安全なリアルタイムトランスポートプロトコル

セキュアリアルタイム トランスポート プロトコル( SRTP ) は、リアルタイム トランスポート プロトコル(RTP)のプロファイルであり、ユニキャストとマルチキャストの両方のアプリケーションで RTP データに暗号化、メッセージ認証と整合性、およびリプレイ攻撃からの保護を提供することを目的としています。これは、 CiscoとEricssonのインターネット プロトコルと暗号化の専門家の小規模チームによって開発されました。これは、2004 年 3 月にIETFによってRFC 3711 として初めて公開されました 。

RTP には、 RTP セッションを制御するために使用されるRTP 制御プロトコル(RTCP) が付属しているため、SRTP には、 Secure RTCP ( SRTCP )と呼ばれる姉妹プロトコルがあり、RTCP が RTP に提供する機能と同じ機能を SRTP に安全に提供します。

RTP または RTCP アプリケーションでは、SRTP または SRTCP の利用はオプションです。ただし、SRTP または SRTCP が使用される場合でも、提供されるすべての機能 (暗号化や認証など) はオプションであり、個別に有効または無効にすることができます。唯一の例外は、SRTCP を使用する際に不可欠で必要なメッセージ認証機能です。

SRTP と SRTCP は、デフォルトの暗号としてAdvanced Encryption Standard (AES) を使用します。AESブロック暗号をストリーム暗号として使用できるようにする2 つの暗号モードが定義されています。

セグメント整数カウンタモード

典型的なカウンター モードでは、任意のブロックへのランダム アクセスが可能であり、パケット損失の可能性がある信頼性の低いネットワーク上で実行される RTP トラフィックに不可欠です。一般的なケースでは、この関数が多数の反復で繰り返されないことを前提として、ほぼすべての関数をカウンターの役割で使用できます。ただし、RTP データの暗号化の標準は、通常の整数増分カウンターです。このモードで実行される AES は、デフォルトの暗号化アルゴリズムであり、デフォルトのキー サイズは 128 ビット、デフォルトのセッションソルト キーの長さは 112 ビットです。

f8モード

出力フィードバック モードのバリエーションで、シーク可能に拡張され、初期化関数が変更されています。暗号化キーとソルト キーの既定値は、カウンター モードの AES と同じです。(このモードで実行される AES は、3G モバイルネットワークで使用するために選択されています。)

AES 暗号の他に、SRTP では、サポートされている代替暗号として考えられる、いわゆるヌル暗号化暗号を使用して、暗号化を完全に無効にすることができます。実際、ヌル暗号化暗号は暗号化を実行しません。暗号化アルゴリズムはID 関数として機能し、入力ストリームを変更せずに出力ストリームにコピーします。この暗号モードは、SRTP 互換システムで実装することが必須です。そのため、SRTP によって保証される機密性の保証が必要ない場合に使用でき、認証やメッセージの整合性などの他の SRTP 機能を使用できます。

SRTP は新しい暗号化アルゴリズムに簡単に対応できますが、SRTP 標準では、新しい暗号化アルゴリズムは、新しいアルゴリズムを明確に定義する新しいコンパニオン標準トラック RFCの公開を通じてのみ導入できると規定されています。

上記の暗号化アルゴリズムだけではメッセージの整合性は確保されません。攻撃者はデータを復号化できませんが、以前に送信されたデータを偽造または再生することは可能です。したがって、SRTP 標準は、データの整合性と再生からの安全性を確保する手段も提供します。

メッセージを認証し、その整合性を保護するために、HMAC-SHA1アルゴリズム^[1]が使用されます。これにより160ビットの結果が生成され、その後80ビットまたは32ビットに切り捨てられ、各パケットに付加される認証タグになります。HMACは、パケットのペイロードとパケットヘッダーの資料（パケットシーケンス番号を含む）に対して計算されます。リプレイ攻撃から保護するために、受信側は以前に受信したメッセージのシーケンス番号を保持し、それらを新しく受信した各メッセージのシーケンス番号と比較し、以前に受信されていない場合にのみ新しいメッセージを受け入れます。このアプローチは、検出されずにシーケンス番号を変更することを不可能にする整合性保護に依存しています。

キー導出関数は、暗号コンテキストで使用されるさまざまなキー (SRTP および SRTCP 暗号化キーとソルト、SRTP および SRTCP 認証キー) を、1 つのマスター キーから暗号的に安全な方法で導出するために使用されます。したがって、キー管理プロトコルは 1 つのマスター キーのみを交換する必要があり、必要なすべてのセッション キーはキー導出関数を適用することによって生成されます。

キー導出関数を定期的に適用すると、攻撃者が単一のセッション キーで暗号化された大量の暗号文を収集するのを防ぐことができます。これにより、大量の暗号文が利用できる場合に実行が容易になる特定の攻撃に対する保護が提供されます。さらに、キー導出関数を複数回適用すると、侵害されたセッション キーが同じマスター キーから派生した他のセッション キーを侵害しないという意味で、前方および後方のセキュリティが提供されます。つまり、攻撃者がセッション キーを復元できたとしても、同じマスター キーから派生した以前のセッション キーとそれ以降のセッション キーで保護されたメッセージを復号化することはできません。(もちろん、漏洩したマスター キーは、そこから派生したすべてのセッション キーを明らかにすることに注意してください。)

SRTP は、初期マスター キーを設定するために外部キー管理プロトコルに依存します。SRTP で使用するために特別に設計された 2 つのプロトコルは、ZRTPとMIKEYです。SRTP キーをネゴシエートする方法は他にもあります。SDES キー交換方法を使用する製品を提供するベンダーはいくつかあります。

• RFC 5764 ではDTLS-SRTPが定義されています。DTLS-SRTP はDTLSプロトコルを使用してマスター キーを配信し、公開キー認証を可能にします。

VoIP ソフトウェアの比較 § SRTP をサポートする電話、サーバー、アプリケーション用の 安全な VoIP ソフトウェアを参照してください。

• アスタリスク（PBX）^{[2] [3]}

何らかのSRTPサポートを備えた既知のブラウザ

• Blink（ブラウザエンジン）ファミリー
• Chromium (ウェブブラウザ) は2016 年から SRTP を試験的にサポートしています (ただし、普遍的ではありません)
• Opera（ウェブブラウザ）
• Vivaldi (ウェブブラウザ)

コアレンダリングシステムからのメインライン更新ブランチにある程度SRTPを備えたWebブラウザファミリ

• Gecko (ソフトウェア)
• MSHTML (廃止されましたが、有効期限切れ時点では最小限のサポートが存在していました)
• ウェブキット

今のところ、テキストベースの Web ブラウザに対する SRTP サポートは存在しません。SRTP は Web ブラウザと組み合わせてVPNで動作するために使用できますが、それを使用している VPN ネットワークは知られていません。

• RFC 3711、提案標準、セキュア リアルタイム トランスポート プロトコル (SRTP)
• RFC 4771、提案標準、セキュア リアルタイム トランスポート プロトコル (SRTP) の整合性変換搬送ロールオーバー カウンタ
• RFC 3551、標準 65、最小限の制御による音声およびビデオ会議の RTP プロファイル
• RFC 3550、標準 64、RTP: リアルタイム アプリケーション用のトランスポート プロトコル
• RFC 2104、情報、HMAC: メッセージ認証のためのキー付きハッシュ
• RFC 7714、提案標準、セキュア リアルタイム トランスポート プロトコル (SRTP) における AES-GCM 認証暗号化