Rakenduse turvalisus ja protokollid

Ülevaade

Play Digital Signage’is võtame sinu andmete turvalisust väga tõsiselt. See leht annab lühikese ülevaate turvatoimingutest Play Digital Signage’is.

Konto turvalisus

Paroolid on meie andmebaasis ja krüptitud tipptasemel parooliräsi algoritmiga Argon2. Nii ei tea meie töötajad paroole ja väheusutava andmelekke korral need ei leki. Sisselogimisseansid kasutavad ainult HTTPS-i küpsiseid (Secure), et pealtkuulaja ei saaks ühendust pealt kuulates neid varastada.

Registreerumisel (või parooli vahetamisel) kontrollime parooli lisaks lekkinud paroolide avaliku andmebaasi vastu, et sa ei kasutaks ebaturvalist parooli. Kontrolli ajal parool meie serveritest ei lahku. Kasutame protokolli k-anonymity, et kontrollida parooli usaldusväärse teenusega HaveIBeenPwned.

Meie veebivestlust peab Crisp, samuti turvalisust tõsiselt võttev ettevõte. Nende tavad on üksikasjalikult kirjeldatud.

Lisaks:

• Kogu liiklus sinu seadmete või brauseri ja meie serverite vahel on kaitstud SSL-i ja DNSSEC-iga.
• Varundame andmeid mitu korda päevas.
• Kasutame Cloudflare’i, et häkkerirünnakuid avastada ja leevendada.
• Toetame kaheastmelist autentimist.
• Kogu liiklus meie serverite vahel on krüptitud ja käib privaatvõrkudes.
• Veebiportaal kasutab XSS-rünnakute tõkestamiseks reegleid CSP.
• API lubab CORS päringuid ainult meie domeenide veebilehtedelt.

Loe edasi:

• https://en.wikipedia.org/wiki/Argon2
• https://www.password-hashing.net/
• https://docs.crisp.chat/guides/others/security-practices/
• https://en.wikipedia.org/wiki/K-anonymity
• https://haveibeenpwned.com/Passwords

Liikluse turvalisus

Kõik ühendused meie serveritega on HTTPS, seega on liiklus krüptitud, ka WebSocketi ühendused. SSLv3 on välja lülitatud ja kasutame ainult TLS-i.

Interneti-liiklus käib Cloudflare’i võrgu kaudu, mis kaitseb servereid teenusetõkestuse (DoS) ja jõurünnakute (brute force) eest.

Loe edasi:

• https://www.cloudflare.com/cybersecurity/
• https://disablessl3.com/

Failide turvalisus

Failid on meie serverites Euroopas või Ameerika Ühendriikides, olenevalt sinu asukohast. Faile ei saa privaatseks teha, sest pleierid peavad neid internetist alla laadima, aga igale failile genereerime unikaalse ID, nii et aadressi on peaaegu võimatu ära arvata. Näiteks näeb üleslaaditud faili aadress välja nii:

https://eu-storage.playsignage.com/aac73f17-380c-40c2-a869-e23b261bcd62/05e2b56f-13b3-44c2-b344-7690def51b67/05e2b56f-13b3-44c2-b344-7690def51b67.png

Ründajal on suurem võimalus sinu parool ära arvata! (seega veendu, et see on turvaline)

Üleslaaditud failidest on samas piirkonnas (Euroopas või Ameerika Ühendriikides, olenevalt sinu asukohast) ka varukoopia, juhuks kui põhifailihoidla peaks katkema.

Failide jaoks, mis vajavad teisendamist (iga videofail peale .mp4 ning Apple’i kontorivormingud .key, .numbers ja .pages), kasutame teisendusteenust CloudConvert. Failide käsitlemist kirjeldavad nad oma privaatsuspoliitikas:

Teenuse osutamise käigus kantakse failid CloudConverti serveritesse ja salvestatakse seal ajutiselt. Me ei loe, vaata ega kogu sinu failidest ega nende metainfost mingeid andmeid. Me ei tee neist koopiaid. Kogu failitöötluse teeb masin ja inimene sinu failidega kokku ei puutu. Failid kustutatakse meie serveritest kohe ja pöördumatult, kui klõpsad ikooni „ד (paremal, nupu Download kõrval). See juhtub automaatselt hiljemalt 24 tunni pärast.

Kui ettevõtte reeglite või muu põhjuse tõttu ei tohi faile avalikku veebi panna, saab viidata ka privaatses failiserveris olevatele failidele. Loe lähemalt: Privaatsed failid.

Pleieri turvalisus

Kui pleier seotakse kasutajakontoga, genereerib server unikaalse salajase tokeni ja saadab selle pleierile ühe korra. Iga järgmine pleieri päring meie serveritele nõuab seda tokenit, et pahatahtlik ründaja ei saaks pleierina esineda. Nõrgim lüli on pleieri füüsiline turvalisus, seega hoia see silma alt ära ja võimalusel kättesaamatus kohas.

Loe edasi:

• https://www.jwt.io/introduction#what-is-json-web-token
• https://en.wikipedia.org/wiki/JSON_Web_Token

Krediitkaardi turvalisus

Makseväravana kasutame Stripe’i ja nemad hoiavad andmeid turvaliselt. Stripe on PCI Data Security Standardi järgi sertifitseeritud ettevõte. Kui seod kontoga krediitkaardi, lähevad kaardi numbrid Stripe’i serveritesse otse brauserist. Meie süsteem sinu kaardiandmeid ei salvesta ega töötle.

Loe edasi:

• https://docs.stripe.com/security

Lubatavad domeenid

Kui pleier on ettevõtte tulemüüri taga, tuleb järgmised domeenid (port 443) protokollidel https:// ja wss:// lubada:

• playsignage.com
• Soovitame lubada kõik *.playsignage.com alamdomeenid, et tulevikus midagi katki ei läheks. Kui tärniga lubamine ei ole võimalik, võib pleier kasutada ka järgmisi alamdomeene:
  • registry.playsignage.com (WebSocketi ühendus, protokoll wss://)
  • stream.playsignage.com või us-stream.playsignage.com (WebSocketi ühendus, protokoll wss://)
  • [valikuline, soovitatav] stream-dc.playsignage.com või us-stream-dc.playsignage.com (WebSocketi ühendus, protokoll wss://)
  • eu-api.playsignage.com või us-api.playsignage.com (API ühendus)
  • release.playsignage.com (ainult Windows / OSX / Linux pleierite automaatseks uuendamiseks)
  • eu-storage.playsignage.com või us-storage.playsignage.com (failihoidla)
  • quotes.playsignage.com (plugin Päeva tsitaat laadib sellelt aadressilt tsitaate)
  • onthisday.playsignage.com (plugin Täna ajaloos laadib sellelt aadressilt andmeid)
  • widgets.playsignage.com (pluginad Facebooki foto, Instagrami foto ja RSS-lugeja)
  • proxy.playsignage.com (pluginad Ilm, Facebooki postitus ja Instagrami teemaviide kasutavad seda domeeni)
  • my.playsignage.com (proksi asukoht, mille kaudu laaditakse ebaturvalisi, mitte-HTTPS veebiressursse)
  • logging.playsignage.com (valikuline, et saaksime pleieri logid kätte ja probleeme otsida)
  • analytics.playsignage.com või us-analytics.playsignage.com (valikuline, kui tahad kasutada funktsiooni Analüütika)
• Mõni plugin suhtleb väliste süsteemidega:
  • images.unsplash.com (kui kasutad pilte pluginast Unsplash)
  • player.vimeo.com (kui kasutad videoid pluginast Pixabay)