WebRTC 的 SDP 是否应该为安全通信私有？

Question

SDP 中有 ice-ufrag 和 ice-pwd 参数，但如果我可以确保 SDP 提议/答案未被修改（使用以数字签名为例）？

用例是 P2P 系统，我有另一方的公钥，并希望确保我真正安全地连接到它。然而，对方没有我的公钥，也不在乎我是谁。

WebRTC 和相关规范太大，所以我还没有找到这个问题的明确答案（到处都建议使用 HTTPS，但除此之外不多），我也没有找到任何考虑 WebRTC 安全性的文章观点看法。希望有深入 WebRTC 知识的人可以澄清这个问题。

这个问题被标记为可能重复的问题不包括任何 SDP 来源证明（以数字签名或其他方式），这就是为什么这个问题是独一无二的。

Answer 1

绝对！虽然 WebRTC 保护其数据通信，但 SDP 是给您打电话的免费票。

如果您不保护您的信令通道，那么您最终可能会与攻击者进行完全安全的通话，而攻击者会在您不知情的情况下将数据包转发给您的预期呼叫接收者。

这是Man-in-the-middle attack 的变体。请参阅security.stackexchange.com 了解更多信息。