Настройка шифрования данных

Для обеспечения безопасности данных включите SSL-шифрование. Выполните следующие действия:

Важно

Использование самоподписанного сертификата не рекомендуется.

1. В директории с конфигурацией nginx создайте каталог для хранения информации о SSL-шифровании:

   sudo mkdir /etc/nginx/ssl
   

2. Создайте ключ и сертификат SSL:

   sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/ssl/my-example-domain.com.key -out /etc/nginx/ssl/my-example-domain.com.crt
   

   Для заполнения полей сертификата вам будет предложено несколько вопросов. Ответьте на них, уделив особое внимание строке Common Name. В ней нужно ввести имя или публичный IP-адрес домена, связанного с сервером. Созданные файлы ключа my-example-domain.com.key и сертификата my-example-domain.com.crt будут сохранены в каталоге /etc/nginx/ssl.

3. Настройте nginx для использования SSL. Откройте файл конфигурации nginx /etc/nginx/sites-available/ffsecurity-nginx.conf. Скопируйте в него код из примера ниже.

   sudo vi /etc/nginx/sites-available/ffsecurity-nginx.conf
   
   upstream ffsecurity {
           server 127.0.0.1:8002;
   }
   upstream ffsecurity-ws {
           server 127.0.0.1:8003;
   }
   map $http_upgrade $ffsec_upstream {
           default "http://ffsecurity-ws";
           "" "http://ffsecurity";
   }
   server {
           listen 80;
           server_name 172.20.77.10;
           rewrite ^(.*) https://172.20.77.10$1 permanent;
           access_log off;
   }
   server {
           #listen 80 default_server;
           #listen [::]:80 default_server;
           listen 443 ssl;
           ssl_certificate     /etc/nginx/ssl/my-example-domain.com.crt;
           ssl_certificate_key /etc/nginx/ssl/my-example-domain.com.key;
           root /var/lib/ffsecurity;
           autoindex off;
           server_name _;
           location = / {
                   alias /usr/share/ffsecurity-ui/;
                   try_files /index.html =404;
           }
           location /static/ {
           }
           location /uploads/ {
                   add_header 'Access-Control-Allow-Origin' '*';
                   add_header 'Access-Control-Allow-Methods' 'GET';
                   add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization';
                   add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
                   add_header 'Access-Control-Max-Age' 2592000;
           }
           location /ui-static/ {
                   alias /usr/share/ffsecurity-ui/ui-static/;
           }
           location /doc/ {
                   alias /opt/ffsecurity/doc/;
           }
           location ~ /videos/(?<video_id>[0-9]+)/upload/(.*)$ {
                   if ($request_method = 'OPTIONS') {
                           add_header 'Content-Type' 'text/plain; charset=utf-8';
                           add_header 'Content-Length' 0;
                           return 204;
                   }
                   set $auth_request_uri "http://ffsecurity/videos/$video_id/auth-upload/";
                   auth_request /video-upload-auth/;
                   alias "/var/lib/ffsecurity/uploads/videos/$video_id.bin";
                   client_max_body_size 15g;
                   dav_access user:rw group:rw all:rw;
                   dav_methods PUT;
                   create_full_put_path on;
                   autoindex off;
                   autoindex_exact_size off;
                   autoindex_localtime on;
                   charset utf-8;
                   add_header 'Access-Control-Allow-Origin' '*';
                   add_header 'Access-Control-Allow-Methods' 'PUT, OPTIONS';
                   add_header 'Access-Control-Allow-Headers' 'authorization';
           }
           location = /video-upload-auth/ {
                   internal;
                   client_max_body_size 15g;
                   proxy_set_header Content-Length "";
                   proxy_set_header Host $http_host;
                   proxy_set_header X-Forwarded-For $remote_addr;
                   proxy_set_header X-Forwarded-Proto $scheme;
                   proxy_pass_request_body off;
                   proxy_pass $auth_request_uri;
           }
           location / {
                   client_max_body_size 300m;
                   proxy_set_header Host $http_host;
                   proxy_set_header X-Forwarded-For $remote_addr;
                   proxy_set_header X-Forwarded-Proto $scheme;
                   proxy_http_version 1.1;
                   proxy_set_header Upgrade $http_upgrade;
                   proxy_set_header Connection "upgrade";
                   proxy_pass $ffsec_upstream;
                   location ~ ^/(cameras|videos)/([0-9]+)/stream/?$ {
                           proxy_set_header Host $http_host;
                           proxy_set_header X-Forwarded-For $remote_addr;
                           proxy_set_header X-Forwarded-Proto $scheme;
                           proxy_pass http://ffsecurity;
                   }
                   location ~ ^/streams/(.*)$ {
                           internal;
                           proxy_pass $1;
                   }
           }
   }
   

4. Перезапустите nginx.

   sudo service nginx restart
   

5. Внесите изменения в файл конфигурации findface-security. В параметрах EXTERNAL_ADDRESS и ROUTER_URL измените приставку http:// на https://.

   sudo vi /etc/ffsecurity/config.py
   
   ...
   EXTERNAL_ADDRESS="https://my-example-domain.com"
   ...
   ROUTER_URL="https://IP_address"
   

6. Если есть запущенные процессы findface-video-worker, нужно либо пересоздать камеры в веб-интерфейсе, либо изменить значение параметра router_url в job-заданиях, заменив приставку http:// на https://. Это можно сделать с помощью команды, аналогичной следующей:

   curl -s localhost:18810/jobs | jq -r '.[]["id"]' | xargs -I {} curl -X PATCH -d '{"router_url": "https://domain.ru/video-detector/frame"}' http://localhost:18810/job/{}