RFC 7065 - 4. Security Considerations

4. Sicherheitsaspekte (Security Considerations)

Sicherheitsaspekte des Auflösungsmechanismus werden in Abschnitt 5 von [RFC5928] erörtert. Dieser Abschnitt enthält normativen Text, der Authentifizierungsverfahren definiert, die turn-Clients bei TLS-Nutzung befolgen müssen.

Die URI-Schemata „turn“ und „turns“ führen über die in [RFC3986] behandelten Sicherheitsaspekte hinaus keine spezifischen neuen Sicherheitsprobleme ein.

Obwohl eine „turn“- oder „turns“-URI selbst keinen Benutzernamen oder das Passwort für die TURN-Client-Authentifizierung enthält, werden in Umgebungen wie WebRTC Benutzername und Passwort fast sicher gleichzeitig mit einer „turns“-URI von einem externen Agenten remote bereitgestellt. Würden Benutzername und Passwort in solchen Fällen im Klartext empfangen, brächte die Nutzung einer „turns“-URI wenig oder keinen Vorteil. Ein TURN-Client MUSS daher sicherstellen, dass Benutzername, Passwort, „turns“-URI und alle anderen sicherheitsrelevanten Parameter vor Verwendung der „turns“-URI mit gleichwertiger Sicherheit empfangen werden. Der Empfang über eine weitere TLS-Sitzung kann das angemessene Sicherheitsniveau bieten, wenn beide TLS-Sitzungen vergleichbar parametriert sind, z. B. mit Cipher Suites vergleichbarer Stärke.