Sur cette page, nous discutons de diverses stratégies de mise en réseau et expliquons comment exécuter un réseau d'affichage numérique sur un réseau existant. Broadsign Control aide à sécuriser tout réseau d'affichage numérique avec des fonctionnalités qui incluent des privilèges d'accès au niveau utilisateur, le cryptage des données et la vérification de l'intégrité des fichiers.
SOC 2 Type 2
Broadsign a réussi avec succès l'audit Service Organization Control (SOC) 2 Type 2. Cet audit établit des normes de sécurité, de disponibilité, d’intégrité des processus, de confidentialité et de respect de la vie privée pour les entreprises SaaS et basées sur le cloud. Alors que les opérateurs de réseaux d'affichage numérique utilisent de plus en plus les services cloud pour stocker les données, la conformité garantit que les fournisseurs de services suivent des politiques et des procédures de sécurité strictes pour protéger l'intégrité et la confidentialité des données de leurs clients.
S'appuyant sur notre certification SOC 2 Type 1 originale, SOC 2 Type 2 est un audit plus rigoureux qui évalue l'exécution du programme de sécurité d'une organisation sur une période donnée. Par conséquent, notre audit SOC 2 Type 2, réalisé avec succès, constitue un examen plus approfondi de l’état actuel de notre sécurité cloud.
La conformité SOC 2 offre une confiance et une assurance supplémentaires pour protéger les données des clients Broadsign dans le cloud. Développé par l'American Institute of Certified Public Accountants (AICPA), SOC 2 évalue les systèmes internes et les contrôles de sécurité qu'une entreprise de services technologiques utilise pour protéger les données des clients dans le cloud. Alors que les menaces numériques continuent d’évoluer et que la cybersécurité reste un défi commercial majeur, la conformité SOC est devenue une référence absolue pour garantir que les organisations adhèrent aux meilleures pratiques lors de la sécurisation des données internes et clients sensibles. Avoir un rapport SOC 2 est un gage de confiance et une étape importante pour offrir à nos clients une tranquillité d’esprit accrue.
La sécurité dans le secteur de l’affichage numérique est importante, en particulier compte tenu de la nature publique des écrans et de l’importance des services basés sur le cloud. Dans une enquête récente menée par Broadsign, la sécurité et la fiabilité figurent parmi les trois principales préoccupations des propriétaires de supports d'affichage numérique pour leurs réseaux.
L'image suivante illustre la disposition standard du réseau utilisée par la majorité des clients Broadsign.
Site avec un PC pour un lecteur
Dans un site avec un seul PC lecteur, chacun nécessite une connexion sortante vers l'Internet public sur le port 443.
Scénario Broadsign Control Edge Server
Dans un scénario Broadsign Control Edge Server, le serveur Edge télécharge le contenu du serveur principal une fois et le redistribue rapidement sur le réseau local pour économiser la bande passante à l'aide du port TCP 10805. Une connexion sortante sur le port 10799 pour la planification et la création de rapports sur le trafic est également requise. Les PC de lecture connectés à un serveur Edge pour le contenu ont besoin d'une connexion sortante vers l'Internet public sur le port 443 pour la planification et la création de rapports d'informations, tandis que tout le contenu sera acquis à partir du serveur Edge sur le réseau local via le port 10805. Aucun port entrant n’a besoin d’être ouvert dans les deux cas.
- Le port 10805 est utilisé pour le protocole de transfert de contenu (CTP).
- Le port 10799 est utilisé pour le protocole de contrôle de signalisation numérique (DSCP).
Broadsign Control Live Activé
Dans un scénario où Broadsign Control Live est activé, le lecteur se connecte à un service supplémentaire (service Pub/Sub basé sur le Cloud) via une requête HTTPS et/ou websocket sur le port sortant 443. Le Broadsign Server se connecte également à cette chaîne. Lorsqu'un utilisateur dans Broadsign Control Administrator clique sur « poll now » ou « request screenshot », les instructions sont les suivantes :
- Depuis Broadsign Control Administrator à Broadsign Server
- Depuis Broadsign Server au service Pub/Sub basé sur le cloud
- Du service Pub/Sub basé sur le cloud jusqu'au lecteur.
Le lecteur reçoit uniquement des commandes via ce canal, pas des charges utiles complètes. Ainsi, par exemple, la commande « poll now » provenant du service basé sur le cloud indique simplement au lecteur de lancer une interrogation immédiate via les canaux d'interrogation normaux (port 443).
Broadsign Control Player
Broadsign Control Player utilise le port 443 pour diriger son trafic vers le serveur principal hébergé à Montréal, au Canada. Tout opérateur mondial de réseau d’affichage numérique peut utiliser ce centre de données, car l’application n’est pas du tout sensible à la latence et Montréal est bien connectée à tous les liens mondiaux.
Le port 443 est utilisé pour interroger le serveur à des intervalles définis afin d'échanger des informations de contrôle et des données avec le serveur. Broadsign Control Player doit se reconnecter au serveur principal via Internet via ce port pour recevoir ses dernières informations de planification, configurations et signaler tout incident mis en cache et les données de preuve de diffusion. La quantité d’informations échangées par jour varie en fonction de nombreux paramètres, mais se situe généralement entre 2 et 5 Mo par jour.
Le port 443 est également utilisé pour diffuser des copies publicitaires (fichiers de contenu tels que des vidéos, des images, du HTML5, etc.). Les fichiers de contenu peuvent provenir soit du serveur principal de Montréal, soit d'un Broadsign Control Edge Server utilisé comme serveur de cache de contenu. Un lecteur préférera toujours le cache local mais pourra revenir au serveur principal si nécessaire.
Broadsign Control Player utilise le port 10799 uniquement dans le cas d'auto-enregistrement, comme décrit dans Enregistrer un lecteur. Le port 10799 est le port TCP utilisé pour interroger le serveur à des intervalles définis afin d'échanger des informations de contrôle et des données avec le serveur.
Broadsign Control Edge Server
Comme mentionné ci-dessus, le Broadsign Control Edge Server peut économiser de la bande passante sur les sites avec plusieurs PC de lecteurs qui ont besoin du même contenu. Une hiérarchie de serveurs périphériques peut également être développée pour réduire les besoins en bande passante lors de l'envoi de fichiers volumineux.
Les ports 10799 et 10805 doivent être ouverts pour le trafic sortant vers Internet. Pour des raisons de sécurité, Broadsign Server n'essaiera jamais d'initier une connexion entrante dans un réseau. Plutôt, Broadsign Control Player initie la communication avec le serveur en utilisant l'un ou l'autre des ports.
Note : Pour plus de détails sur les paramètres réseau requis pour l'intégration avec Broadsign Control, voir Règles d'accès au réseau.
L'accès sortant au port 80 peut être requis pour activer certains scénarios tels que le chargement dynamique de contenu HTML5 via HTTP/HTTPS, Broadsign Publish et des rapports de vidage sur incident automatisés.
L'accès sortant au port 21, destiné à pickup.broadsign.com permettra au support de Broadsign de collecter des diagnostics à distance sur les lecteurs afin de résoudre certains types de problèmes.
Note : Pour plus de détails sur les paramètres réseau requis pour l'intégration avec Broadsign Control, voir Règles d'accès au réseau.
Vous pouvez configurer Broadsign Control Player pour utiliser un serveur proxy HTTP ou SOCKS 5 à travers lequel toutes les connexions transitent par un tunnel. Cela peut être utile pour contourner les situations dans lesquelles le réseau client refuse le trafic sortant sur les ports requis.
Pour plus d'informations, voir Options sous l'icône « hamburger » de l'interface Broadsign Control Player.
En utilisant la fonction de contrôle du réseau de Broadsign, des heures spécifiques pendant lesquelles le PC de lecture peut utiliser le réseau sont désignées pour limiter Broadsign Control Player de consommer la bande passante d'un site.
Par exemple, Broadsign Control Player ne peut télécharger que des fichiers de contenu volumineux la nuit tout en permettant au service d'interrogation de continuer tout au long de la journée. Cette tactique de conservation serait utile dans un magasin utilisant la bande passante des cartes de débit et de crédit POS, car la bande passante requise pour l'interrogation des données est bien inférieure à celle des téléchargements de contenu et n'interfère pas avec la disponibilité du réseau local.
Pour plus d'informations, voir Contrôle du réseau.
Toutes les applications dans la plateforme Broadsign sont équipées de la fonctionnalité TLS v1.X (Transport Layer Security).
Broadsign utilise OpenSSL comme implémentation TLS.
La vérification de l’intégrité des fichiers est importante pour détecter les fichiers multimédias falsifiés ou corrompus et empêcher leur distribution sur le réseau. Broadsign Control vérifie l'intégrité du fichier en calculant une somme de contrôle sur chaque fichier multimédia importé dans le système. Une somme de contrôle est une formule mathématique qui dérive un grand nombre d'un fichier d'une manière très difficile à reproduire. Broadsign utilise une implémentation de somme de contrôle à la fois sécurisée et efficace en termes de calcul.
Broadsign Control Player
Avant qu'un fichier puisse être lu, son intégrité doit être garantie. Une fois tous les éléments vérifiés, une somme de contrôle est calculée sur le fichier avant qu'il puisse être utilisé.
Broadsign Control Edge Server
Avant qu'un fichier puisse être lu, trois niveaux d'intégrité du fichier sont assurés :
- Comme mentionné ci-dessus, le protocole CTP2 garantit que chaque fichier est divisé en morceaux d'environ 1 à 5 Mo, et chaque morceau est divisé en blocs de 64 Ko. Chaque bloc possède une somme de contrôle qui doit être validée avant d'être utilisé.
- Chaque pièce dispose d'une somme de contrôle supplémentaire une fois qu'elle a accumulé tous les blocs valides en son sein.
- Une fois tous les éléments vérifiés, le fichier est reconstruit avec tous les éléments et une somme de contrôle finale est calculée avant de pouvoir être utilisé.
Mode dédié
Broadsign Control Player, installé et requis sur tous les PC de lecture pour l'affichage du contenu programmé, s'exécute en mode dédié pour empêcher l'accès au système de fichiers du PC de lecture. Ce mode dédié est bien supérieur au simple fait de permettre à un utilisateur de démarrer automatiquement avec un programme de démarrage par défaut.
Le mode dédié fournit un shell d'application personnalisé qui exécute le lecteur dans un environnement sandbox avec un accès très restreint au système d'exploitation sous-jacent.
Broadsign Control Player démarre automatiquement dans ce shell restreint en tant qu'utilisateur restreint sans nécessiter la connexion d'un utilisateur privilégié. Ainsi, si un utilisateur se connecte localement ou à distance et tente d'interrompre l'exécution du logiciel Broadsign Control Player, l'utilisateur sera confronté à l'écran de connexion nécessitant un mot de passe pour empêcher l'accès non autorisé à la structure des fichiers locaux.
Pour plus d'informations sur le mode dédié sous Windows, consultez Installer le lecteur sous Windows.
Pour plus d'informations sur le mode dédié sur Ubuntu Linux, voir Étape 5 : Dédier Broadsign Control Player sous Linux.
Broadsign Control applique sa politique de sécurité basée sur les rôles à deux niveaux :
- le niveau d'application local
- le niveau du serveur distant
Broadsign Server assure l'accès à une base de données partagée par tous les agents du réseau en fournissant une interface pour exécuter des opérations et des requêtes. Étant donné que toutes les opérations et requêtes sur la base de données doivent être effectuées via cette interface, Broadsign Server contrôle la manière dont la base de données est accessible. En outre, Broadsign Server applique des contrôles d'autorisation pour chaque élément de son interface en utilisant le(s) rôle(s) de l'utilisateur actuellement connecté. La vérification du niveau d'accès est effectuée pour chaque commande exécutée sur Broadsign Server - c'est la véritable manière de garantir que les listes de contrôle d'accès sont appliquées.
Broadsign Control Administrator change également son apparence en fonction des privilèges de l'utilisateur connecté, de sorte que les ressources auxquelles l'utilisateur n'a pas accès ne peuvent pas être visualisées et que les actions sont désactivées afin qu'elles ne puissent pas être utilisées. Les vérifications des autorisations locales Broadsign Control Administrator peuvent être exploitées, mais Broadsign Server est le gardien et les opérations auxquelles l'utilisateur n'a pas accès échoueront.
Pour plus d'informations, voirUtilisateurs et Ajouter des utilisateurs et des groupes d'utilisateurs.
Broadsign exploite son service SaaS à partir du fournisseur Cloud AWS (Amazon Web Services).
L'infrastructure cloud mondiale AWS est l'environnement de cloud computing le plus sécurisé, le plus étendu et le plus fiable au monde.
Les principales fonctionnalités de ce centre de données sont disponibles sur la page AWS Global Cloud Infrastructure.
