Komunikácia a ochrana prenosu
Úvod a orientácia
Zistíte, kto nadväzuje jednotlivé spojenia, aké dáta prenáša a ktoré protokoly a porty používa. Prehľad oddeľuje šifrovanie prenosu, overenie identity a oprávnenia na operáciu.
Pri sieťových pravidlách rozlišujte pripojenie do cloudu, miestne API, externý obsah a servisný prístup. Povolenie jedného portu ani šifrovanie jedného úseku automaticky nepokrýva ostatné cesty.
Prehľad a vysvetlenie
Ako čítať ochranu jednotlivých spojení
HTTPS a WSS chránia prenos pomocou TLS na konkrétnom spojení. Overenie identity určuje, kto sa pripája; oprávnenia určujú, čo smie vykonať. Ak proxy spojenie TLS ukončí a ďalej odovzdá požiadavku cez HTTP, ďalší úsek už rovnakým TLS spojením chránený nie je. Rovnako nemožno z HTTPS administrácie odvodiť šifrovanie samostatného spojenia Connectora.
Systém používa viacero komunikačných ciest. Prenos konfigurácie, stiahnutie súboru, riadiaca správa a report sú samostatné operácie. Ochranu preto opisujeme pre každý úsek zvlášť.
Prístup do administrácie
- Prehliadač a proxy: Pri prístupe cez HTTPS chráni komunikáciu medzi prehliadačom a vstupnou proxy protokol TLS.
- Certifikáty: Certifikáty spravuje prevádzkovateľ služby; bežný používateľ ich nemusí obstarávať ani inštalovať.
- Interný prenos: V doloženom nasadení portálu sa HTTPS ukončuje v HAProxy. Proxy odovzdáva požiadavky interným webovým službám cez HTTP v sieti hostiteľa. TLS teda nesiaha až k aplikačnému procesu.
- Presmerovanie na HTTPS: Dodaná konfigurácia neuplatňuje rovnaké presmerovanie z HTTP na HTTPS pre všetky portálové a partnerské domény.
Konfigurácia, médiá a riadiace spojenie
- Konfigurácia a playlist: Runtime si z portálu vyžiada konfiguráciu, definície aplikácií a playlist.
- Médiá a ikony: Médiá sťahuje zo súborovej služby a ikony zo služby ikon. Dodané produkčné spúšťacie skripty používajú pre portál a súbory adresy HTTPS.
- Riadiace spojenie: Connector sám nadväzuje spojenie s komunikačným serverom. Cez toto spojenie sa prenášajú riadiace správy, požiadavky na náhľad a ďalšie operácie. Odpovede sa môžu vracať opačným smerom po už nadviazanom spojení.
- Transport Connectora: Skontrolovaný zdrojový klient Connectora a jeho produkčný spúšťací skript používajú WebSocket na porte 80 bez zapnutia TLS. Tento úsek nemožno označiť za doložené WSS ani za plošne šifrovaný prenos.
- Vzdialený náhľad v administrácii: Klient administrácie naopak výslovne používa WSS pre vzdialený náhľad. Ide o dva odlišné klienty.
Overovanie identity spojenia, kódovanie správ a šifrovanie prenosu plnia odlišné úlohy. Aplikačný autentifikačný údaj nenahrádza TLS a binárny formát správy sám dáta nešifruje.
Komunikácia medzi aplikáciami prehrávača
- Reporty: Runtime odovzdáva reporty miestnemu rozhraniu Connectora. Connector ich prenáša do komunikačnej služby, odkiaľ ich spracúva reportovacia služba.
- Aktualizácie: Updater prijíma miestnu požiadavku na aktualizáciu a pre balíky kontaktuje súborovú službu.
Lokálne rozhrania sú oddelené od portov potrebných na prístup ku cloudovým službám. Ich naviazanie na sieťové rozhrania a pravidlá firewallu určujú, či sú dostupné aj zo zákazníckej siete.
Označenie „lokálne API“ samo osebe neznamená obmedzenie na localhost.
Externé služby a pripojenie na internet
- Predpoveď počasia: Prehrávač získava predpoveď počasia z api.met.no cez HTTPS podľa súradníc nastavených v konfigurácii zariadenia.
- Webové aplikácie a RSS: Webové aplikácie môžu pripájať ďalšie domény; RSS a ďalšie dátové funkcie majú vlastné zdroje.
Sieťové pravidlá sa riadia komunikačnou maticou používaných služieb a domén. To, že zariadenie iniciuje odchádzajúce spojenia, nepotvrdzuje neprítomnosť služieb prijímajúcich spojenia. SSH ani servisné porty nie sú automaticky požiadavkou bežnej zákazníckej prevádzky.
Prehľad sieťových spojení, protokolov a portov
Šípka v prvom stĺpci označuje iniciátora spojenia; dáta môžu prúdiť oboma smermi. Porty sú TCP, ak nie je uvedené inak. Prehľad rozlišuje doložené nastavenie a konfigurovateľné cesty.
| Spojenie a iniciátor | Účel a dáta | Protokol / port | Overovanie a ochrana |
|---|---|---|---|
| Prehliadač → HAProxy → API | Portálové API; požiadavky a odpovede | HTTPS 443 → HTTP 10 | HTTP Basic pri chránenom API. TLS po proxy, ďalej interné HTTP. |
| Prehliadač → Súbory | Upload, metadáta a médiá | HTTPS 443 | Upload overuje používateľa cez portál; čítanie závisí od cesty. HTTPS URL klienta. |
| Prehliadač → Reporty | Reporty a dashboardy | HTTPS 443 | Autentifikácia podľa serverovej cesty. HTTPS URL klienta neoveruje všetky nastavenia proxy. |
| Prehliadač → Balancer | Náhľad, príkazy a odpovede | WSS 443 | Aplikačný autentifikačný údaj; autorizácia cieľovej operácie sa posudzuje samostatne. Klient používa WSS. |
| Prehliadač / Runtime → Ikony | Ikony a súvisiace zdroje | HTTPS 443 | Verejné alebo chránené cesty podľa funkcie; nastavené HTTPS URL. |
| Runtime → Portál | Konfigurácia, aplikácie a playlist | HTTPS 443 | Aplikačný Basic údaj; HTTPS podľa spúšťacieho skriptu. Za portálovou proxy interné HTTP. |
| Runtime → Súbory | Médiá a dokumenty | HTTPS 443 | Niektoré mediálne cesty sú verejné. HTTPS URL nepotvrdzuje podpis súboru. |
| Connector → Balancer | Riadiace správy, náhľady a reporty obojsmerne | WS 80 | Aplikačná autentifikácia nešifruje celú reláciu. Skontrolovaný klient nemá zapnuté WSS. |
| Runtime → Connector | Reporty smerom k serveru | HTTP localhost:8880 | Lokálne HTTP; dostupnosť mimo zariadenia závisí od bindu a firewallu. |
| Connector → Runtime | Príkazy, herné akcie, náhľady a úlohy | HTTP 8888 | Lokálne HTTP; Runtime počúva na 0.0.0.0. Dostupnosť v LAN závisí od firewallu. |
| Runtime → Updater | Vyvolanie aktualizácie | HTTP localhost:4444 | Lokálne HTTP; volanie localhost nepotvrdzuje obmedzenie počúvania iba na loopback. |
| Updater → Súbory | Verzie a balíky aplikácií | HTTPS 443 | HTTPS podľa skriptu; digitálny podpis balíka nebol doložený. |
| Updater → Portál | Hlásenie verzie aplikácie | HTTPS 443 | Aplikačná identita zariadenia; TLS po portálovú proxy. |
| Reporty → Balancer | Príjem reportov po nadviazanom spojení | WS 80 | Aplikačná autentifikácia; release skript a klient nepotvrdzujú TLS tohto úseku. |
| Reporty → Portál | Synchronizácia definícií a overovanie používateľa | HTTP(S) | Overovanie a ochrana podľa použitej cesty a URL nasadenia. |
| Mobil → Interaktivita; Interaktivita → Balancer | Mobilná interakcia a odpovede | WS(S); Interaktivita V2: WSS | QR konfigurácia a relácia; game V2 používa WSS k balanceru. Úsek Connectora má vlastný transport. |
| Runtime → MET Norway | Súradnice von, predpoveď späť | HTTPS 443 | Bez osobného účtu; HTTPS k externému poskytovateľovi. |
| Portál → MET Norway | Počasie pre PDF export playlistu | HTTPS 443 | Samostatná serverová HTTPS cesta; nenahrádza načítavanie na zariadení. |
| JCEF → Web | Webový obsah, skripty a externé API | HTTP(S) | Prihlásenie a cookies podľa webu; ochranu neurčuje HTTPS portálu. |
| RSS → Web | RSS kanály a súvisiaci obsah | HTTP(S) | Podľa zdrojovej URL; RSS samo HTTPS nevynucuje. |
| Služby → DB / Úložisko | Ukladanie definícií, médií a reportov | DB / súborový systém | Účty a transport podľa služby. Šifrovanie DB spojení a diskov nebolo doložené. |
| Zálohovací host → Úložisko | Exporty úložísk a synchronizácia médií | SSH / SCP / rsync | SSH kľúče podľa konfigurácie; šifrovaný prenos nepotvrdzuje šifrovanie uložených kópií. |
| Technik → SSH / VPN | Správa operačného systému | SSH 22 / VPN | Samostatná servisná cesta. Nastavenie jedného hostiteľa nemožno zovšeobecniť na všetky. |
Celý prenos nie je automaticky šifrovaný len preto, že jedna jeho časť používa HTTPS.
Požiadavky na internetové pripojenie a sieťovú komunikáciu
Zariadenie potrebuje odchádzajúce pripojenie k používaným službám a funkčné DNS. Presné cieľové domény a prípadné odlišné porty vášho nasadenia poskytne dodávateľ softvéru.
- TCP 443 a TCP 80: portál, médiá a ikony používajú v opísanej konfigurácii HTTPS na porte 443. Connector nadväzuje riadiace spojenie WebSocket (WS) na porte 80; samotné povolenie portu 443 preto nestačí. Tento úsek WS nie je šifrovaný pomocou TLS.
- Externý obsah: počasie potrebuje HTTPS na
api.met.no:443. Vložené weby môžu vyžadovať ďalšie domény a porty podľa svojich URL, bežne HTTP 80 alebo HTTPS 443. RSS zdroje načítava príslušná serverová služba. - Lokálne a servisné porty: 8880, 8888, 4444 a SSH 22 nie sú požiadavkou na prichádzajúci prístup z internetu. Dostupnosť v miestnej sieti a servisný prístup sa riešia samostatne.
Externé služby
MET Norway — Locationforecast: prehrávač iniciuje HTTPS/TCP 443 na api.met.no a odosiela latitude a longitude pre predpoveď počasia používanú dynamickými vizuálmi. Portál používa samostatnú cestu pri PDF exporte playlistu. Ďalšie zdroje: weby a RSS podľa konfigurácie obsahu.
Ako využiť údaje o počasí pri výbere vizuálu kampane, vysvetľuje návod Cielenie podľa počasia
Súvisiace témy a ďalšie kroky
Obráťte sa na svojho poskytovateľa softvéru.