אבטחה ורשתות

Cliqer משתמש ב-WebRTC (Web Real-Time Communication) כדי ליצור ערוצי תקשורת, ישירים או דרך ממסר, בין מכשיר השליטה של המציג לבין המחשב המארח שמריץ את תוכנת המצגות.

טכנולוגיית WebRTC ב-Cliqer

Cliqer משתמש ב-WebRTC באמצעות RTCPeerConnection המובנה בדפדפן כדי לאפשר תקשורת בזמן אמת בין מכשירים.

הרכיבים ש-Cliqer משתמש בהם:

• RTCPeerConnection: יוצר ומנהל את החיבור בין המכשיר המארח לבין המכשיר של המציג.
• RTCDataChannel: שולח אותות שליטה (השקופית הבאה, השקופית הקודמת, הקואורדינטות של מצביע הלייזר) בהשהיה נמוכה.
• איתות (Signalling): Cliqer משתמש באיתות WebSocket דרך wss://cliqer.io/ws כדי להחליף מטא-נתונים של החיבור לפני יצירת חיבור העמיתים של WebRTC.

אבטחה

1. תקשורת מוצפנת:
   • אבטחת שרת האיתות: כל החיבורים לשרת האיתות של Cliqer משתמשים ב-HTTPS/WSS (WebSocket Secure).
   • הצפנת WebRTC: ערוצי הנתונים מאובטחים באמצעות DTLS (Datagram Transport Layer Security). זרמי מדיה (כשנעשה בהם שימוש) מוצפנים באמצעות SRTP (Secure Real-time Transport Protocol).
   • אותות השליטה מוצפנים במעבר. ב-WebRTC הם עוברים ישירות בין המכשירים, או דרך ממסר TURN שמעביר את החבילות המוצפנות ואינו יכול לפענח אותן. אם אף אחד מהחיבורים האלה לא מתאפשר, השרתים שלנו מעבירים אותם דרך חיבור ה-WebSocket המוגן ב-TLS ואינם שומרים אותם.
2. הרשאות אפליקציה:
   macOSWindows

   Cliqer דורש הסכמה מפורשת של המשתמש להרשאות נגישות ואוטומציה (הגדרות המערכת > פרטיות ואבטחה).

   • נגישות: נדרשת לשליחת הקשות מקלדת ואירועי עכבר לתוכנת המצגות.
   • אוטומציה: נדרשת לשליטה ישירה ב-System Events ובאפליקציות המצגות.
3. קישורים מאובטחים: קישורי המציג נוצרים באופן קריפטוגרפי וייחודיים לכל הפעלה. יש להתייחס לקישורים האלה כמידע רגיש.
4. עדכוני תוכנה: יש להקפיד לעדכן את Cliqer, את מערכת ההפעלה ואת תוכנת המצגות כדי לקבל תיקוני אבטחה.

רשתות ויציאות

1. חיבור לאינטרנט: גם המכשיר המארח וגם המכשיר של המציג זקוקים לחיבור אינטרנט יציב.
2. הגדרת חומת האש:
   • Cliqer דורש חיבורים יוצאים לשרתי האיתות ולשרתי STUN/TURN.
   • Windows Defender או חומות אש של צד שלישי חייבים לאפשר ל-Cliqer גישה לרשת.
3. שרתי STUN/TURN:
   Cliqer משתמש בשרתים הבאים למעבר NAT (NAT traversal). יש לאפשר תעבורה יוצאת למארחים האלה:

   תפקיד	כתובת URL	יציאה	פרוטוקול	מטרה
   STUN	stun:stun.cloudflare.com	3478	UDP	גילוי כתובת IP ציבורית
   TURN	turn:turn.cloudflare.com	3478	UDP/TCP	ממסר גיבוי
   TURNS	turns:turn.cloudflare.com	5349	TLS/TCP	ממסר גיבוי מאובטח
   TURNS	turns:turn.cloudflare.com	443	TLS/TCP	ממסר מאובטח ברשתות נעולות שמאפשרות רק את יציאה 443

   
   פרטי ההתחברות ל-TURN נוצרים לכל הפעלה עם TTL של 24 שעות ומתחלפים אוטומטית.
4. יציאות UDP דינמיות: WebRTC משתמש ביציאות UDP דינמיות להחלפת נתונים. חומות אש מגבילות שחוסמות תעבורת UDP מאלצות את החיבורים לעבור דרך שרתי TURN על גבי TCP.
5. אין צורך בהעברת יציאות נכנסות: Cliqer יוזם חיבורים יוצאים לשרתי האיתות ולשרתי הממסר. אין צורך להגדיר העברת יציאות נכנסות (port forwarding).