Komunikacija i zaštita prijenosa
Uvod i orijentacija
Saznat ćete ko uspostavlja pojedinu vezu, koje podatke prenosi te koje protokole i portove koristi. Pregled razlikuje šifriranje prijenosa, provjeru identiteta i ovlaštenja za izvršavanje radnje.
Pri određivanju mrežnih pravila razlikujte veze s oblakom, lokalne API-je, vanjski sadržaj i servisni pristup. Dozvoljavanje jednog porta ili šifriranje jednog dijela ne pokriva automatski ostale puteve.
Pregled i objašnjenja
Kako tumačiti zaštitu pojedinačnih veza
HTTPS i WSS štite prijenos TLS-om na konkretnoj vezi. Provjera identiteta utvrđuje ko se povezuje, a ovlaštenja određuju šta smije uraditi. Ako proxy završava TLS vezu i prosljeđuje zahtjev putem HTTP-a, sljedeći dio više nije zaštićen istom TLS vezom. Jednako tako, HTTPS administracije ne potvrđuje da je zasebna veza Connectora šifrirana.
Sistem koristi više komunikacijskih puteva. Dohvat konfiguracije, preuzimanje datoteke, upravljačka poruka i slanje izvještaja zasebne su operacije. Zaštita se zato opisuje za svaki dio veze.
Pristup administracijskom interfejsu
- Preglednik i proxy: Pri pristupu putem HTTPS-a TLS štiti komunikaciju između preglednika i ulaznog proxyja.
- Certifikati: Certifikatima upravlja pružalac usluge; običan korisnik ne treba ih pribavljati ni instalirati.
- Interni prijenos: U dokumentiranoj implementaciji portala HTTPS završava na HAProxyju. Proxy prosljeđuje zahtjeve internim web-servisima putem HTTP-a na mreži hosta. TLS zato ne obuhvata vezu do aplikacijskog procesa.
- Preusmjeravanje na HTTPS: Dostavljena konfiguracija ne primjenjuje jednako preusmjeravanje s HTTP-a na HTTPS za sve domene portala i partnera.
Konfiguracija, mediji i upravljačka veza
- Konfiguracija i playlista: Runtime od portala traži konfiguraciju, definicije aplikacija i playlistu.
- Mediji i ikone: Medijske datoteke preuzima iz datotečnog servisa, a ikone iz servisa za ikone. Dostavljene produkcijske skripte za pokretanje koriste HTTPS adrese za portal i datoteke.
- Upravljačka veza: Connector pokreće vezu s komunikacijskim serverom. Tom se vezom prenose upravljačke poruke, zahtjevi za udaljeni pregled i druge radnje. Odgovori se mogu vraćati u suprotnom smjeru preko već uspostavljene veze.
- Prijenos Connectora: Pregledani izvorni kod klijenta Connector i njegova produkcijska skripta koriste WebSocket na portu 80 bez uključenog TLS-a. Taj dio veze nije potvrđen kao WSS ni kao potpuno šifriran prijenos.
- Udaljeni pregled u administraciji: Klijent administracijskog interfejsa, međutim, izričito koristi WSS za udaljeni pregled. Riječ je o različitim klijentima.
Autentifikacija veze, kodiranje poruka i šifriranje prijenosa imaju različite uloge. Aplikacijska vjerodajnica ne zamjenjuje TLS, a binarni format poruke sam po sebi ne šifrira podatke.
Komunikacija između aplikacija na uređaju za reprodukciju
- Izvještaji: Runtime predaje izvještaje lokalnom interfejsu komponente Connector. Connector ih šalje komunikacijskom servisu, odakle ih obrađuje servis za izvještavanje.
- Ažuriranja: Updater prima lokalni zahtjev za ažuriranje i preuzima pakete iz datotečnog servisa.
Lokalni interfejsi odvojeni su od portova potrebnih za pristup servisima u oblaku. Vezanje na mrežne interfejse i pravila zaštitnog zida određuju jesu li dostupna i s korisnikove mreže.
Naziv „lokalni API” ne znači da je pristup ograničen na localhost.
Vanjski servisi i pristup internetu
- Vremenska prognoza: Plejer dohvaća vremensku prognozu s domene api.met.no putem HTTPS-a prema koordinatama iz konfiguracije uređaja.
- Web-aplikacije i RSS: Web-aplikacije mogu se povezivati s dodatnim domenama; RSS i druge podatkovne funkcije imaju vlastite izvore.
Mrežna pravila trebaju se zasnivati na komunikacijskoj matrici za korištene servise i domene. To što uređaj pokreće izlazne veze ne dokazuje da nema servise koji prihvataju veze. SSH i servisni portovi nisu automatski preduslov uobičajenog rada u korisnikovoj mreži.
Pregled mrežnih veza, protokola i portova
Strelica u prvoj koloni označava ko pokreće vezu; podaci mogu putovati u oba smjera. Portovi koriste TCP, osim ako je navedeno drugačije. Pregled razlikuje dokumentirane postavke od puteva koji se mogu konfigurirati.
| Veza i pokretač | Svrha i podaci | Protokol / port | Autentifikacija i zaštita |
|---|---|---|---|
| Preglednik → HAProxy → API | Portalni API; zahtjevi i odgovori | HTTPS 443 → HTTP 10 | HTTP Basic za zaštićeni API. TLS do proxyja, zatim interni HTTP. |
| Preglednik → Datoteke | Prijenos datoteka, metapodaci i mediji | HTTPS 443 | Prijenos provjerava korisnika preko portala; čitanje zavisi od rute. HTTPS adresa klijenta. |
| Preglednik → Izvještaji | Izvještaji i nadzorne ploče | HTTPS 443 | Autentifikacija prema serverskoj ruti. HTTPS adresa klijenta ne potvrđuje sve postavke proxyja. |
| Preglednik → Balancer | Pregled, naredbe i odgovori | WSS 443 | Aplikacijska vjerodajnica; autorizacija ciljne radnje procjenjuje se zasebno. Klijent koristi WSS. |
| Preglednik / Runtime → Ikone | Ikone i povezani resursi | HTTPS 443 | Javni ili zaštićeni putevi prema funkciji; konfigurirane HTTPS adrese. |
| Runtime → Portal | Konfiguracija, aplikacije i playlista | HTTPS 443 | Aplikacijska vjerodajnica Basic; HTTPS u skripti za pokretanje. Iza proxyja portala interni HTTP. |
| Runtime → Datoteke | Mediji i dokumenti | HTTPS 443 | Neki medijski putevi su javni. HTTPS adresa ne potvrđuje potpis datoteke. |
| Connector → Balancer | Dvosmjerne naredbe, pregledi i izvještaji | WS 80 | Aplikacijska autentifikacija ne šifrira cijelu sesiju. Pregledani klijent ne uključuje WSS. |
| Runtime → Connector | Slanje izvještaja prema serveru | HTTP localhost:8880 | Lokalni HTTP; dostupnost izvan uređaja zavisi od vezanja i zaštitnog zida. |
| Connector → Runtime | Naredbe, radnje igre, pregledi i zadaci | HTTP 8888 | Lokalni HTTP; Runtime sluša na 0.0.0.0. Pristup iz LAN-a zavisi od zaštitnog zida. |
| Runtime → Updater | Pokretanje ažuriranja | HTTP localhost:4444 | Lokalni HTTP; poziv na localhost ne potvrđuje slušanje isključivo na loopback interfejsu. |
| Updater → Datoteke | Verzije i paketi aplikacija | HTTPS 443 | HTTPS u skripti; digitalni potpis paketa nije potvrđen. |
| Updater → Portal | Prijava verzije aplikacije | HTTPS 443 | Aplikacijski identitet uređaja; TLS do proxyja portala. |
| Izvještaji → Balancer | Prijem izvještaja preko uspostavljene veze | WS 80 | Aplikacijska autentifikacija; produkcijska skripta i klijent ne potvrđuju TLS ovog dijela. |
| Izvještaji → Portal | Sinhronizacija definicija i provjera korisnika | HTTP(S) | Autentifikacija i zaštita prema putu i adresi implementacije. |
| Mobitel → Interaktivnost; Interaktivnost → Balancer | Mobilna interakcija i odgovori | WS(S); Interaktivnost V2: WSS | QR konfiguracija i sesija; game V2 koristi WSS do balancera. Dio Connectora ima vlastiti prijenos. |
| Runtime → MET Norway | Koordinate prema van, prognoza nazad | HTTPS 443 | Bez ličnog računa; HTTPS prema vanjskom pružaocu. |
| Portal → MET Norway | Vrijeme za PDF izvoz playliste | HTTPS 443 | Zaseban serverski HTTPS put; ne zamjenjuje dohvat na uređaju. |
| JCEF → Web | Web-sadržaj, skripte i vanjski API-ji | HTTP(S) | Prijava i kolačići prema web-stranici; HTTPS portala ne određuje zaštitu ovog puta. |
| RSS → Web | RSS kanali i povezani sadržaj | HTTP(S) | Prema izvornoj adresi; RSS sam ne nameće HTTPS. |
| Servisi → DB / Pohrana | Pohrana definicija, medija i izvještaja | DB / datotečni sistem | Računi i prijenos prema servisu. Šifriranje veze s bazom i diskova nije potvrđeno. |
| Host za kopiranje → Pohrana | Izvoz spremišta i sinhronizacija medija | SSH / SCP / rsync | SSH ključevi prema konfiguraciji; šifriran prijenos ne potvrđuje šifriranje pohranjenih kopija. |
| Tehničar → SSH / VPN | Administracija operativnog sistema | SSH 22 / VPN | Zaseban servisni put. Postavke jednog hosta ne vrijede nužno za sve. |
HTTPS na jednom dijelu puta ne znači da je cijeli prijenos šifriran.
Zahtjevi za internetsku vezu i mrežnu komunikaciju
Uređaju je potreban izlazni pristup korištenim uslugama i funkcionalno DNS razrješavanje. Pružalac softvera dostavlja tačne odredišne domene i eventualne drugačije portove vaše instalacije.
- TCP 443 i TCP 80: portal, mediji i ikone u opisanoj konfiguraciji koriste HTTPS na portu 443. Connector pokreće upravljačku vezu WebSocket (WS) na portu 80, pa omogućavanje samo porta 443 nije dovoljno. Ta WS veza nije zaštićena TLS-om.
- Vanjski sadržaj: vremenska prognoza zahtijeva HTTPS pristup na
api.met.no:443. Ugrađene web-stranice mogu zahtijevati druge domene i portove prema svojim URL-ovima, obično HTTP 80 ili HTTPS 443. RSS izvore dohvaća odgovarajuća serverska usluga. - Lokalni i servisni portovi: 8880, 8888, 4444 i SSH 22 ne zahtijevaju dolazni pristup s interneta za redovan rad. Dostupnost u lokalnoj mreži i servisni pristup uređuju se zasebno.
Vanjski servisi
MET Norway — Locationforecast: plejer pokreće HTTPS/TCP 443 zahtjev prema api.met.no i šalje geografsku širinu i dužinu radi vremenske prognoze za dinamičke vizuale. Portal koristi zaseban put pri PDF izvozu playliste. Ostali izvori: web-stranice i RSS prema konfiguraciji sadržaja.
Kako upotrijebiti podatke o vremenu pri odabiru vizuala kampanje objašnjavaju upute Ciljanje prema vremenskim uslovima
Povezane teme i naredni koraci
Obratite se svom pružaocu softvera.