RFC 7065 - 4. Security Considerations

4. Considérations de sécurité

Les considérations de sécurité du mécanisme de résolution sont traitées à la section 5 du [RFC5928]. Cette section contient du texte normatif définissant les procédures d'authentification que les clients turn doivent suivre lorsque TLS est utilisé.

Les schémas d'URI « turn » et « turns » n'introduisent pas de problèmes de sécurité spécifiques au-delà de ceux discutés dans le [RFC3986].

Bien qu'un URI « turn » ou « turns » n'inclue pas en lui-même le nom d'utilisateur ou le mot de passe servant à authentifier le client TURN, dans certains environnements, tels que WebRTC, le nom d'utilisateur et le mot de passe seront presque certainement provisionnés à distance par un agent externe en même temps qu'un URI « turns » est envoyé au client. Dans de telles situations, si le nom d'utilisateur et le mot de passe étaient reçus en clair, l'utilisation d'un URI « turns » apporterait peu ou pas d'avantage. Pour cette raison, un client TURN DOIT s'assurer que le nom d'utilisateur, le mot de passe, l'URI « turns » et tout autre paramètre pertinent pour la sécurité sont reçus avec un niveau de sécurité équivalent avant d'utiliser l'URI « turns ». La réception de ces paramètres sur une autre session TLS peut fournir le niveau de sécurité approprié si les deux sessions TLS sont paramétrées de façon comparable, par exemple avec des suites cryptographiques de force équivalente.