Komunikace a ochrana přenosu

Přehled a vysvětlení

Jak číst ochranu jednotlivých spojení

HTTPS a WSS chrání přenos pomocí TLS na konkrétním spojení. Ověření identity určuje, kdo se připojuje; oprávnění určují, co smí provést. Pokud proxy spojení TLS ukončí a dál předá požadavek přes HTTP, další úsek už stejným TLS spojením chráněný není. Stejně tak nelze z HTTPS administrace odvodit šifrování samostatného spojení Connectora.

Systém používá více komunikačních cest. Přenos konfigurace, stažení souboru, řídicí zpráva a report nejsou jedna společná operace. Ochranu proto popisujeme pro každý úsek samostatně.

Přístup do administrace

• Prohlížeč a proxy: Při přístupu přes HTTPS je komunikace mezi prohlížečem a vstupní proxy chráněna TLS.
• Certifikáty: Certifikáty spravuje provozovatel služby; běžný uživatel je neinstaluje ani neobstarává.
• Interní přenos: V doloženém portálovém nasazení se HTTPS ukončuje v HAProxy. Proxy předává požadavky interním webovým službám přes HTTP v síti hostitele. TLS se tedy nevede až k aplikačnímu procesu.
• Přesměrování na HTTPS: Nastavení přesměrování z HTTP na HTTPS není v dodané konfiguraci společné pro všechny portálové a partnerské domény.

Konfigurace, média a řídicí spojení

• Konfigurace a playlist: Runtime si z portálu vyžádá konfiguraci, definice aplikací a playlist.
• Média a ikony: Soubory médií stahuje ze souborové služby a ikony z příslušné služby ikon. V dodaných produkčních startovacích skriptech jsou pro portál a soubory použity adresy HTTPS.
• Řídicí spojení: Connector sám zahajuje spojení s komunikačním serverem. Přes toto spojení se přenášejí řídicí zprávy, požadavky na náhled a další operace. Výstup zpráv se může vracet opačným směrem po již navázaném spojení.
• Transport Connectora: Kontrolovaný zdrojový klient Connectora a jeho produkční startovací skript používají WebSocket na portu 80 bez zapnutí TLS. Tento úsek nelze označit za doložené WSS nebo za plošně šifrovaný přenos.
• Vzdálený náhled v administraci: Oproti tomu klient administrace výslovně používá WSS pro vzdálený náhled. Jde o dva různé klienty.

Ověřování identity spojení, kódování zpráv a šifrování přenosu mají odlišné funkce. Aplikační autentifikační údaj nenahrazuje TLS a binární formát zprávy sám data nešifruje.

Komunikace mezi aplikacemi přehrávače

• Reporty: Runtime předává reporty místnímu rozhraní Connectora. Connector je přenáší do komunikační služby a reportovací služba je dále zpracovává.
• Aktualizace: Updater přijímá místní požadavek k aktualizaci a pro balíky kontaktuje souborovou službu.

Lokální rozhraní se odlišují od portů potřebných pro přístup do cloudu. Jejich vazba na síťová rozhraní a pravidla firewallu určují, zda mohou být dosažitelná i ze zákaznické sítě.

Označení „lokální API“ samo o sobě neznamená omezení na localhost.

Externí služby a připojení k internetu

• Předpověď počasí: Přehrávač získává předpověď počasí z api.met.no přes HTTPS podle zeměpisných souřadnic v konfiguraci zařízení.
• Webové aplikace a RSS: Webové aplikace mohou připojovat další domény; RSS a další datové funkce mají vlastní zdroje.

Při přípravě síťových pravidel je rozhodující komunikační matice pro používané služby a domény. Samotná skutečnost, že zařízení iniciuje spojení, neopravňuje k tvrzení, že nemá žádnou příchozí službu. SSH ani servisní porty se automaticky nepovolují jako požadavek běžného provozu zákazníka.

Přehled síťových spojení, protokolů a portů

Šipka v prvním sloupci označuje, kdo zahajuje spojení; přenášená data mohou proudit oběma směry. Porty jsou TCP, není-li uvedeno jinak. Přehled rozlišuje doložené nastavení a konfigurovatelné cesty.

Úplný přenos není automaticky šifrovaný jen proto, že jedna jeho část používá HTTPS.

Požadavky na internetové připojení a síťovou komunikaci

Zařízení potřebuje odchozí připojení k používaným službám a funkční DNS. Přesné cílové domény a případné odlišné porty vašeho nasazení poskytne dodavatel softwaru.

• TCP 443 a TCP 80: portál, média a ikony používají v popsané konfiguraci HTTPS na portu 443. Connector navazuje řídicí spojení WebSocket (WS) na portu 80; samotné povolení portu 443 proto nestačí. Tento úsek WS není šifrovaný pomocí TLS.
• Externí obsah: počasí potřebuje HTTPS na api.met.no:443. Vložené weby mohou vyžadovat další domény a porty podle svých URL, běžně HTTP 80 nebo HTTPS 443. RSS zdroje načítá příslušná serverová služba.
• Lokální a servisní porty: 8880, 8888, 4444 a SSH 22 nejsou požadavkem na příchozí přístup z internetu. Dostupnost v místní síti a servisní přístup se řeší samostatně.

Externí služby

MET Norway — Locationforecast: přehrávač iniciuje HTTPS/TCP 443 na api.met.no a odesílá latitude a longitude pro předpověď počasí používanou dynamickými vizuály. Portál používá samostatnou cestu při PDF exportu playlistu. Další zdroje: weby a RSS podle konfigurace obsahu.

Jak využít údaje o počasí při výběru vizuálu kampaně, vysvětluje návod Cílení podle počasí