Курсы 3ds Max | Обучение 3ds Max в Специалисте

Недавно вспомнилось мне, что есть такой сервис — StartSsl, который совершенно бесплатно раздаёт trusted сертификаты владельцам доменов для личного использования. Да и выходные попались свободные. В общем сейчас напишу, как в nginx настроить HTTPS, чтобы при проверке в SSL Labs получить рейтинг А и обезопасить себя от последних багов с помощью выпиливания SSL.

Итак, приступим. Будем считать, что у вы уже зарегистрировались на StartSsl, прошли персональную проверку и получили вожделенный сертификат. Для начала опубликую итоговый конфиг, а после этого разберу его.

Вот что у меня получилось:

server {
    server_name dsmirnov.pro www.dsmirnov.pro;
    listen 80;
    return 301 https://dsmirnov.pro$request_uri;
}

server {
    listen 443 ssl spdy;
    server_name dsmirnov.pro;
    resolver 127.0.0.1;
    ssl_stapling on;
    ssl on;
    ssl_certificate /etc/pki/nginx/dsmirnov.pro.pem;
    ssl_certificate_key /etc/pki/nginx/dsmirnov.pro.clean.key;
    ssl_dhparam /etc/pki/nginx/dhparam.pem;
    ssl_session_timeout 24h;
    ssl_session_cache shared:SSL:2m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers kEECDH AES128:kEECDH:kEDH:-3DES:kRSA AES128:kEDH 3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
    ssl_prefer_server_ciphers on;
    add_header Strict-Transport-Security "max-age=31536000;";
    add_header Content-Security-Policy-Report-Only "default-src https:; script-src https: 'unsafe-eval' 'unsafe-inline'; style-src https: 'unsafe-inline'; img-src https: data:; font-src https: data:; report-uri /csp-report";
}

В первой секции всё вроде понятно, любой вход по http с любым URI редиректит с этим-же URI в схему https.

Начнём разбор секции server для https. Директивой listen 443 ssl spdy; сразу включаем spdy. Вот на картинке разница:

Следущим шагом включаем ssl_stapling on; — позволяем серверу прикреплять OCSP-ответы, тем самым уменьшая время загрузки страниц у пользователей. Цепочка сертификатов (доменный — промежуточный центр авторизации — корневой центр авторизации) может содержать 3-4 уровня. И на каждый уровень браузер должен устанавливать соединение и получать сертификат. Можно отправить все сертификаты (включая промежуточный: именно за этим была настройка TCP-окон отправки, чтобы цепочка сертификатов гарантированно поместилась в в одну пересылку пакетов) разом, тогда браузер проверит всю цепочку локально, а запросит только корневой (который в большинстве случаев уже находится на клиенте). Для работы этой функции обязательно описать resolver — у меня поднят свой собственный DNS сервер, поэтому в качестве значения указан 127.0.0.1, Вы можете указать 8.8.8.8, но многие в последнее время на него ругаются. Что такое ssl on; я думаю нет смысла рассказывать.

Далее директивами ssl_certificate и ssl_certificate_key указываем пути к полученным через StartSsl сертификатам. У вас уже есть 3 файла: domain.ru.key, domain.ru.crt и sub.class1.server.ca.pem. Копируем ключи в ( моём случае ) /etc/pki/nginx.

Не забываем, что pem файл для nginx должен быть смержен с сертификатом CA ( Должно получиться из 3х — 2 файла. ):

cp domain.ru.key /etc/pki/nginx
cat domain.ru.crt sub.class1.server.ca.pem > /etc/pki/nginx/domain.ru.pem

Теперь о

ssl_dhparam /etc/pki/nginx/dhparam.pem;

— это нужно, чтобы у нас заработал Forward Secrecy. Прямая секретность означает, что если третья сторона узнает какой-либо сеансовый ключ, то она сможет получить лишь доступ к данным, защищенным лишь этим ключом. Для сохранения совершенной прямой секретности ключ, используемый для шифрования передаваемых данных, не должен использоваться для получения каких-либо дополнительных ключей. Также, если ключ, используемый для шифрования передаваемых данных, был получен (derived) на базе какого-то еще ключевого материала, этот материал не должен использоваться для получения каких-либо других ключей.

Сгенерировать ключ можно так:

openssl dhparam -out /etc/pki/nginx/dhparam.pem 4096

Далее несложные настройки ssl_session_timeout 24h; и ssl_session_cache shared:SSL:2m;, которые не требуют особенных описаний — срок истечения сессии и размер памяти, выделяемой для хранения кеша — у меня бложик маленький, поэтому 2 Мб вполне достаточно.

Дальше — важные параметы: ssl_protocols TLSv1 TLSv1.1 TLSv1.2; и ssl_ciphers kEECDH AES128:kEECDH:kEDH:-3DES:kRSA AES128:kEDH 3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2; — тут мы указываем, что мы желаем только TLS и второй строкой выжигаем калёным железом все SSL. В свете последних фейлов с SSL — очень актуально, что и Вам советую. Ну и директивой ssl_prefer_server_ciphers on; принуждаем nginx это всё строго соблюдать.

Директива add_header Strict-Transport-Security «max-age=31536000;»; указывает браузерам сколько они должны помнить данные требования безопасности для моего домена. В данном случае — 1 год. Кстати, если директиву написать вот так: add_header Strict-Transport-Security «max-age=31536000; includeSubDomains; preload»;, то данные условия будут применимы ко всем доменам третьего и выше уровня вашего домена. Тут будте осторожны! Я изначально описал именно так, но так, как StartSsl выдаёт сертификаты на ограниченное количество поддоменов, я наткнулся на невозможность даже попасть на свои поддомены, которые обслуживают разнообразные админки, работали только те, на которые были выписаны trusted сертификаты. Поэтому я для себя выбрал первый вариант.

Далее — add_header Content-Security-Policy-Report-Only «default-src https:; script-src https: ‘unsafe-eval’ ‘unsafe-inline’; style-src https: ‘unsafe-inline’; img-src https: data:; font-src https: data:; report-uri /csp-report»; — я толком глубоко ещё не изучил свойства данного заголовка. Content Security Policy (CSP) — новый стандарт, определяющий HTTP-заголовки Content-Security-Policy и Content-Security-Policy-Report-Only, которые сообщают браузеру белый список хостов, с которых он может загружать различные ресурсы.

Временно я взял данную строку из статьи Яндекса про применение у них CSP, почитать подробно можно тут: http://www.html5rocks.com/en/tutorials/security/content-security-policy/.

Вот вроде-бы и всё. Несколько ссылкок, где можно проверить результаты своих и чужих трудов:

1. SPDY Check — это результат моего труда.

2. SSL Labs — проверка качества защиты вашего сервера.

Удачной защиты, коллеги!

Настоящий документ (далее – Политика) устанавливает принципы, цели, условия и способы обработки персональных данных Лицензиата Лицензиаром и является неотъемлемой частью Оферты, размещенной по адресу: my-sertif.ru

В целях защиты персональных данных в рамках Политики Лицензиатом признается любое дееспособное физическое лицо, индивидуальный предприниматель или представитель юридического лица, посетивший Сайт и (или) использующий Платформу.

В остальных случаях термины и определения, закрепленные в Оферте, должны соответствующим образом толковаться в рамках Политики. В случае наличия противоречий между Политикой и иными официальными документами Лицензиара применению подлежит настоящая Политика.

1.Общие положения

1.1.Политика разработана в соответствии с действующим законодательством Российской Федерации о персональных данных.

1.2.Действие Политики распространяется на все осуществляемые Лицензиаром и связанные с обработкой персональных данных процессы, как с использованием средств автоматизации, в том числе в сети Интернет, так и без использования таких средств. К таким процессам в том числе могут относятся сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

1.3.Присоединяясь к Оферте, Лицензиат дает согласие на

1.3.1.Обработку своих персональных данных в целях и способами, предусмотренными Политикой.

1.3.2.Передачу персональных данных платежным системам и организациям при оплате Тарифа с использованием Сайта.

1.3.3.Получение от Лицензиара информационных сообщений о вебинарах, обновлениях Платформы, обучающей информации.

1.4.Лицензиар не проверяет достоверность предоставленных Лицензиатом персональных данных, рассчитывая на добросовестность и разумность Лицензиата.

2.Состав обрабатываемой информации

2.1.В состав обрабатываемой информации входит:

2.1.1.Персональная информация, предоставляемая Лицензиатом самостоятельно, включая фамилию, имя, отчество, электронную почту, телефон, адрес, номер банковской карты и другие данные.

2.1.2.Техническая и статистическая информация:

2.1.2.1.IP-адрес компьютера Лицензиата и время доступа.

2.1.2.2.Сведения о посещенных разделах Сайта.

2.1.2.3.Информация, предоставляемая браузером Лицензиата, в том числе тип устройства, версия браузера, операционная система и пр.

2.1.2.4.Номер телефона при осуществлении Лицензиатом звонка на телефонные номера, указанные на Сайте.

2.1.2.5.Адрес электронной почты, при направлении Лицензиатом электронных писем Лицензиару.

2.1.3.Информация о действиях Лицензиата, к которой относятся:

2.1.3.1.Сведения о направленных запросах, вопросах.

3.Цели обработки персональных данных

3.1.Главной целью Политики является обеспечение защиты информации о Лицензиате, в том числе персональных данных, от несанкционированного доступа и разглашения. Также целью Политики является надлежащее выполнение обязательств Лицензиара перед Лицензиатом в рамках Оферты и иных договоров, которые могут быть заключены между Лицензиатом и Лицензиаром.

3.2.Лицензиат соглашается с тем, что Лицензиар также может использовать его персональные данные в целях:

3.2.1.Обработки писем от Лицензиата.

3.2.2.Связи с Лицензиатом, в том числе для направления ответов, уведомлений, решений, запросов и иной информации, связанной с исполнением Оферты.

3.2.3.Улучшения качества Платформы, удобства ее использования и разработки новых продуктов.

3.2.4.Разрешения споров, сбора отзывов и выявления неисправностей.

3.2.5.Сравнения персональных данных для подтверждения их точности и проверки их третьими лицами в случаях, предусмотренных законодательством.

3.2.6.Предотвращения случаев мошенничества и других злоупотреблений, а также для расследования таких случаев.

3.2.7.Проведения статистических и иных исследований, на основе обезличенных данных.

4.Принципы обработки персональных данных

Обработка персональных данных осуществляется основываясь на следующих принципах:

4.1.Законность и справедливая основа обработки персональных данных.

4.2.Обработка персональных данных в соответствии с конкретными, заранее определенными и законными целями.

4.3.Не допущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4.4.Соответствие содержания и объема персональных данных заявленным целям обработки.

4.5.Точность, достаточность, актуальность и достоверность персональных данных.

4.6.Законность технических мер, направленных на обработку персональных данных.

4.7.Разумность и целесообразность обработки персональных данных.

4.8.Законный и разумный срок хранения персональных данных.

5.Обработка персональных данных

5.1.Лицензиар производит обработку персональных данных своими силами и средствами с согласия Лицензиата. Обработка персональных данных Лицензиата начинается с момента их получения.

5.2.Сбор персональных данных осуществляется следующими способами:

5.2.1.Предоставление персональных данных их субъектами при заполнении соответствующих форм на Платформе и направлении электронных писем Лицензиару.

5.2.2.Автоматический сбор информации о Лицензиате:

5.2.2.1.При совершении звонков по номерам телефонов, указанным на Платформе, или направлении электронных писем и обратной связи по электронным письмам Лицензиара.

5.2.2.2.С помощью технологий и сервисов: веб-протоколы, куки, веб-отметки, которые запускаются только при вводе Лицензиатом своих данных.

5.3.Хранение и использование персональных данных.

5.3.1.Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют соответствующие цели обработки. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, или в случае утраты необходимости в достижении этих целей.

5.3.2.Персональные данные Лицензиата хранятся исключительно должным образом на защищенных электронных носителях и обрабатываются с использованием автоматизированных систем, за исключением случаев, когда неавтоматизированная обработка персональных данных необходима в соответствии с законодательством Российской Федерации. Лицензиар при обработке персональных данных Лицензиата применяет базы данных на территории Российской Федерации.

5.4.Передача персональных данных.

5.4.1.Данные банковской карты передаются только в зашифрованном виде и не сохраняются на Сайте. Все операции с платежными картами происходят в соответствии с требованиями VISA International, MasterCard, American Express и других платежных систем. При передаче информации используются специальные технологии безопасности карточных онлайн-платежей, обработка данных ведется на безопасном высокотехнологичном сервере процессинговой компании. В случаи использования регулярных платежей, при совершении первой операции номер банковской карты и срок действия будут сохранены на стороне банка.

5.4.2.Лицензиар не передает персональные данные третьим лицам без согласия Лицензиата, за исключением случаев, когда:

5.4.2.1.Передача информации необходима для обеспечения соблюдения требований законодательства Российской Федерации, предупреждения, пресечения незаконных действий Лицензиата и защиты законных интересов Лицензиара и третьих лиц.

5.4.2.2.Передача информации осуществляется по запросу государственных органов при соблюдении законодательства РФ.

5.4.2.3.Передача информации производится в рамках продажи или иной передачи Платформы в собственность третьим лицам. При этом к приобретателю переходят все обязательства по соблюдению условий настоящей Политики в отношении персональных данных, полученных от Лицензиата.

5.5.Блокирование персональных данных. Лицензиар оставляет за собой право временно прекратить обработку персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

5.6.Уничтожение персональных данных. Персональные данные Лицензиата могут быть уничтожены Лицензиаром в случае наличия угрозы безопасности Платформы и нарушении Лицензиатом условий Оферты или по просьбе самого Лицензиата.

6.Защита информации

6.1.Лицензиар принимает технические и организационно-правовые меры, частью которых является Политика для защиты персональных данных Лицензиатов от незаконного или случайного доступа, сбора, хранения, использования, передачи, блокирования или уничтожения, а также от иных подобных действий.

7.Права Лицензиата

7.1.Лицензиат всегда имеет право на получение информации об обработке персональных данных о нем, в том числе содержащей:

7.1.1. Подтверждение факта обработки персональных данных.

7.1.2. Правовые основания обработки персональных данных.

7.1.3. Цели и применяемые Лицензиаром способы обработки персональных данных.

7.1.4. Наименование и место нахождения Лицензиара, сведения о лицах (за исключением работников Лицензиара), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Лицензиаром или в соответствии с законодательством Российской Федерации.

7.1.5. Обрабатываемые персональные данные, относящиеся к соответствующему Лицензиату, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством Российской Федерации.

7.1.6. Сроки обработки персональных данных, в том числе сроки их хранения.

7.1.7. Порядок осуществления Лицензиатом прав, предусмотренных законодательством Российской Федерации.

7.1.8. Информацию об осуществленной или о предполагаемой трансграничной передаче данных.

7.1.9. Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Лицензиара, если обработка поручена или будет поручена такому лицу.

7.1.10. Иные сведения, предусмотренные законодательством Российской Федерации.

7.2.Лицензиат вправе получать сведения, указанные в п. 7.1. Политики, неограниченное количество раз.

7.3.Лицензиат может отозвать согласие на обработку персональных данных, направив письменное уведомление по адресу Лицензиара 127576, г. Москва, ул. Новгородская д.3 к.1 кв.64.

8.Обязанности Лицензиара

В соответствии с требованиями Федерального закона «О персональных данных» Лицензиар обязан:

8.1. Предоставлять Лицензиату по его просьбе информацию, касающуюся обработки его персональных данных и указанную в п. 7.1. Политики, либо предоставить Лицензиату обоснованный отказ.

8.2.Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Политикой и Федеральным законом «О персональных данных».

8.3.При обработке персональных данных принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

8.4.По требованию Лицензиата уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

8.5.Вести Реестр учета обращений Лицензиатов, в котором должны фиксироваться запросы Лицензиатов на получение персональных данных, а также факты предоставления персональных данных по этим запросам.

8.6.Обеспечить правомерность обработки персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, Лицензиар в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение.

8.7.В случае отзыва Лицензиатом согласия на обработку персональных данных прекратить их обработку и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, за исключением случаев, когда обработка может быть продолжена в соответствии с законодательством.

9.Ограничение действия Политики

9.1.Действия Политики распространяются исключительно на Сайт Лицензиара, и не применяются к другим сайтам.

9.2.Лицензиат обязан разумно и ответственно подходить к выбору уровня конфиденциальности и к размещению собственных персональных данных на Платформе. Лицензиар не несет ответственности за действия третьих лиц, получивших доступ к персональным данным Лицензиата по вине последнего.

9.3.Лицензиар гарантирует, что не собирает, не использует и не передает третьим лицам информацию, касающуюся детей младше 14 лет.

10.Заключительные положения

10.1. Политика является локальным нормативным актом Лицензиара.

10.2. Общедоступность Политики обеспечивается публикацией на Сайте.

10.3. Лицензиар имеет право вносить изменения в Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения.’;