Просмотр кода страницы Ssl-certificate/en

<languages/>
== '''Introduction''' ==
The use of SSL certificates allows for a secure connection over the HTTPS protocol between participants when working with software. This guide describes how to configure the components of the SmartPlayer platform to work with SSL certificates.
* When purchasing a cloud server - no configuration is required. Everything is set up and working.
* When purchasing a local server - certificates will need to be issued and the SmartPlayer platform will need to be configured. This case will be discussed further in the guide.

== '''Certification Authorities''' ==
There are 2 types of certification authorities:
# ''Certificates issued by widely accepted public certification authorities'' - These are certificates issued by public companies (such as GlobalSign, Comodo, etc.). The issuance of a certificate signed by such a certification authority is a paid service.
# ''Self-signed certificates'' - These are certificates issued by a private (personal) certification authority. A private certification authority in a company is usually maintained by the IT department. Certificates issued by such an authority can be used for various purposes, they are free and can be created independently. Large companies sometimes create their own private certification authority infrastructure and issue certificates signed by it.

== '''Types of Certificates''' ==
Theory on types of certificates. [https://www.globalsign.com/ru-ru/ssl-information-center/types-of-ssl-certificate The simplified classification of SSL includes the following options:]

<div lang="ru" dir="ltr" class="mw-content-ltr">
# ''Сертификат с расширенной проверкой: ExtendedSSL (EV SSL)''. Это самое свежее и, возможно, самое важное развитие технологии SSL с момента ее введения. Данное решение соблюдает стандартизированные рекомендации по расширенной проверке. Новые высоконадежные браузеры, такие как Microsoft Internet Explorer 7+, Opera 9.5+, Firefox 3+, Google Chrome, Apple Safari 3.2+ и iPhone Safari 3.0+, распознают сертификаты ExtendedSSL как сертификаты с расширенной проверкой (EV). Актуально для клиентов, которые хотят заявить о высочайшем уровне аутентификации.
# ''Сертификат с проверкой организации OrganizationSSL (OV SSL)''. GlobalSign выпускает сертификаты с проверкой организации на протяжении 15 лет. Сведения о компаниях, подающих заявки на сертификат OrganizationSSL, тщательно проверяются перед выпуском сертификата.
# ''Сертификат с проверкой домена: DomainSSL (DV SSL)''. Сертификаты DomainSSL полностью поддерживаются и распознаются браузерами, как и сертификаты OrganizationSSL, но имеют одно преимущество — они выпускаются почти мгновенно и без необходимости присылать документы компании на проверку. Это делает DomainSSL идеальным предложением для организации, которой нужно получить SSL-сертификат срочно, без дополнительных расходов и без усилий по передаче документов компании на проверку.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
== '''Цепочки сертификатов''' ==
Под выпуском сертификата подразумевается не один файл сертификата, а цепочка сертификатов, которые нужно получить:
* ''Корневой сертификат SSL, CA certificate'' — это электронный документ, которым центры сертификации подписывают SSL-сертификаты при выдаче. Корневой сертификат, часто называемый доверенным корневым сертификатом, находится в центре модели доверия, которая поддерживает SSL / TLS.<br>
Каждый браузер содержит корневое хранилище. Некоторые браузеры работают самостоятельно, в то время как другие используют стороннее хранилище сертификатов. Хранилище корневых сертификатов - это набор предварительно загруженных корневых сертификатов, которые находятся на устройстве. Корневой сертификат бесценен, поскольку браузеры автоматически доверяют сертификату, подписанному с доверенным корневым сертификатом. Доверенные корни принадлежат Центрам Сертификации (например Comodo, Thawte, Geotrust, GlobalSign, Symantec и так далее) - организациям, которые проверяют и выдают сертификаты SSL.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
* ''Промежуточный сертификат'' - Центры сертификации не выдают сертификаты SSL конечного пользователя непосредственно от их Корневого сертификата. Это было бы опасно, потому что, при неправильной выдаче или ошибке, Root (Корневой сертификат) был бы отозван и каждый выпущенный сертификат, который был подписан с использованием данного Корневого сертификата, станет сразу же "Недовереным".<br>
Таким образом, чтобы обезопасить себя, CA обычно выдает то, что называется "промежуточным сертификатом". Центр Сертификации подписывает промежуточный сертификат с его закрытым ключом, который делает его "Доверенным". Затем Центр сертификации использует закрытый ключ промежуточного сертификата для подписи сертификатов SSL конечного пользователя. Этот процесс может играть несколько раз, где промежуточный корень подписывает другое промежуточное звено, и затем CA использует это для подписания сертификата.
</div> 

<div lang="ru" dir="ltr" class="mw-content-ltr">
* ''SSL сертификат'' - уникальный сертификат выданный на доменное имя веб приложения.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
=== Выпуск сертификатов ===
В зависимости какой центр сертификации будет использоваться, процесс выпуска отличается.
* "Сертификаты выпущенными общепринятым публичным центром сертификации" - можно найти любой сайт в сети интернет (например reg.ru / firstssl.ru и другие их бесчисленное множество), который занимается выпуском сертификатов от нужного центра сертификации (например: GlobalSign). На каждом сайте есть личный кабинет / инструкции как выпускать сертификаты.
* "Самоподписанные сертификаты" - обратиться в департамент IT своей компании.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
{| class="wikitable"
|+ Придерживайтесь следующих рекомендаций от компании SmartPlayer по выпуску сертификатов
|-
! Рекомендация !! Причина рекомендации 
|-
| Покупайте сертификаты, выпущенные "общепринятым публичным центром сертификации" || Платформа SmartPlayer является кроссплатформенной, т.е. клиентские приложения работают на всех операционных системах (AndroidOS/WebOS/TizenOS/Windows/Linux/Raspberry Pi и т.п.). Это значит, что все операционные системы по умолчанию должны доверять центру сертификации, который выпустил сертификаты. Если даже в текущем проекте используется только Android OS, это не значит, что отдел закупок через год не купит устройства на TizenOS. Используйте центр сертификации, которому доверяют максимум производителей устройств.   
|-
| Покупайте сертификаты от компании [https://www.globalsign.com/ru-ru GlobalSign] || Мировой центр сертификации, данному центру доверяют все производители устройств из всех стран мира. Максимально широкое покрытие устройств от производителей. Компания SmartPlayer использует сертификат от данного центра сертификации. Например, Samsung/LG - Южная Корея, BrightSign - Великобритания, Android OS - бесчисленное количество разных производителей и все они доверяют GlobalSign.
|-
| Не используйте частные центры сертификации || Частным центрам сертификации не доверяет ни одно устройство. Для запуска https придется добавлять сертификат в хранилище сертификатов устройства вручную. А если в проекте устройств будет более 50? Это уже становится много рутинной ручной работы. {{Note|text=Платформа SmartPlayer пока не поддерживает загрузку пользовательских сертификатов через личный кабинет SmartPlayer. В дальнейшем будет доработано, но универсального решения не получится для всех операционных систем. Есть ограничения от производителей, например TizenOS не предоставляет API для загрузки сертификатов на 30 мая 2024 года. Не берите на себя лишние риски, используйте сертификаты от публичных центров сертификации.}}
|-
| Какой типа сертификата выбрать? || Используйте DomainSSL (DV SSL). Он самый дешевый и быстро выпускаемый для обеспечения работы по протоколу https.
|}
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
= '''Настройка платформы SmartPlayer''' =
Для корректной работы "https" протокола с использованием ssl сертификата(ов) нужно настроить следующие компоненты платформы:
* серверное приложение и личного кабинета SmartPlayer
* клиентские приложения SmartPlayer
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
К этому моменту на руках должно быть три сертификата и приватный ключ:
* Корневой сертификат SSL, CA certificate (для примера в инструкции назовем: rootCA.crt)
* Промежуточный сертификат (для примера в инструкции назовем: intermediateCA.crt)
* SSL сертификат (для примера в инструкции назовем: server-sp.crt)
* SSL приватный ключ (для примера в инструкции назовем: server-sp.key)
 
=== <span id="installCertificatesOnServerApp">'''Настройка серверного приложения (и личного кабинета) SmartPlayer'''</span> === 
Создайте цепочку сертификатов из "промежуточного сертификата" и "ssl сертификата" соединив их в один файл. Есть разные способы, как это сделать:
# Открыть любой тестовый редактор и в него вставить вначале содержимое файла "промежуточного сертификата", а дальше '''без пробелов''' вставить содержимое следующего "ssl сертификата" '''с следующей строчки'''. Сохранить полученный тестовый документ с разрешением *.crt.
# При работе в Linux достаточно выполнить команду: <code>cat intermediateCA.crt server-sp.crt > server-sp-chain.crt</code>
</div> 

<div lang="ru" dir="ltr" class="mw-content-ltr">
В итоге у нас получился файл server-sp-chain.crt, который содержит в себе оба сертификата. Если файл открыть в специальной программе по работе с сертификатами (https://keystore-explorer.org/), то можно увидеть следующую иерархическую структуру. 
[[Файл:Self-certificate-api.png|центр]]
</div>


<div lang="ru" dir="ltr" class="mw-content-ltr">
# Загрузите на сервер цепочку сертификатов (server-sp-chain.crt) и приватный ключ (server-sp.key) любым удобным способом. Часто используемые программы для этого:
## WinScp - https://winscp.net/eng/
## FileZilla - https://filezilla-project.org/
## Sftp / scp - обычно поставляются с операционной системой 
# Найдите путь (если не знаете), куда установлена платформа SmartPlayer на сервере, по умолчанию это "/home/smartplayer/smartplayer"
# Переместите файлы server-sp-chain.crt и server-sp.key в папку с сертификатами, по умолчанию это "/home/smartplayer/smartplayer/nginx/ssl". По умолчанию в конфигурации nginx поставляемой компанией SmartPlayer названия для файлов: ssl.crt (цепочка сертификатов) и ssl_private.key (приватный ключ). Используйте эти названия для своих файлов, чтобы не переписывать конфигурационные файлы nginx веб сервера. 
# Проверьте конфигурацию nginx, что файлы доступны для веб сервера, для этого выполнить команду: <code>docker exec -it smartplayer_web_1 sh</code> внутри контейнера <code>nginx -t</code> вывод должен быть [[Файл:Screenshot from 2024-05-30 15-35-08.png|центр]]
# Перезагрузите конфигурацию nginx, для этого выполните команду: <code>docker exec -it smartplayer_web_1 sh</code> внутри контейнера <code>nginx -s reload</code> 
# На этом установка сертификата на серверное приложение SmartPlayer закончено. Для проверки открой url личного кабинета или серверное приложения в браузере. Если вы использовали сертификаты от "выпущенными общепринятым публичным центром сертификации", то вы сразу увидите защищенное соединение (зеленый замок слева от адреса). Если вы использовали сертификаты от "cамоподписанные сертификаты", то вы увидите незащищенное соединение в браузере, так как он не доверяет сертификату. 
[[Файл:Screenshot from 2024-05-30 15-46-44.png|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
{{Note|text=Настройка личного кабинета полностью повторяет шаги, описанные в этом разделе. Личный кабинет использует аналогичные пути к сертификатам для открытия https соединения. Дополнительная настройка не требуется если используются конфигурационные файлы nginx по умолчанию. В закрытых сетях используется решение, где личный кабинет и серверное приложения находятся на одном домене, практически в 100% случаев.}}
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
=== '''Настройка клиентских  приложения SmartPlayer''' === 
# Если вы использовали сертификат от "выпущенными общепринятым публичным центром сертификации" от GlobalSign то добавление сертификатов на конечные устройства не нужно и сразу должно открыться https соединение между клиентским приложением и серверным приложение. Клиентское приложение покажет код регистрации, при первом обращении. 
# Если вы выпустили сертификат частным центром сертификации, то rootCA.crt нужно добавить на устройство в его хранилище сертификатов. В каждой операционной системе это делает по разному инструкции можно найти в сети Интернет. После добавление сертификата перезагрузите устройство и соединение https должно открыться.
</div> 

<div lang="ru" dir="ltr" class="mw-content-ltr">
Отдельный инструкции по операционным системам, как добавить пользовательские сертификаты:
# [[Установка_сертификатов_для_ОС_Android]]
# TizenOS - не поддерживает установку сертификатов выпущенных частным центром сертификации. Нужно использовать центры сертификации из списка [[SSSP#%D0%9F%D0%BE%D0%B4%D0%B4%D0%B5%D1%80%D0%B6%D0%BA%D0%B0_HTTPS_(%D1%81%D0%B5%D1%80%D1%82%D0%B8%D1%84%D0%B8%D0%BA%D0%B0%D1%82%D1%8B)]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
= '''Поиск неисправностей''' =
=== '''Trust anchor for certification path not found''' === 
[[Файл:Screen.png|безрамки|центр]]
{| class="wikitable"
|+ Ошибки на Android OS
|-
! Операционная система !! Причина ошибки !! Исправление ошибки
|-
| Android OS || Устройство не доверяет центру сертификации, который выпустил сертификат, установленный на серверном приложении SmartPlayer || Добавить корневой сертификат центра сертификации в пользовательские сертификаты на устройстве. Общая инструкция [[Установка_сертификатов_для_ОС_Android]]. Возможно, после установки потребуется перезагрузка устройства. Зависит от прошивки устройства.
|-
| Android OS || Устройство не доверяет центру сертификации, который выпустил сертификат установленный на серверном приложении SmartPlayer, но сертификат установлен в хранилище сертификатов устройства || Обновите клиентское приложение до версии v1.70.2 и выше
|}
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
=== '''Ошибка подключения ${адрес сервера} {"type":"TransportError", "description":{"isTrusted":true}}''' === 
[[Файл:06A63054-AFE2-4037-A37F-FC15028027E5.jpg|безрамки|центр]]
{| class="wikitable"
|+ Ошибки на TizenOS/WebOS/BrightSignOS
|-
! Операционная система !! Причина ошибки !! Исправление ошибки
|-
| WebOS || Устройство не доверяет центру сертификации, который выпустил сертификат, установленный на серверном приложении SmartPlayer || Добавить корневой сертификат центра сертификации в пользовательские сертификаты на устройстве в системном меню WebOS. Возможно, после установки потребуется перезагрузка устройства. Зависит от прошивки устройства.
|-
| TizenOS || Устройство не доверяет центру сертификации, который выпустил сертификат, установленный на серверном приложении SmartPlayer || Добавить корневой сертификат центра сертификации в пользовательские сертификаты на устройстве нет возможности. Выпускать сертификат центром сертификации, которому доверяет устройство по умолчанию. Нужно использовать центры сертификации из списка [[SSSP#Поддержка_HTTPS_(сертификаты)]]
|-
| BrightSignOS || Устройство не доверяет центру сертификации, который выпустил сертификат установленный на серверном приложении SmartPlayer.|| Инструкция как импортировать корневой сертификат в устройство (сами не проверяли) https://support.brightsign.biz/hc/en-us/articles/360024205233-How-do-I-display-a-webpage-that-requires-a-client-certificate Открывать под VPN/Proxy, из-под российского IP не открывается. 
|}
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
=== '''Bad line при проверки конфигурации nginx ''' ===
[[Файл:Bad line.png|безрамки|центр]]
Ошибка возникает, когда цепочка сертификатов создана неправильно, на стыке сертификатов. Откройте файл цепочки сертификатов в любом текстовом редакторе (sublim/atom/editor/notepad++ и т.п.) и сделайте переход на следующую строчку, при начале следующего сертификата. <br>
'''Неправильно''' 
[[Файл:Screenshot from 2024-06-03 10-35-27.png|безрамки|центр]]
'''Правильно'''
[[Файл:Screenshot from 2024-06-03 10-37-07.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
= '''Протестировать в тестовой инфраструктуре SmartPlayer''' =
У компании SmartPlayer есть тестовая среда, где вы можете протестировать взаимодействие по https серверного приложения и клиентского приложения SmartPlayer c сертификатами, выпущенными частным центром сертификации.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
# Серверное приложение: https://self-certificate-api.smartplayer.org/
# Личный кабинет: https://self-certificate.smartplayer.org/
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
При открытии url в браузере будет ошибка сертификата. Браузер на вашем компьютере не доверяет частному центру сертификации который выпущен компанией SmartPlayer. 
[[Файл:Screenshot from 2024-05-30 18-24-41.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Для того, чтобы браузер стал доверять сертификату, который подписан частным центром сертификации добавьте корневой сертификат в центр хранения пользовательских сертификатов браузера. В каждом браузере свой раздел отвечает за это, но чаще всего эти настройки в разделе - безопасность.
</div> 


<div lang="ru" dir="ltr" class="mw-content-ltr">
Скачиваем и добавляем сертификат [https://instructions.hb.ru-msk.vkcs.cloud/rootCA%20sp%202024.crt https://instructions.hb.ru-msk.vkcs.cloud/rootCA_sp_2024.crt]
</div>


<div lang="ru" dir="ltr" class="mw-content-ltr">
Добавленный сертификат в хранилище браузера
[[Файл:Screenshot from 2024-05-30 18-38-53.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Добавленный сертификат
[[Файл:Screenshot from 2024-05-30 18-34-14.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Обновить страницу
# https://self-certificate.smartplayer.org/
# https://self-certificate-api.smartplayer.org/
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Серверное приложение
[[Файл:Screenshot from 2024-05-30 18-35-55.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Личный кабинет 
[[Файл:Screenshot from 2024-05-30 18-36-42.png|безрамки|центр]]
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Теперь видно, что браузер доверяет нашему сертификату, который подписан частным центром сертификации. если нужно протестировать любое клиентское приложение, запросите сборку его на сервер https://self-certificate-api.smartplayer.org/ для тестирования у менеджера компании.
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
= '''Выпуск сертификата сотрудниками SmartPlayer''' =
SmartPlayer можем выпустить сертификат для проекта, но для этого требуется участие администратора домена, на который будет выпущен сертификат. Для начала выпуска сертификата нужно получить название домена на который нужно выпускать сертификат (например api.smartplayer.org/cms.smartplayer.org).
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
{| class="wikitable"
|+ Выпуск сертификата с помощью сотрудника SmartPlayer
|-
! Наименование шага !! Описание действий !! Ответственные
|-
| Купить сертификат GlobalSign на сайте reg.ru || Покупка сертификата уровня DomainSSL || Сотрудник SmartPlayer
|-
| Отправка TXT записи || Сотрудник SmartPlayer отправит TXT запись которую нужно будет добавить для домена || Сотрудник SmartPlayer
|-
| Добавление TXT записи для домена || Добавить TXT запись для домена || Администратор домена (сотрудник организации)
|-
| Создание цепочки сертификатов || Создается цепочка сертификатов для установки на серверном приложении || Сотрудник SmartPlayer
|-
| Отправка архива с (корневым сертификатов, цепочкой сертификатов, приватным ключом) || Отправка архива с данными по сертификату || Сотрудник SmartPlayer
|}
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
# Стоимость услуги примерно 3000р (включает покупку сертификата). Постоплата. Стоимость может меняться, уточняйте в отделе продаж. 
# Сертификат будет действовать - один год с момента выпуска. 
=== Если серверное приложение и личный кабинет используют один домен, то достаточно одного сертификата. Если разные домены то нужно покупать 2 сертификата. ===
</div> 

<div lang="ru" dir="ltr" class="mw-content-ltr">
Пример одного домена для личного кабинета и серверного приложения: 
# https://develop.smartplayer.org - серверное приложение
# https://develop.smartplayer.org/cms/ - личный кабинет
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
Пример двух доменов для личного кабинета и серверного приложения: 
# https://api.smartplayer.org - серверное приложение
# https://cms.smartplayer.org - личный кабинет
</div>

<div lang="ru" dir="ltr" class="mw-content-ltr">
На работу приложений это никак не влияет, можно выбрать любой вариант размещения платформы.
</div>