes. No caso de sessões retransmitidas, ambos os clientes devem oferecer suporte e priorizar o AES-256 durante a negociação do DTLS-SRTP; caso contrário, eles recorrerão ao AES-128. Se o AES-256 estiver habilitado para o seu projeto, os SDKs de cliente para Android, iOS, Windows e Linux priorizarão a cifra de criptografia AES de 256 bits e não negociarão o SRTP_AES128_CM_SHA1_80.

Consequentemente, se o AES-256 estiver habilitado, a configuração de mídia de retransmissão entre SDKs nativos e terminais que não suportam cifras GCM, como versões do Safari anteriores à 15.4, falhará. No entanto, para navegadores (que utilizam o OpenTok.js), a capacidade é determinada pela ordem de prioridade das cifras habilitadas na implementação do navegador, que atualmente não pode ser modificada, uma vez que não existe uma API WebRTC padrão para gerenciar a ordem de prioridade das cifras. Em sessões retransmitidas, o Chrome, o Firefox, o Opera, o Samsung Internet, o WebView para Android, o WebView para iOS e o Edge baseado no Chromium priorizam o AES-128 durante a negociação da cifra DTLS SRTP; portanto, os fluxos enviados por esses navegadores usarão o AES-128 em sessões retransmitidas. Além disso, o Safari não oferece suporte ao AES-256.

A criptografia de 256 bits é compatível caso o tráfego de mídia seja roteado por meio de um servidor TURN?

Sim. A criptografia de mídia é um protocolo de segurança de ponta a ponta que utiliza DTLS-SRTP e não seria afetada pelo roteamento por meio de um servidor TURN. Em sessões retransmitidas, a criptografia de mídia ocorre de cliente para cliente. Em sessões roteadas, a criptografia de mídia é negociada entre o cliente e o servidor de mídia.