⚠️ Veuillez noter que cet article a été traduit automatiquement.
La sécurité est probablement le sujet le plus important en ce qui concerne les plateformes de communication basées sur Internet. Pour Aircall, la sécurité est synonyme de confiance. Sans une sécurité suffisante et une participation active à la protection de la vie privée de nos clients, il ne peut y avoir d'avenir pour Aircall en tant qu'entreprise.
Heureusement, ce sujet est déjà bien couvert, grâce aux technologies sous-jacentes utilisées dans le cadre de la plateforme Aircall.
Sécurité WebRTC
Le WebRTC a été conçu avec pour coeur la sécurité Lors d'une connexion peer-to-peer, qui représente plus de 80 % de tous les appels Aircall (véritable post-activation du support du serveur TURN dans Aircall), cette connexion est d'abord négociée avec un serveur média central utilisant une connexion Web Socket cryptée. Cette connexion permet simplement d'identifier l'internaute concerné par l'appel, qu’il s’agisse d’un appel entrant ou sortant, de sorte que très peu d'informations sont envoyées. Toutefois, la connexion Web Socket peut être perçue comme similaire à une transaction sécurisée sur le web, comme celle qui peut avoir lieu sur un site de e-commerce.
Une fois l'appel déterminé, le moteur WebRTC du navigateur négocie l'appel vocal réel avec le serveur média. Ici, un échange crypté est utilisé, la clé de cryptage n'étant jamais rendue publique, y compris pour l'application Aircall elle-même. Une fois établi, le débit vocal est alors sécurisé par le SRTP (Secure Real-Time Protocol) dans les données de l'appel et le DTLS (Datagram Transport Layer Security) avec les paquets réellement envoyés. À aucun moment, il n'est possible pour quiconque d’ intercepter les données de l'appel entre l'appelant et le récepteur en utilisant le navigateur et le serveur de médias.

Sécurité de WebRTC avec TURN
Les 20 % restants des appels provenant du navigateur (une fois que TURN est activé) utilisant le produit Aircall utiliseront un serveur TURN. TURN est une technologie de proxy qui améliore le succès des connexions d'appel. Toute connexion nécessitant TURN n'est pas considérée comme un véritable peer-to-peer puisqu'une couche intermédiaire est utilisée. Cependant, comme les mesures de sécurité ci-dessus sont également appliquées, la connexion du navigateur au serveur TURN est la même.
Il faut tenir compte des données d'appel qui quittent le serveur TURN et se dirigent vers le serveur de médias. Dans de nombreux cas, cela ne pose pas de problème, car les données transportées sont toujours cryptées via SRTP, mais il est possible que les données aient été affectées par un tiers au sein du serveur TURN si ce serveur n'est pas fiable.
Note : Les données ne doivent pas être compromises sans les données de cryptage envoyées dans la signalisation, de sorte que même les données passant par un serveur TURN tiers doivent être sûres.
Dans le cas d'Aircall, non seulement les serveurs TURN sont connus et fiables, mais ils se trouvent également aux côtés du serveur média dans le même centre de données. Cela augmente la sécurité de manière exponentielle, ne laissant aucune place aux vulnérabilités de sécurité des tiers.

Doutes récents concernant la sécurité de Zoom
Les récents problèmes de sécurité de la plateforme Zoom ont suscité de nombreuses inquiétudes concernant les plateformes d'appel vidéo et vocal. Le problème avec ces plates-formes concerne souvent la logique de la couche applicative du système. Avec Zoom, des rumeurs se sont répandues selon lesquelles les clés de cryptage des utilisateurs ont été transmises à des tiers, ce qui a rendu leur plate-forme vulnérable. Avec Aircall, ce n'est pas possible, car le cryptage est géré de manière assez différente par le moteur WebRTC lui-même. WebRTC est une norme ouverte et soumise à l'examen de tous, contrairement au standard propriétaire de Zoom, qui est inconnu.
Zoom utilise également un MCU (Multipoint Control Unit) qui combine les données média de plusieurs sources en une seule, avant de les transmettre aux utilisateurs participants. C'est cette même technologie qui permet d'ajouter des arrière-plans dynamiques aux flux vidéo des participants. Dans ce scénario, la logique utilisée pour déterminer les participants d'un flux et les données qui sont sélectivement transmises à d'autres utilisateurs est à la merci de la logique applicative de Zoom. Cette logique peut être défectueuse, permettant à des utilisateurs non invités d'intercepter et de visualiser ces flux. En revanche, Aircall ne dispose pas d'une telle faille de sécurité, puisque les appels se font toujours entre deux utilisateurs et selon des paramètres connus et ininterrompus, déterminés par des normes ouvertes.
Le serveur de médias d'Aircall est-il une source d'inquiétude ?
Puisque les problèmes de sécurité entourant Zoom sont suspects, est-ce également vrai pour Aircall, puisqu'un serveur de médias est mis en place ? Heureusement, non.
Le serveur média utilisé par Aircall est un serveur de transcodage. Il est nécessaire de convertir les données Opus / G.711 basées sur le Web d'une connexion WebRTC vers / depuis une connexion de ligne PBX G.711. En dehors du transcodage, le serveur de médias est un peu différent du serveur proxy TURN.
Toute la logique entourant une connexion d'appel est sécurisée entre les deux participants. Comme Aircall ne prend pas en charge les conférences, il n'y a pas de logique d'application propriétaire qui pourrait exposer les appels à des invités non invités, ce qui garantit que tous les appels sont uniquement entre ces deux pairs.