Page History

Table of Contents

Парольная защита

...

Самая распространенная защита компьютерной информации - защита на основе пароля. При реализации парольной защиты вход в систему, запуск приложения, запрос на доступ к данным со­провождается запросом пароля и последующим сравнением введенного пароля с оригиналом.
Само собой разумеется, что вход на сайт и в Mid Office Manager защищён паролем.

Настротить Настроить доступ на сайт и в Mid Office Manager можно в разделе "Редактор прав доступа", Image RemovedПользователи".

Image Added

Откроется форма создания пользователя, в которой нужно заполнить логин и пароль, название-имя пользователя, описание-любой комментарий, подсказка, а также привязать профиль физ.лица, который укажет роль пользователя на сайте (агент/субагент/путешественник). В форме можно посмотреть подсказку о требованиях к паролю. Если пароль не будет удовлетворять указанным правилам, сохранение данных пользователя будет невозможным.

Image Added

При входе на сайт, вы увидите форму входа с двумя полями, куда нужо нужно ввести данные настроеной настроенной в Mid Office Manager учётной записи.Image Removed

Image Added
Если в профиле пользователя указано несколько ролей  ролей в месте работы, то при входе потребуется выбрать, под какой ролью вы хотите зайти на сайт.
Появится на сайте в форме входа появится поле с выпадающим списком.

Image Removed

Image Removed

Парольная защита хоть и добавляет безопасности при использовании продукта, но не защищает полностью.
Для увеличения безопасности пользования сайтом реализована двухфакторная , в котором нужно будет задать роль и место работы для входа на сайт.
Также для усиления защищенности учетной записи пользователя на сайте реализована двухфакторная аутентификация.

Двухфакторная аутентификация

...

Двухфакторная аутентификация пресекает попытки входа на сайт злоумышленникамизлоумышленников, которые каким-то образом узнали данные вашей учётной записи.

Включить данный функционал для своей учётной записи можно на сайте в разделе "Данные пользователя"  → "Использовать двухфакторную аутентификацию"..

Image RemovedImage Added

Функционал реализован с использованием бесплатного приложения Google Authenticatorприложения Яндекс Ключ. Установите это приложение на мобильное устройство.
Данный Предложенный QR-код нужно просканировать в приложении или отсканировать в приложении Яндекс Ключ (получите QR-код, который будете использовать при входе на сайт).

Также как вариант, можно  использовать ключ для ручного ввода, который можно получить на сайте.

Info
title Важно
Перед сканированием QR-кода убедитесь, что все части QR-кода хорошо видны и ничем не перекрыты, иначе приложение запишет неверный ключ и при входе на сайт вы не сможете пройти проверку. Так же, по возможности, лучше выставить максимальную яркость экрана.

Далее После активации настройки двухфакторной авторизации при входе на сайт появится дополнительное поле для ввода шестизначного кода авторизации из приложения.

Image RemovedImage Added

Если в профиле указано несколько ролей, то при входе потребуется выбрать, под какой ролью вы хотите зайти на сайт, а после этого ввести уже новый код авторизации из приложения.

SSL сертификаты

...

SSL-сертификат – это цифровой сертификат, удостоверяющий подлинность веб-сайта и позволяющий использовать зашифрованное соединение. Аббревиатура SSL означает Secure Sockets Layer – протокол безопасности, создающий зашифрованное соединение между веб-сервером и веб-браузером.

...

• Доменное имя, для которого выпущен сертификат.
• Лицо, организация или устройство, для которого выпущен сертификат.
• Центр сертификации, выдавший сертификат.
• Цифровая подпись центра сертификации.
• Связанные поддомены.
• Дата выдачи сертификата.
• Срок действия сертификата.
• Открытый ключ (закрытый ключ не раскрывается).

Типы SSL-сертификатов и их различия

...

SSL с проверкой домена, или DV SSL

Сертификат с проверкой домена выдается любому человеку, который доказал, что он владеет доменом, для которого запросил SSL. Это доказательство — обычно уникальный серийный номер, который центр сертификации берет с вашего веб-сервера или из DNS-записей.

SSL с проверкой организации, или OV SSL

SSL с проверкой организации значит, что центр сертификации также проверил имя компании и ее адрес в публичных базах данных. Информация вводится в сертификат и обычно отображается только когда пользователь нажимает на иконку с замочком.

SSL с расширенной проверкой, или EV SSL

Расширенная проверка более тщательная, чем проверка домена или организации. При выдаче EV сертификатов проверяются права на домен, существование и местоположение компании.

...

EV сертификаты также по-особому отображаются во всех браузерах кроме Google Chrome. Сайт с таким сертификатом отображается с именем компании в зеленой строке браузера. Пользователи обычно больше обращают внимание на сайты с зеленой строкой и больше им доверяют.

SSL-сертификат с проверкой субдоменов (wildcard)

Это сертификат, который защищает не только основной домен www.abc.com, но и все его субдомены — www.one.abc.com, www.two.abc.com.
Такой сертификат может быть OV или DV.

Сертификаты варьируются по цене, выбирайте исходя из ваших возможностей и нужд.

Как подложить сертификат?

Если сайт настроен на ресурсах датацентраДатаЦентра, то Gridnine сам подкладывает сертификат. От вас потребуется прислать приобретённый сертификат.
Если сайт настроен на ваших ресурсах, обратите внимание на следующую инструкцию:

• Apache

1. Создайте на вашем сервере в каталоге /etc/ssl/ файлы domain_name.crt, private.key и chain.crt со следующим содержимым:

   • domain_name.crt — сам сертификат;
   • private.key — приватный ключ;
   • chain.crt — цепочка сертификатов, которая содержит сначала промежуточный сертификат и следом за ним корневой (с новой строки без пробелов и пустых строк).
     cat intermediate.key root.key > chain.crt - консольная команда для объединения сертификатов.
     Также можно вручную объединить сертификаты, создав текстовый документ и перенести в него содержимое файлов без пробелов и пустых строк.

   • После вставки всех сертификатов файл должен иметь вид:

     -----BEGIN CERTIFICATE-----
     #Ваш сертификат#
     -----END CERTIFICATE-----
     -----BEGIN CERTIFICATE-----
     #Промежуточный сертификат#
     -----END CERTIFICATE-----
     -----BEGIN CERTIFICATE-----
     #Корневой сертификат#
     -----END CERTIFICATE-----

2. Откройте файл конфигурации Apache. В зависимости от особенностей вашего сервера этот файл находится по одному из следующих адресов:

   • для CentOS: /etc/httpd/conf/httpd.conf;
   • для Debian/Ubuntu: /etc/apache2/apache2.conf;
   • если вы устанавливаете SSL-сертификат на OpenServer, используйте путь к его корневой папке.

   В конце файла создайте копию блока «VirtualHost». Укажите для блока порт 443 и добавьте внутри него строки:

   SSLEngine on
   SSLCertificateFile /etc/ssl/domain_name.crt
   SSLCertificateKeyFile /etc/ssl/private.key 
   SSLCertificateChainFile /etc/ssl/chain.crt

Пример  конфигурационного файла:
Image Modified

• Nginx

1. Объедините три сертификата (сам SSL-сертификат, корневой и промежуточный сертификаты) в один файл. Для этого создайте на ПК новый текстовый документ с именем your_domain.crt (your_domain — доменное имя сайта, который вы хотите защитить). Создать его можно при помощи блокнота или другого текстового редактора. Поочередно скопируйте и вставьте в созданный документ каждый сертификат. 

           cat intermediate.key root.key > your_domain.crt - консольная команда для объединения сертификатов.

1. 
   После вставки всех сертификатов файл должен иметь вид:

   -----BEGIN CERTIFICATE-----
   #Ваш сертификат#
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   #Промежуточный сертификат#
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   #Корневой сертификат#
   -----END CERTIFICATE-----

   Обратите внимание: один сертификат идёт следом за другим, без пустых строк.

2. Создайте файл your_domain.key и скопируйте в него содержание приватного ключа сертификата.
3. Загрузите созданные файлы your_domain.crt и your_domain.key на сервер в директорию /etc/ssl/. Директория может быть иной, например /etc/nginx/ssl/your_domain.com.

4. Откройте конфигурационный файл Nginx и отредактируйте виртуальный хост вашего сайта, который вы хотите защитить сертификатом. Выполните минимальную для работы настройку, добавив в файл следующие строки:

   server {
   
       listen 443 ssl;
   
       server_name your_domain.com;
       ssl_certificate /etc/ssl/your_domain.crt;
       ssl_certificate_key /etc/ssl/your_domain.key;
   }

   Где:

   your_domain.com — домен сайта,

   /etc/ssl/your_domain.crt — путь до созданного файла с тремя сертификатами,

   /etc/ssl/your_domain.key — путь до файла с приватным ключом.

   Минимальная установка и настройка выполнена.

Временная сессия

...

Дополнительный

...

Последний, но не по значению механизм защиты сайта - это временная сессия.

Данный разрешает посылать механизм защиты позволяет отправлять запросы на сервер только при условии, что вы прошли авторизацию и у вас имеется токен сессии.

...

1. Клиент обращается к хосту при помощи уникального запроса . (запрос на авторизацию)
2. Хост регистрирует обращение и присваивает клиенту ID-сессии . (токен сессии)
3. Этот идентификатор затем используется во время регистрации последующих обращений.
4. Происходит определенное событие, и сессия завершается.

...

При переходе с раздела на другой, при поиске услуг, оформлении заказа и т.п. таймер сессии обновляется.
При отсутствии активности на сайте в течении пятнадцати минут , вас автоматически "выкинет" с из сайта с похожим сообщением.:Image Removed

Image Added