Сетевая идентичность и конфиденциальность WebRTC

Почему WebRTC относится к политике конфиденциальности

WebRTC поддерживает звонки, встречи, живую поддержку и обмен медиа между браузерами. Одновременно он создаёт отдельную поверхность сетевой идентичности. Страница может получить сведения об адресах, выбранных для соединения, а во время сеанса видеть статистику. Эти сведения остаются чувствительными, даже если обычные запросы страницы идут через прокси.

Вопрос не в том, нужно ли удалять WebRTC. Для многих пользователей он необходим для общения. Важно, чтобы сведения WebRTC соответствовали сетевой идентичности, выбранной для контекста. Политика должна явно выбрать режим, объяснить компромисс и сохранять понятную границу конфиденциальности на протяжении сеанса.

BotBrowser предлагает три режима: profile, real и disabled. profile согласует сетевые сведения WebRTC с загруженным профилем. real оставляет сетевую идентичность среды хоста. disabled убирает возможность WebRTC, если рабочему процессу не нужна связь в реальном времени. Выбор зависит от назначения контекста и от границы конфиденциальности, которую организация считает приемлемой.

Политика опирается на минимизацию данных и согласованность адресов кандидатов со статистикой. См. защиту от утечек WebRTC и сетевые функции для связанного контекста.

Что может раскрыть браузер

При подготовке сеанса WebRTC браузер собирает возможные пути для передачи медиа. Запись кандидата может содержать адрес локального интерфейса, связанный публичный маршрут или адрес ретранслятора. Статистика может дать другой вид адресов, участвующих в сеансе. Эти сведения служат разным задачам, но относятся к одной границе конфиденциальности.

Адрес способен связать сеанс с сетью, регионом, организацией или домом. Частный адрес показывает форму локальной сети. Публичный адрес может обозначать выход хоста. Адрес ретранслятора может указывать на сервис или регион. Совокупность таких сведений способна создать устойчивую связь между сеансами.

Обычные запросы страницы и WebRTC связаны, но не обязаны идти по одному маршруту. Прокси может дать запросам страницы одну публичную идентичность, тогда как WebRTC использует другой путь. Поэтому проверка только трафика страницы не описывает всю политику.

Нужно учитывать и доступность. Запрет всей связи уменьшает поверхность раскрытия, но может сломать встречи, поддержку и совместную работу. Сначала определите назначение контекста, затем выберите режим и объясните оставшуюся область видимости.

Три режима

Profile: согласовать выбранную идентичность

profile подходит контексту с определённой сетевой идентичностью. WebRTC остаётся доступным, а сведения об адресах согласуются с этой идентичностью. Кандидаты и статистика должны соответствовать одному выбранному маршруту.

Это подходящий вариант, когда рабочему процессу нужны звонки и предсказуемая граница конфиденциальности. Он сохраняет связь, но не отменяет проверку сетевого провайдера, региона и правил хранения данных. Маршрут должен быть закреплён за контекстом и оставаться понятным.

Главное преимущество profile заключается в согласованности. Запросы, кандидаты и статистика описывают одну сетевую идентичность. Смена прокси, профиля или маршрута должна считаться новым решением, особенно для длительного сеанса.

Real: использовать сеть хоста

real явно выбирает сетевую идентичность, которую предоставляет среда хоста. Это может подойти для локальной разработки, внутренней проверки или связи, которая должна идти через эту сеть. Сам по себе режим не является защитой конфиденциальности. Сеть хоста может быть видна другой стороне или сервису, который получает сведения WebRTC.

Явная запись такого решения лучше неявного поведения. У хоста может быть несколько интерфейсов, меняющийся публичный маршрут или корпоративные правила раскрытия. Организация должна знать владельца сети и понимать, подходит ли её адресная информация этому сеансу.

real также может применяться в разрешённом сеансе поиска причины соединительной проблемы. Такой сеанс должен иметь ответственного, ограниченный срок и запись о намеренном использовании идентичности хоста.

Disabled: убрать ненужную возможность

disabled подходит рабочему процессу без связи в реальном времени. Он уменьшает сведения, доступные странице, но убирает звонки, передачу медиа и другие функции, зависящие от WebRTC.

Это должно быть явным продуктовым решением, а не случайным результатом неисправной среды. Пользователь должен понимать, почему встреча не запускается. Если связь снова потребуется, следует перейти в документированный контекст с profile или real.

У режима есть цена в удобстве. Некоторые страницы меняют поведение при отсутствии связи в реальном времени. Такой компромисс приемлем, когда конфиденциальность важнее связи, но поддержку нужно информировать о выбранной политике.

Почему адреса кандидатов и статистики должны совпадать по смыслу

Два представления могут выглядеть правдоподобно и описывать разные сети. Кандидаты могут показывать один маршрут, а статистика позже другой. Запросы страницы могут идти через прокси, пока канал связи показывает сеть хоста. Профиль может указывать один регион, а наблюдаемый адрес относиться к другому.

Поэтому согласованность является свойством политики. В режиме profile оба представления должны быть совместимы с маршрутом профиля. В режиме real оба следует понимать как сведения сети хоста. В режиме disabled не должно быть возможности WebRTC, создающей такие представления. Целью является не конкретный адрес, а ясная связь между режимом и раскрываемыми данными.

Смена сети, прокси или профиля может изменить маршрут во время сеанса. При таком изменении нужно пересмотреть решение для контекста. Несколько контекстов на одной машине могут иметь разные политики, если у каждого есть отдельное назначение и ответственный.

Практическая модель управления

Назначьте каждому рабочему процессу цель: связь, локальная разработка, внутренняя проверка или чувствительный к приватности просмотр. Запишите, нужен ли WebRTC. Выберите profile, real или disabled и укажите владельца маршрута.

Опишите также ожидаемую связь между кандидатами и статистикой простым правилом: оба представления должны быть совместимы с одной идентичностью. Не храните больше адресных сведений, чем нужно для утверждённой задачи. Доступ к рабочим записям должен подчиняться тем же правилам минимизации, что и доступ к cookie, аккаунтам и состоянию сеанса.

При сопровождении изменения прокси, профиля, интерфейсов или потребности в связи считайте изменением политики. Пользователь, который начинает звонок, должен знать, использует ли контекст маршрут профиля, маршрут хоста или не имеет WebRTC. Понятное сообщение снижает вероятность неуправляемых обходных решений.

Частые вопросы

Прокси автоматически защищает WebRTC?

Нет. Он может контролировать обычные запросы, тогда как WebRTC использует отдельный путь связи. Нужно проверить, сохраняет ли выбранный режим совместимость адресов кандидатов и статистики с ожидаемой идентичностью.

Каждый контекст должен использовать profile?

Нет. profile подходит, когда WebRTC нужен и сетевая идентичность определена. real может соответствовать рабочему процессу хоста, а disabled подходит процессу без связи. Режим должен следовать назначению.

disabled всегда даёт лучшую конфиденциальность?

Он уменьшает одну поверхность, но убирает и законную возможность браузера. Если звонок необходим, документированный контекст profile может быть разумнее неуправляемой альтернативы.

Зачем сравнивать кандидатов и статистику?

Это разные представления связи. Их смысл помогает понять, выражает ли контекст одну сетевую идентичность или смешивает маршруты. Проверка должна проходить в контролируемом процессе и собирать минимум данных.

Что делать при смене сети?

Интерфейс или маршрут могут измениться. Это должно запустить пересмотр политики, чтобы не объединять сведения, относящиеся к разным сетям.

Итог

Конфиденциальность WebRTC является решением о сетевой идентичности. profile, real и disabled дают три понятных варианта. Главное, выбрать режим осознанно и сохранить смысловую совместимость адресов кандидатов и статистики с этой политикой. См. защиту от утечек WebRTC и сетевые функции вместе с документацией рабочего процесса.