Cloudflare внедрила сквозное шифрование (E2EE) в свое приложение для видеозвонков Orange Meets и открыла исходный код решения для обеспечения прозрачности.
Приложение доступно с прошлого года, когда интернет-гигант запустил его в качестве демоверсии для Cloudflare Calls (теперь Realtime).
Благодаря и решению различных проблем доверия и проверки пользователи, заинтересованные в надежных криптографических гарантиях, могут рассмотреть Orange Meets в качестве основы для защищенных видеозвонков в контексте исследований или создания прототипов.
Проектирование шифрования E2EE
Orange Meets реализует сквозное шифрование с использованием Messaging Layer Security (MLS), протокола группового обмена ключами, стандартизированного IETF.
Реализация MLS на базе Rust в Orange Meets обеспечивает непрерывное групповое согласование ключей, что поддерживает безопасный обмен групповыми ключами, прямую секретность, безопасность после компрометации и масштабируемость.
Шифрование полностью выполняется на стороне клиента с использованием WebRTC, поэтому Cloudflare или Selective Forwarding Unit (SFU) выступают в качестве посредников при пересылке, не имеющих доступа к конфиденциальным данным связи.
Источник: Cloudflare
Cloudflare «Алгоритм назначенного коммиттера», который безопасно обрабатывает динамические изменения членства в группах (присоединение/выход пользователя из видеозвонка).
Эта система фактически назначает конкретного участника в качестве стороны, которая управляет обновлениями MLS полностью на стороне клиента, автоматически выбирая нового назначенного коммиттера на основе состояния группы.
Источник: Cloudflare
Наконец, в каждом сеансе видеоконференции отображается «число безопасности», представляющее криптографическое состояние группы, которое участникам предлагается проверить за пределами платформы.
Это предотвращает атаки «Монстр посередине» (MitM), когда вредоносный сервер подменяет ключевой материал.
Cloudflare формально смоделировала алгоритм Designated Commiter в TLA+, языке спецификаций, используемом для математической проверки того, что протокол ведет себя правильно при всех возможных условиях, тем самым выявляя едва заметные ошибки в пограничных случаях.
При всем этом важно подчеркнуть, что Orange Meets — это скорее техническая демонстрация и прототип с открытым исходным кодом, чем отточенный потребительский продукт.
Он не столь многофункционален и удобен в использовании, как Zoom, Google Meet, Signal или Microsoft Teams, и пока не прошел тщательный аудит и боевые испытания.
Инструмент Cloudflare больше ориентирован на разработчиков, интересующихся интеграцией MLS и криптографией, а также на энтузиастов конфиденциальности и любопытных пользователей, которые хотят повозиться с видеозвонками E2EE с открытым исходным кодом. Он также подходит для исследователей или инженеров, оценивающих реализации MLS.
Для тестирования и использования Orange Meets не требуется установка, поскольку демонстрационная версия .
Кроме того, пользователи могут настроить свой собственный экземпляр, используя исходный код, доступный в этом .
