Различия

Показаны различия между двумя версиями страницы.

--- web_security [2017/04/19 11:25] – [Атака посредника] kuld
+++ web_security [2023/01/15 14:57] (текущий) – kuld
@@ Строка 23: / Строка 23: @@
 <note important>Необходимость использования безопасных паролей даже не обсуждается. В прикладных решениях 1С есть настройки безопасности входа, задействуйте их. Не показывайте пользователей в списке выбора. Не называйте пользователя с полными правами "Администратор", "Админ" и т.п.</note>
-{{ :1c_seqlogin.png |}}
+{{  :1c_seqlogin.png  }}
 Разработано множество способов противостояния атаке грубой силы, но, к сожалению, большинство их недоступно для 1С:Предприятия, по крайней мере на уровне платформы.
-Самый популярный инструмент защиты - капча, увы, отсутствует в платформе 1С. Автоматический таймаут после нескольких неудачных попыток ввода пароля - так же нам не доступен. Самый надежный способ - двухфакторная авторизация, увы, в платформе 1С:Предприятие тоже отсутствует.
+Самый популярный инструмент защиты - капча, увы, отсутствует в платформе 1С. Автоматический таймаут после нескольких неудачных попыток ввода пароля - так же нам не доступен. Самый надежный способ - двухэтапная аутентификация, увы, в платформе 1С:Предприятие тоже отсутствует. <note tip>Двухэтапную аутентификацию можно реализовать на уровне прикладного решения. Пользователь сначала проходит аутентификацию в платформе, затем, уже в конфигурации его встречает Google Authenticator или просят ввести код, отправленный SMS.</note>
-<note tip>Двухфакторную авторизацию можно реализовать на уровне прикладного решения. Пользователь сначала проходит аутентификацию в платформе, затем, уже в конфигурации его встречает Google Authenticator или просят ввести код, отправленный SMS.</note>
 Если Вы точно знаете откуда внешние пользователи будут подключаться к Вашей информационной базе и знаете их IP адреса, например, это может быть Ваш удаленный офис, [[:web_security#ограничение_доступа_по_ip_адресам|просто ограничьте доступ]] к опубликованной информационной базе. Запретите его всем, кроме известных Вам адресов удаленного офиса.
@@ Строка 158: / Строка 157: @@
 Вы можете получить такой сертификат для своего сайта. Это платная услуга, Вы подаете заявку в удостоверяющий центр, прилагаете требуемые документы, удостоверяющий центр проводит проверку, что Вы это Вы, что сайт, для которого запрашивается сертификат действительно принадлежит Вам и если не возникает никаких подозрений, Вам выдается подписанный сертификат сроком действия 1 год. Через год процедуру и оплату нужно повторить.
+<note tip>
+Есть и бесплатный вариант. Энтузиастами свободного программного обеспечения создан Некоммерческий Центр сертификации [[https://letsencrypt.org/ru/|Let`s Encrypt]], совершенно бесплатно выдающий сертификаты сайтам сроком на 3 месяца. А для автоматизации их обслуживания есть [[https://certbot.eff.org|свободное ПО]], автоматически и регулярно перевыпускающее эти сертификаты.
+</note>
 Когда Вы установите такой сертификат себе на сервер, браузеры сразу будут считать Ваш сайт безопасным.
@@ Строка 174: / Строка 177: @@
 </note>
-Если остались вопросы, или Вы хотите получить дополнительную консультацию, [[https://lineris.bitrix24.ru/pub/form/4_obratnaya_svyaz/c4960i/|обращайтесь]], будем рады помочь.
-~~socialite~~