Комуникация и сигурност на преноса

Преглед и обяснение

Как да тълкувате защитата на връзката

HTTPS и WSS използват TLS за защита на конкретна връзка. Удостоверяването установява кой се свързва, а правата определят какво може да прави. Ако прокси сървър прекратява TLS и препраща заявката по HTTP, следващият участък вече не е защитен от същата TLS връзка. По същия начин HTTPS в административния интерфейс не доказва, че отделната Connector връзка е криптирана.

Системата използва няколко комуникационни пътя. Получаването на конфигурация, изтеглянето на файл, изпращането на управляващо съобщение и подаването на отчет са отделни операции. Затова защитата е описана за всеки участък от връзката.

Достъп до административния интерфейс

• Браузър и прокси сървър: При използване на HTTPS TLS защитава комуникацията между браузъра и входния прокси сървър.
• Сертификати: Операторът на услугата управлява сертификатите; обикновените потребители не трябва да ги получават или инсталират.
• Вътрешен пренос: При описаната конфигурация на портала HTTPS връзката завършва в HAProxy. Прокси сървърът препраща заявките към вътрешните уеб услуги по HTTP в мрежата на хоста. Следователно TLS защитата не достига до процеса на приложението.
• Пренасочване към HTTPS: Предоставената конфигурация не прилага еднаква политика за пренасочване от HTTP към HTTPS към всички домейни на портала и партньорите.

Връзки за конфигурация, медийни файлове и управление

• Конфигурация и плейлист: Runtime изисква конфигурация, дефиниции на приложения и плейлисти от портала.
• Медийни файлове и икони: Изтегля медийни файлове от файловата услуга и икони от услугата за икони. Предоставените скриптове за стартиране в продукционна среда използват HTTPS адреси за портала и файловете.
• Управляваща връзка: Connector инициира връзката със сървъра за съобщения. По нея се предават управляващи съобщения, заявки за преглед и други операции. Отговорите могат да се предават в обратна посока по установената връзка.
• Пренос на Connector: Прегледаният клиентски код на Connector и скриптът му за стартиране в продукционна среда използват WebSocket на порт 80 без активиран TLS. Тази връзка не може да бъде определена като потвърдена WSS връзка или като изцяло криптиран пренос.
• Отдалечен преглед в администрацията: За разлика от него административният клиент изрично използва WSS за отдалечени прегледи. Това са различни клиенти.

Удостоверяването на връзката, кодирането на съобщенията и криптирането на преноса изпълняват различни задачи. Данните за удостоверяване на приложението не заместват TLS, а двоичният формат на съобщенията сам по себе си не криптира данните.

Комуникация между приложенията на плейъра

• Отчети: Runtime изпраща отчети към Connector чрез локалния му интерфейс. Connector ги препраща към услугата за съобщения, откъдето услугата за отчети ги обработва.
• Актуализации: Updater получава локална заявка за актуализация и се свързва с файловата услуга за изтегляне на пакети.

Локалните интерфейси са отделни от портовете, необходими за достъп до облачните услуги. Мрежовите интерфейси, на които слушат, и правилата на защитната стена определят дали са достъпни и от мрежата на клиента.

Определянето на интерфейс като локален API не означава, че той е ограничен до localhost.

Външни услуги и достъп до интернет

• Прогноза за времето: Плейърът получава прогнози за времето от api.met.no по HTTPS, като използва координатите, зададени за устройството.
• Уеб приложения и RSS: Уеб приложенията могат да се свързват с други домейни; RSS и другите функции за данни имат собствени източници.

Мрежовите правила трябва да следват комуникационната матрица за използваните услуги и домейни. Това, че устройството инициира изходящи връзки, не доказва, че няма услуги, които слушат за входящи връзки. SSH и сервизните портове не са автоматично необходими за обичайната работа при клиента.

Мрежови връзки, протоколи и портове

Стрелката в първата колона показва инициатора на връзката; данните могат да се предават в двете посоки. Портовете използват TCP, освен ако не е посочено друго. Таблицата разграничава описаните настройки от конфигурируемите пътища.

Използването на HTTPS в един участък от пътя не криптира автоматично целия пренос.

Изисквания за интернет връзка и мрежов достъп

Устройството се нуждае от изходящ достъп до използваните услуги и работещо DNS разрешаване. Вашият доставчик на софтуер предоставя точните целеви домейни и евентуалните различни портове, използвани във вашето внедряване.

• TCP 443 и TCP 80: в описаната конфигурация порталът, медийните файлове и иконите използват HTTPS на порт 443. Connector инициира управляващата си връзка чрез WebSocket (WS) на порт 80, затова разрешаването само на порт 443 не е достатъчно. Тази WS връзка не е защитена с TLS.
• Външно съдържание: прогнозата за времето изисква HTTPS достъп до api.met.no:443. Вградените уеб страници може да се нуждаят от други домейни и портове, посочени в адресите им, обикновено HTTP 80 или HTTPS 443. RSS източниците се получават от съответната сървърна услуга.
• Локални и сервизни портове: портове 8880, 8888, 4444 и SSH 22 не изискват входящ достъп от интернет за нормална работа. Достъпът от локалната мрежа и условията за обслужване се уреждат отделно.

Външни услуги

MET Norway — Locationforecast: плейърът инициира HTTPS/TCP 443 заявки към api.met.no, като изпраща географска ширина и дължина за получаване на прогнози за динамичните визуални материали. Порталът използва отделен път при експортиране на плейлисти в PDF. Други източници са уеб страници и RSS емисии, конфигурирани за съдържанието.

За използването на метеорологични данни при избора на визуални материали за кампании вижте Насочване според времето