Настройки безопасности сервера Mobile SMARTS

Безопасно ли использовать сервер Mobile SMARTS в открытом доступе? Нет! Без принятия дополнительных мер защиты — небезопасно!

Сервер Mobile SMARTS предназначен, в первую очередь, для использования во внутренней сети компании. Если Вы вынесли свой сервер на публичный IP-адрес, доступный в сети Интернет, и злоумышленник узнал его адрес и порт, то он сможет беспрепятственно получить доступ к нему, просматривать Ваши данные и, возможно, нанести Вам ущерб или взломать компьютер.

Поэтому использовать сервер Mobile SMARTS в открытых сетях без использования дополнительных мер безопасности крайне не рекомендуется!

Если вы публикуете сервер Mobile SMARTS с доступом из открытой сети на публично доступный IP-адрес, то необходимо принимать меры безопасности:

• Использовать специальный протокол https, который шифрует все передаваемые данные.
• Использовать аутентификацию по пользователю.

Вышеуказанные способы являются встроенными методами защиты сервера Mobile SMARTS. Дополнительно к ним Вы можете использовать следующие меры защиты:

• Поменять типовые порты сервера и баз Mobile SMARTS на уникальные.
• Настроить и использовать частную VPN компании для доступа к серверу.
• Установить на сервере антивирус, например Dr.Web для Windows Server.
• Создать для службы сервера Mobile SMARTS отдельную учетную запись с пониженными правами без доступа к запуску программ и системным папкам.
• По возможности настроить фаервол на доступ к портам сервера Mobile SMARTS и использовать фильтр по доверенным IP-адресам для доступа.

Уcтановка сертификата HTTPS

Чтобы данные в момент передачи на сервер невозможно было перехватить, используется специальный протокол HTTPS, который шифрует все передаваемые данные. Это безопасное соединение, которое гарантирует, что информация, которая передается на сервер, остается защищенной.

Для работы через протокол HTTPS необходимо указать это в настройках базы данных.

Для работы мобильных приложений с базой данных в защищенном режиме (через HTTPS) необходимо наличие на сервере установленного и зарегистрированного корневого сертификата.

Можно работать без использования протокола HTTPS и сертификата, но при этом данные будут передаваться в открытом виде.

Данный сертификат возможно получить, сформировав запрос к одному из доверенных центров сертификации.

Полученный сертификат необходимо установить в локальное хранилище сертификатов на той машине, на которой запущен веб‑сервер Mobile SMARTS в раздел «Доверенные корневые центры сертификации/Сертификаты».

Для тестирования работы веб‑сервера в защищенном режиме достаточно самостоятельно сгенерировать самоподписанный тестовый сертификат и установить его в хранилище сертификатов хост‑машины на котором запущен веб‑сервер.

Подключаться с ТСД через интернет по самоподписанному сертификату нельзя. Нужно сгенерировать настоящий сертификат на IP-адрес, добавить на компьютер и импортировать в сервер Mobile SMARTS и базу.

Либо осуществлять VPN подключение между базой и ТСД, либо получать доверенный сертификат.

Если сертификат не установлен или был установлен неправильно, то возникает ошибка и соединение с сервером будет закрыто.

Генерация самоподписанного тестового сертификата

Для получения самоподписанного тестового сертификата для веб‑сервера Mobile SMARTS в системах Windows® 8 и Windows Server® 2012 легче всего воспользоваться Windows PowerShell 3.0.

Установка Windows PowerShell

Для запуска консоли Windows PowerShell, выполните: Win+R, «PowerShell_ISE.exe», «Выполнить». Запускать консоль необходимо с правами локального администратора.

Далее, в окне консоли Windows PowerShell необходимо выполнить командлет «New-SelfSignedCertificate», для этого вводим команду:

New-SelfSignedCertificate -DnsName localhost -CertStoreLocation cert:LocalMachineMy

Данная команда запускает командлет, который производит генерацию самоподписанного сертификата для DNS имени localhost, и помещает его в раздел «Личные» локального хранилища сертификатов, иногда по неустановленным причинам сертификат может быть помещен в другой раздел локального хранилища, например «Промежуточные центры сертификации».

При успешном выполнении командлета в окне консоли появится информация, содержащая слепок сгенерированного сертификата.

Далее необходимо открыть оснастку «Сертификаты» с правами локального администратора, для этого запустите соответствующий файл «certmgr.msc» и произведите поиск сгенерированного сертификата по его DNS имени «localhost».

Далее, найденный сертификат необходимо переместить в раздел «Доверенные корневые центры сертификации\Сертификаты».

Если описанный способ не сработал, попробуйте альтернативные способы получения сертификата:

• Как создать самоподписанный сертификат в Windows
• Выпуск собственного SSL-сертификата

Изменение типовых портов

1. Запустите менеджер баз Mobile SMARTS и нажмите на кнопку «Настройки локального сервера».

   

2. В открывшемся окне нажмите кнопку «Остановить службу».

3. Измените порт сервера Mobile SMARTS.

   

4. Нажмите на кнопку «Сохранить настройки».

5. Запустите службу.

Если изменить порт, не останавливая службу, изменения вступают в силу только после сохранения настроек и перезапуска сервера.

Как изменить порт базы

1. Запустите менеджер баз Mobile SMARTS

2. Выберите нужную вам базу и откройте выпадающий список возле кнопки «Добавить».

3. Нажмите кнопку «Настройка».

   

4. Измените порт базы данных Mobile SMARTS. Нажмите кнопку «Ок».

   

У каждой базы должен быть свой уникальный порт. Для вступления в силу настроек перезапуск сервера Mobile SMARTS не требуется.

Доступ к серверу по протоколу HTTPS

Для того, чтобы данные в момент передачи на сервер невозможно было перехватить используется специальный протокол https, который шифрует все передаваемые данные — это безопасное соединение, которое гарантирует, что информация которая передается на сервер остается защищенной.

Для работы через протокол https необходимо указать это в настройках базы данных.

Для работы мобильных приложений с базой данных в защищенном режиме (через https) необходимо наличие на сервере установленного и зарегистрированного корневого сертификата.

Сертификат можно установить, только от имени администратора.

Для тестирования работы веб‑сервера в защищенном режиме достаточно самостоятельно сгенерировать самоподписанный тестовый сертификат.

Созданный самоподписанный тестовый сертификат установится автоматически.

Настоящий сертификат возможно получить, сформировав запрос к одному из доверенных центров сертификации. Полученный сертификат необходимо установить (импортировать) в локальное хранилище сертификатов на той машине, на которой запущен веб‑сервер Mobile SMARTS в раздел «Доверенные корневые центры сертификации\Сертификаты».

Аутентификация по пользователю

Еще одна защитная мера, которая повышает безопасность работы — это аутентификация по пользователю.

Рекомендуется использовать аутентификацию по пользователю и закрытое соединение https совместно.

Если не включать использование https, то трафик не шифруется и может быть перехвачен.

Аутентификацию по пользователю можно включить во время установки базы продукта на ПК или с помощью менеджера баз («Пуск» --> «Cleverence Soft» --> «Mobile SMARTS»). Для этого откройте меню кнопки «Добавить» и нажмите «Настройка».

Чтобы пользоваться аутентификацией, необходимо предварительно создать пользователей в панели управления Mobile SMARTS и назначить им определенные роли (оператор, администратор).

Из соображений безопасности при создании пароля для администратора и других пользователей рекомендуем использовать сложный пароль (длина около 8 символов, прописные и строчные буквы, цифры).

Также во вкладке «Свойства» панели управления Mobile SMARTS установите для параметра «Вход по штрихкоду» значение «Нет». После этого при входе будет запрашиваться логин и пароль.

В режиме с включенной аутентификацией все компоненты системы будут требовать обязательного ввода логина и пароля. Все права пользователей, логины и пароли добавляются в панели управления Mobile SMARTS.

Настройка блокировки доступа по IP встроенными средствами сервера

Данная функция подразумевает создание списка IP-адресов устройств, которым будет запрещен доступ к открытому серверу.

Файлы со списками адресов создаются вами самостоятельно (например, с помощью программы «Блокнот») и должны иметь следующий вид:

• blacklist.dat — список запрещенных ip адресов;
• whitelist.dat — список разрешенных ip адресов.

Оба файла должны быть помещены в папку «Server» той базы, с которой вы работаете (путь к этой папке по умолчанию — «C:\ProgramData\Cleverence\Databases\Имя вашей базы\Server», может быть другим, в зависимости от того, куда вы поместили папку базы).

В итоге, при попытке мобильного устройства обратиться к серверу Mobile SMARTS, происходит проверка, не внесен ли текущий IP-адрес устройства в один из этих списков. «Whitelist.dat» имеет больший приоритет чем «blacklist.dat» — если IP-адрес найден в whitelist, то blacklist проверяться не будет.