HTTPS, TLS - Historie editací

Adamn v 16. 7. 2023, 07:54

2023-07-16T07:54:31Z

Adamn v 12. 6. 2023, 16:18

2023-06-12T16:18:08Z

Adamn v 12. 6. 2023, 16:16

2023-06-12T16:16:44Z

Adamn v 12. 6. 2023, 13:15

2023-06-12T13:15:55Z

Adamn v 12. 6. 2023, 12:30

2023-06-12T12:30:46Z

Adamn v 12. 6. 2023, 12:29

2023-06-12T12:29:26Z

Adamn v 12. 6. 2023, 12:27

2023-06-12T12:27:02Z

Adamn v 14. 5. 2023, 14:48

2023-05-14T14:48:19Z

Adamn v 8. 5. 2023, 08:09

2023-05-08T08:09:23Z

Adamn v 8. 5. 2023, 08:07

2023-05-08T08:07:56Z

← Starší verze		Verze z 16. 7. 2023, 07:54
Řádek 117:		Řádek 117:

	Pozn. CRL není v SDS aktivováno.		Pozn. CRL není v SDS aktivováno.
		+
		+
		+	Certifikát se nahrává přes webové rozhraní, které k tomu účelu využívá HTTP(s) POST. Pokud chcete realizovat vlastní OEM způsob nahrání certifikátu do SDS, použijte stejný postup. Popis protokolu (payload přes POST) je k dispozici (lze se také podívat, co a jak odesílá webové rozhraní SDS, a jaké kontroly tam provádí klientská strana). SDS vždy provádí řadu server-side kontrol, a pokud nejsou nahrané certifikáty v pořádku, nejsou použity (není aktivováno TLS). Stav lze vždy ověřit ve webovém rozhraní (včetně výpisu základních položek z instalovaného certifikátu).

← Starší verze		Verze z 12. 6. 2023, 16:18
Řádek 147:		Řádek 147:
	Pokud je aktivní RSTD, tato funkce je (po dobu aktivity RSTD) vyřazena z činnosti.		Pokud je aktivní RSTD, tato funkce je (po dobu aktivity RSTD) vyřazena z činnosti.

		+
		+	== Platný čas v zařízení SDS ==
		+
		+	Z principu funkce TLS je vyžadován platný skutečný čas v zařízení SDS, tedy zařízení SDS musí mít k dispozici aktuální čas buď z NTP serveru, nebo ručně dodaný (zápisem do RTC).

← Starší verze		Verze z 12. 6. 2023, 16:16
Řádek 139:		Řádek 139:

	Úplný výpis nastavení IP filtru je k dispozici na webových stránkách administrace SDS.		Úplný výpis nastavení IP filtru je k dispozici na webových stránkách administrace SDS.
		+
		+
		+	== Vynucení HTTPS pro webový server SDS ==
		+
		+	V konfiguraci SDS (webová administrace) lze zapnout povolení komunikace, pro webový server SDS, jen přes HTTPS protokol (tedy všechny požadavky na HTTP budou odmítnuty - pomocí TCP RST).
		+
		+	Pokud je aktivní RSTD, tato funkce je (po dobu aktivity RSTD) vyřazena z činnosti.
		+

@@ Řádek 10: / Řádek 10: @@
 == Implementované verze protokolu TLS ==
 <div class="successbox">SDS podporuje protokol TLS 1.2 a protokol TLS 1.3 .</div>
@@ Řádek 17: / Řádek 18: @@
 '''Starší''', méně bezpečné, protokoly, jako je TLS 1.1 nebo SSL atd. - jsou záměrně v SDS zakázány, protože jsou dnes nahrazeny právě uvedenými novými verzemi TLS. Pokud budete potřebovat, pro váš specifický systém, starší verzi, kontaktujte výrobce pro speciální variantu (ale musíte to dobře zdůvodnit).
-SDS podporuje tyto algoritmy:
+V současné verzi FW je protokol TLS (HTTPS) vždy napevno provozován na TCP portu '''443'''.
 * RSA (1024 bitů a více)
 * ECC (192 bitů a více) - NIST 192, 224, 256, 384, 512

@@ Řádek 82: / Řádek 82: @@
 SDS se chová jako webový SERVER, poskytující HTTPS.
-<div class="successbox">Vy, jako správce SDS, si do něj musíte vložit svůj serverový certifikát a klíč.</div>
+<div class="successbox"><b>Vy</b>, jako <b>správce</b> svého zařízení SDS, si do zařízení <b>musíte vložit</b> svůj serverový certifikát a klíč.</div>
-Typicky získáte certifikát pro server v rámci své firemní / organizační PKI struktury. Pokud ji nemáte, můžete použít vlastní CA (návod na vytvoření bude zde) nebo, v nouzi největší, jen self-signed certifikát.
+Typicky získáte certifikát pro server v rámci své firemní / organizační PKI struktury. Pokud ji nemáte, můžete použít vlastní CA, nebo, v nouzi největší, jen self-signed certifikát.
 Základem pro používání TLS je znalost způsobu jeho funkce a nasazení. Pokud to víte, tak jste schopni si získat i správný certifikát, a také se vyhnout všem překážkám.

@@ Řádek 11: / Řádek 11: @@
 == Implementované verze protokolu TLS ==
-SDS podporuje protokol TLS 1.2 a protokol TLS 1.3 - volba protokolu je vyjednána s protistranou (klient, např. webový prohlížeč) vždy při každém novém spojení. SDS preferuje vždy tu nejvíce bezpečnou variantu, z nabízených možností.
+<div class="successbox">SDS podporuje protokol TLS 1.2 a protokol TLS 1.3 .</div>
-Starší protokoly, jako je TLS 1.1 nebo SSL atd. - jsou záměrně v SDS zakázány, protože jsou dnes nahrazeny právě uvedenými novými verzemi TLS. Pokud budete potřebovat, pro váš specifický systém, starší verzi, kontaktujte výrobce pro speciální variantu (ale musíte to dobře zdůvodnit).
+Volba TLS protokolu je vždy vyjednána s protistranou (klient, např. webový prohlížeč) a to vždy při každém novém spojení. SDS preferuje vždy tu nejvíce bezpečnou variantu, z nabízených možností - záleží pak na klientovi, jaké má schopnosti. Vyjednaný protokol pro dané spojení je možné z SDS zjistit (je to napsáno např. na úvodní přihlašovací (login) stránce).
 SDS podporuje tyto algoritmy:
@@ Řádek 78: / Řádek 80: @@
 == Certifikát pro SERVER ==
-SDS se chová jako webový SERVER, poskytující HTTPS. '''Vy, jako správce SDS, si do něj musíte vložit svůj serverový certifikát a klíč'''.
+SDS se chová jako webový SERVER, poskytující HTTPS.
 Typicky získáte certifikát pro server v rámci své firemní / organizační PKI struktury. Pokud ji nemáte, můžete použít vlastní CA (návod na vytvoření bude zde) nebo, v nouzi největší, jen self-signed certifikát.

@@ Řádek 2: / Řádek 2: @@
 __NOTOC__
-SDS moduly řady 512 poskytují, je-li instalován správný firmware, komunikaci zabezpečeným šifrovaným protokolem TLS - což umožňuje provozovat HTTPS.
+SDS moduly řady 512 poskytují, je-li instalován aktuální firmware, komunikaci zabezpečeným šifrovaným protokolem TLS - což umožňuje provozovat HTTPS.
 Prakticky se jedná o všechny typy modulů STSW-512 a zařízení BIG-512 a BIG2-512, se specifickým nainstalovaným firmware.
@@ Řádek 78: / Řádek 78: @@
 == Certifikát pro SERVER ==
-SDS se chová jako webový SERVER, poskytující HTTPS. Vy jako uživatel SDS si do něj musíte vložit svůj serverový certifikát a klíč. Zde bude uveden kompletní návod.
+SDS se chová jako webový SERVER, poskytující HTTPS. '''Vy, jako správce SDS, si do něj musíte vložit svůj serverový certifikát a klíč'''.
 Typicky získáte certifikát pro server v rámci své firemní / organizační PKI struktury. Pokud ji nemáte, můžete použít vlastní CA (návod na vytvoření bude zde) nebo, v nouzi největší, jen self-signed certifikát.
-Server v SDS neprovádí Mutual Authentication, ovšem na zakázku je to možné aktivovat - běžný firmware to nemá k dispozici. Potřebujete to jen v případě nejvíce přísných požadavků na bezpečnost, a potom už přesně víte o co jde a proč to chcete.
+Základem pro používání TLS je znalost způsobu jeho funkce a nasazení. Pokud to víte, tak jste schopni si získat i správný certifikát, a také se vyhnout všem překážkám.
 * Formát souboru s certifikátem: PEM
-* Formát souboru s private klíčem: PEM
+* Formát souboru s private klíčem: nešifrovaný PEM / KEY
-SDS akceptuje (jako serverový certifikát) i certifikáty V1 (zastaralé).
+Aktuální instalovaný certifikát si lze prohlédnout ve webovém rozhraní modulu SDS. '''Hlídejte si dobu expirace instalovaného certifikátu !'''
 SDS pro certifikáty X509 podporuje všechna konfigurační pole dle RFC5280. Pokud váš certifikát obsahuje další doplňující (EXTRA DN) položky, SDS je ignoruje.
@@ Řádek 96: / Řádek 105: @@
 * PKCS#5 (včetně PBKDF1)
 * PKCS#8
-* PKCS#12 (včetně PBKDF2)
+* PKCS#12
 SDS podporuje OCSP prostřednictvím TLS protokolu.
@@ Řádek 103: / Řádek 112: @@
-== Server v SDS ==
+== Self-Signed Certifikát pro Server v SDS ==
-Server poskytuje současně jak komunikaci přes HTTP (typicky TCP port 80) tak současně komunikaci přes HTTPS (typicky TCP port 443). V rámci administrace zařízení můžete následně HTTP vypnout, a ponechat jen HTTPS.
+Úplný výpis nastavení IP filtru je k dispozici na webových stránkách administrace SDS.
 == Informace ==
-Stránka je ve výstavbě.
+Stránka je ve výstavbě, detaily jsou postupně vyplňovány.

← Starší verze		Verze z 14. 5. 2023, 14:48
Řádek 98:		Řádek 98:
	* PKCS#12 (včetně PBKDF2)		* PKCS#12 (včetně PBKDF2)

−	Pozn. ~~OCSP ani~~ CRL není v SDS aktivováno.	+	SDS podporuje OCSP prostřednictvím TLS protokolu.
		+
		+	Pozn. CRL není v SDS aktivováno.

@@ Řádek 41: / Řádek 41: @@
 * TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
 * TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
-* aktuálně vypnutá kombinace (v budoucnu možno zapnout): ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 dle RFC7905
+* ''aktuálně vypnutá kombinace (v budoucnu možno zapnout): TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 dle RFC7905''
 * TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
 * TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
@@ Řádek 48: / Řádek 48: @@
 * TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
 * TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
-* aktuálně vypnutá kombinace (v budoucnu možno zapnout): TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 dle RFC7905
+* ''aktuálně vypnutá kombinace (v budoucnu možno zapnout): TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 dle RFC7905''
 * TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
 * TLS_RSA_WITH_AES_128_CBC_SHA