Настройки безопасности

Основные^{Обновление!}

В программе "Клиентская база" есть дополнительные настройки для того, чтобы обезопасить Ваши данные

Для того, что перейти к этим настройкам необходимо перейти в "Настройки" - "Дополнительно"

 

Затем открыть "Настройки безопасности"

В этом окне можно увидеть следующие настройки

• Список разрешенных ip
• Защита от перебора паролей
• Улучшенная безопасность системы
• Вход в программу с подтверждением по СМС или E-mail
• Правила для ввода паролей
• Ключ шифрования полей

Список разрешенных ip

В поле "Список разрешенных ip" вы можете указать перечень ip адресов, для которых будет доступна Ваша программа.

Данная возможность является отличной возможностью дополнительно обезопасить данные программы, если Ваша компания располагается несколькими офисами  с разными точками доступа к интернету и статическими внешними ip-адресами.

Важно: Каждый новый ip необходимо указывать с новой строки

Важно: Если необходимо чтобы доступ к программе был возможен со всех ip, то необходимо, чтобы в поле было введено значение "All"

Важно: Если Вы хотите добавить именно диапазон ip-адресов, то стоит использовать маски подсети.

Например, если необходимо включить диапазон адресов с 192.168.1.1 до 192.168.1.255, то необходимо добавить следующую запись

192.168.1.1/24

Если необходимо включить диапазон с 192.168.1.1 до 192.168.255.255, то необходимо добавить следующую строчку

192.168.1.1/16

Защита от перебора паролей

Начиная с ревизии 4060 в программе добавлена опция защиты от перебора паролей.

Принцип работы данной опции следующий

Если 15 раз за 1 минуту вносятся ошибочные логины или пароли, то включается задержка 3 секунды после каждой попытки входа в систему.

Если было более 30 неудачных попыток войти в систему за 10 минут, то блокируется ip, с которого были произведены попытки войти в систему, пока данная цифра не станет меньше 30 за последние 10 минут. Количество минут ожидания, до разблокировки выводиться.
Если было более 100 неудачных попыток войти в систему за 10 часов, то блокируется ip, с которого были произведены попытки войти в систему, пока данная цифра не станет меньше 100 за последние 10 часов.

Важно: Если последняя попытка логина в используемом браузере была успешна, то блокировки по ip не произойдет

Важно: Вы всегда можете попробовать залогиниться в системе с другого ip, если доступ к программе с Вашего обычного ip заблокирован.

Улучшенная безопасность системы

Начиная с версии 1.9.6 в CRM программу "Клиентская база" добавлены дополнительные меры защиты от следующих факторов:

• SQL-инъекция - один из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода. Защита от SQl-инъекций достигается тем, что все входящие данные фильтруются на предмет спецсимволов и прочих факторов, которые могут способствовать внедрению sql-инъекций.
• CRSF (Подделка межсайтовых запросов) - вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Защита от межсайтовых запросов в программе "Клиентская база" достигается тем, что в любые формы программы добавляется часть зашифрованного текста. Это позволяет избежать опасные межсайтовые запросы.
• XSS - это возможность выполнения скриптов, не присутствующих на странице. В версии 1.9.6. такая возможность исключена.

Вход в программу с подтверждением по СМС или E-mail

Начиная с версии 2.0.3 в программе «Клиентская база» появилась возможность обеспечить дополнительную безопасность при входе в систему. Проверка безопасности осуществляется с подтверждением по sms или e-mail. Это означает, что при входе в систему, в зависимости от выбранного варианта, вам на почту или на телефон будет приходить код подтверждения для входа в систему.

По умолчанию подтверждение отключено. Чтобы включить опцию, необходимо выбрать один из представленных вариантов: E-mail или SMS. В случае если опция включена, после входа по логину/паролю на e-mail или телефон пользователя будет отправлен код подтверждения, который необходимо ввести в программу для дальнейшего доступа.

 Рассмотрим два варианта подтверждения входа.

1. Подтверждение по E-mail. В окне «Настройки безопасности» в поле «подтверждение входа в программу» выбираем вариант E-mail.

 Далее выходим из системы, нажав на значок выхода:

После этого повторно заходим в программу, указываем логин/пароль и нажимаем на кнопку «Войти»:

Далее система выдает сообщение с текстом «На ваш e-mail был выслан код подтверждения для входа». 

Для того чтобы ввести полученный код, необходимо открыть свою почту, из полученного письма от системы скопировать код и вставить его в поле для подтверждения входа.

2. Подтверждение по SMS. В окне «Настройки безопасности» в поле «подтверждение входа в программу» выбираем вариант SMS.Далее выходим из системы, нажав на значок выхода:

Далее выходим из системы, нажав на значок выхода:

После этого повторно заходим в программу, указываем логин/пароль и нажимаем на кнопку «Войти»:

Далее система выдает сообщение с текстом «На ваш телефон был выслан код подтверждения для входа».

В течении некоторого времени вам на телефон придет sms-уведомление с кодом подтверждения. Полученный код вам необходимо ввести в поле для подтверждения входа.

 Таким образом, можно включить опцию дополнительной безопасности при входе в систему. Вы можете выбрать удобный для вас вариант для подтверждения входа: по SMS или E-mail, после чего на указанный адрес/телефон в течении некоторого времени придет письмо с кодом, который необходимо ввести для подтверждения.

Правила для ввода паролей

Начиная с версии 2.0.3 появилась возможность назначать правила для ввода паролей. Чем более длинный и сложный пароль стоит у каждого пользователя системы, тем в большей безопасности находится вся программа.

Для того чтобы задать правила необходимо перейти в настройки программы, нажав на шестеренку в правом верхнем углу, затем выбрать вкладку «Дополнительно» и в открывшемся окне выбрать «Настройки безопасности».

 

Здесь в графе «Уровень надежности пароля» можно выбрать «Не проверяется» или «Проверять».

 

Для того чтобы задать правило, по которому будут проверяться пароли на надежность, необходимо выбрать «Проверять». В таком случае появятся два дополнительных поля:

Минимальная длина пароля (символов) — здесь нужно указать минимальное количество символов из которых будет состоять пароль.

Наличие символов — здесь можно указать что должно присутствовать обязательно: буквы, буквы (верхний регистр), то есть заглавные буквы, а также цифры и спец.символы, например $*/.

После выбора нужных параметров проверки, необходимо нажать на кнопку «Сохранить».
Теперь при введении пароля можно увидеть соответствует ли он выбранным параметрам безопасности.

 

Если нет, то будет отображено сообщение о том, какому правилу должен соответствовать данный пароль, если все в порядке, то рядом с полем появится «зеленая галочка». Также происходит проверка совпадают ли пароли в полях «Пароль» и «Пароль еще раз» между собой.

 

Если все в порядке, то будут отображены две зеленые галочки, после этого можно будет сохранить изменения в пароле пользователя.  

Ключ шифрования полей

В версии 2.0.6 программы «Клиентская база» появилась возможность шифровать значения текстовых полей. Данная настройка позволяет обезопасить секретную информацию (к примеру пароли от базы, почтовых ящиков, sip-аккаунтов и т.п.) в базе даже в случае преднамеренного взлома (без пароля администратора системы) либо похищении бэкапа.

Значения полей, для которых в настройках включена данная опция, на уровне базы данных будут шифроваться с использованием ключа шифрования, заданного в настройках безопасности.

Рассмотрим на примере процесс настройки и сам результат работы шифрования полей.

1. Если вы собираетесь использовать шифрование полей, в разделе: «Настройки» - «Дополнительно» - «Настройки безопасности» нужно задать «Ключ шифрования полей».

2. Вводим значение ключа, используя любые символы, а также его подтверждение. Это будет единый ключ шифрования полей для хранения данных в БД в зашифрованном виде для всех пользователей системы.

Внимание! Обязательно сохраните введенный ключ где-нибудь в надежном месте, например на листке бумаги в сейфе. Ключ шифрования, в целях безопасности, НЕ сохраняется в БД Клиентской базы ни в каком ином виде, кроме как в форме необратимого хэша (для проверки корректности ввода), поэтому восстановить его НЕВОЗМОЖНО! В случае забывания ключа, доступ к зашифрованным данным будет полностью утрачен.

3. После того, как был задан ключ, необходимо перейти в настройки поля, которое требуется зашифровать. В настройках поля раскрываем вкладку «Дополнительно» и включаем параметр «Шифровать поле».

Внимание! Параметр «Шифровать поле» доступен только для полей типа «текст».

На заметку! При попытке отключить функцию шифрования поля, система также попросит ввести заданный ключ активации.

На заметку! Пользователь вводит ключ только один раз в течении одной сессии. То есть, система не будет требовать ввести ключ повторно, до тех пор пока пользователь не выйдет из системы и не авторизуется вновь.

4. Значения зашифрованых полей в таблице и подтаблице всегда отображаются в виде звездочек.

    

5. В режиме просмотра записи для того, чтобы увидеть/изменить значение поля необходимо ввести ключ шифрования.

 

Если введен корректный ключ, расшифрованное значение поля станет доступно текущему пользователю в течение всей сессии, т.е. до момента выхода из из программы.

Для того чтобы изменить ключ шифрования, в «Настройки» - «Дополнительно» - «Настройки безопасности» нужно сначала ввести текущий ключ шифрования, затем ввести новый и подтвердить его.



Внимание! После смены ключа не забудьте его сохранить (обновить) в том месте, где ранее хранился предыдущий ключ. Либо сохранить его в новом надежном месте.