Beveiliging en netwerken

Cliqer gebruikt WebRTC (Web Real-Time Communication) om directe of doorgestuurde communicatiekanalen op te zetten tussen het besturingsapparaat van de presentator en de hostcomputer waarop de presentatiesoftware draait.

WebRTC-technologie in Cliqer

Cliqer gebruikt WebRTC via de native RTCPeerConnection van de browser voor realtime communicatie tussen apparaten.

Componenten die Cliqer gebruikt:

• RTCPeerConnection: Zet de verbinding tussen het host- en het presentatorapparaat op en beheert deze.
• RTCDataChannel: Verstuurt besturingssignalen (volgende dia, vorige dia, coördinaten van de laserpointer) met lage latentie.
• Signalering: Cliqer gebruikt WebSocket-signalering via wss://cliqer.io/ws om verbindingsmetadata uit te wisselen voordat de WebRTC-peerverbinding tot stand komt.

Beveiliging

1. Versleutelde communicatie:
   • Beveiliging van de signaleringsserver: Alle verbindingen met de signaleringsserver van Cliqer gebruiken HTTPS/WSS (WebSocket Secure).
   • WebRTC-versleuteling: Datakanalen zijn beveiligd met DTLS (Datagram Transport Layer Security). Mediastreams (indien gebruikt) worden versleuteld via SRTP (Secure Real-time Transport Protocol).
   • Besturingssignalen zijn onderweg versleuteld. Via WebRTC gaan ze rechtstreeks tussen de apparaten, of via een TURN-relay die de versleutelde pakketten doorstuurt en ze niet kan ontsleutelen. Lukt geen van beide verbindingen, dan sturen onze servers ze door via de met TLS beveiligde WebSocket-verbinding, zonder ze op te slaan.
2. App-machtigingen:
   macOSWindows

   Cliqer vraagt uitdrukkelijke toestemming van de gebruiker voor Toegankelijkheid en Automatisering (Systeeminstellingen > Privacy en beveiliging).

   • Toegankelijkheid: Nodig om toetsaanslagen en muisgebeurtenissen naar presentatiesoftware te sturen.
   • Automatisering: Nodig om System Events en presentatieapps rechtstreeks te besturen.
3. Beveiligde links: Presentatorlinks worden cryptografisch gegenereerd en zijn aan één sessie gebonden. Behandel deze links als gevoelige informatie.
4. Software-updates: Houd Cliqer, je besturingssysteem en je presentatiesoftware up-to-date voor de nieuwste beveiligingspatches.

Netwerken en poorten

1. Internetverbinding: Zowel het host- als het presentatorapparaat heeft een stabiele internetverbinding nodig.
2. Firewallconfiguratie:
   • Cliqer heeft uitgaande verbindingen nodig met signalerings- en STUN/TURN-servers.
   • Windows Defender of firewalls van derden moeten Cliqer netwerktoegang geven.
3. STUN/TURN-servers:
   Cliqer gebruikt de volgende servers voor NAT-traversal. Sta uitgaand verkeer naar deze hosts toe:

   Rol	URL	Poort	Protocol	Doel
   STUN	stun:stun.cloudflare.com	3478	UDP	Openbaar IP-adres achterhalen
   TURN	turn:turn.cloudflare.com	3478	UDP/TCP	Relay als terugvaloptie
   TURNS	turns:turn.cloudflare.com	5349	TLS/TCP	Beveiligde relay als terugvaloptie
   TURNS	turns:turn.cloudflare.com	443	TLS/TCP	Beveiligde relay op afgeschermde netwerken die alleen 443 toestaan

   
   TURN-inloggegevens worden per sessie aangemaakt met een TTL van 24 uur en automatisch vernieuwd.
4. Dynamische UDP-poorten: WebRTC gebruikt dynamische UDP-poorten voor gegevensuitwisseling. Restrictieve firewalls die UDP-verkeer blokkeren, dwingen verbindingen via TURN-servers over TCP.
5. Geen inkomende port forwarding nodig: Cliqer zet zelf uitgaande verbindingen op naar signalerings- en relayservers. Je hoeft geen inkomende port forwarding in te stellen.