Администрация

HTTPS и сертификат: защитена връзка, камера и известия на всяко устройство

Защо https

С https браузърът позволява известия на Windows за чата, приложение на телефона, камерата за скенер, а паролите не вървят открито по мрежата. Програмата слуша и на http (обикновено порт 8080), и на https (порт 8443).

Програмата сама си прави сертификат (свой „сертифициращ орган“, CA). Браузърите не го познават, затова докато не го инсталираш, показват „Връзката не е поверителна“ / NET::ERR_CERT_AUTHORITY_INVALID. Това не е повреда: сертификатът се инсталира веднъж на всяко устройство - и на компютъра, на който работи програмата.

Сигурност: CA на програмата е ограничен до локалната мрежа (името на компютъра, localhost, имена на .local/.lan и частните IP адреси 10.x, 172.16-31.x, 192.168.x). С него не може да се подпише сертификат за външен сайт (банка, поща), дори ключът му да изтече. Ключът е в data\tls, достъпна само за администраторите. Инсталации отпреди тази промяна имат неограничен CA: в Настройки → HTTPS има бутон Нов CA, ограничен до локалната мрежа. След него сертификатът се инсталира наново на всяко устройство, а старият „MultiFlow локален CA“ се изтрива от доверените (certmgr.msc → Доверени главни сертифициращи органи).

1. Изтегли сертификата

• От устройството отвори програмата по http (напр. http://192.168.1.10:8080) → Настройки → HTTPS → Изтегли MultiFlow-CA.crt. Без вход: адресът http://<сървъра>:8080/ca.crt.
• На самия сървър файлът е и в папката на базата: data\tls\ca.crt.
• Сверка: пръстовият отпечатък на страницата HTTPS трябва да съвпада с този във файла (Подробности → Отпечатък).

2. Windows (Edge, Chrome)

1. Двоен клик на MultiFlow-CA.crt → Инсталиране на сертификат.
2. Локален компютър (важи за всички потребители; иска администратор) или Текущ потребител → Напред.
3. Поставяне на всички сертификати в следното хранилище → Преглед → Доверени главни сертифициращи органи → OK → Напред → Готово. На въпроса „Искате ли да инсталирате този сертификат?“ → Да.
4. Затвори всички прозорци на браузъра (провери в диспечера на задачите, че няма останал chrome.exe / msedge.exe) и го отвори пак.

С команда (PowerShell или cmd като администратор):

certutil -addstore -f Root "C:\път\до\ca.crt"

Проверка дали е инсталиран: certmgr.msc (текущ потребител) или certlm.msc (компютър) → Доверени главни сертифициращи органи → Сертификати → трябва да има „MultiFlow локален CA (ИМЕ-НА-СЪРВЪРА)“.

Firefox има свое хранилище: Настройки → Поверителност и защита → Сертификати → Преглед → Удостоверяващи органи → Внасяне (отметка „Доверяване за идентифициране на уебсайтове“), или в about:config включи security.enterprise_roots.enabled.

3. Android

1. Изтегли файла от телефона (от страницата HTTPS или http://<сървъра>:8080/ca.crt).
2. Настройки → Сигурност → Още настройки за сигурност → Шифроване и идентификационни данни → Инсталиране на сертификат → CA сертификат → „Инсталиране въпреки това“ → избери файла. Менютата се различават по марки - търси „CA сертификат“ в настройките.
3. Ако телефонът няма заключване на екрана, ще поиска да се сложи (ПИН/фигура).

Трябва ли за приложението MultiFlow? Не. Касата в приложението говори със сървъра по http://…:8080, а гласовата задача използва разпознаването на самия Android. Сертификатът е нужен само ако отваряте MultiFlow в браузъра на телефона през https://…:8443 (например за микрофона в браузъра).

Пътят по марки

• Samsung (One UI): Настройки → Сигурност и поверителност → Още настройки за сигурност → Инсталиране от хранилище на устройството → CA сертификат → Инсталиране въпреки това → Изтегляния → ca.crt.
• Xiaomi / Redmi / POCO (HyperOS, MIUI): Настройки → Парола и сигурност → Поверителност (или „Още настройки за сигурност“) → Шифроване и идентификационни данни → Инсталиране на сертификат → CA сертификат.
• Google Pixel и „чист“ Android: Настройки → Сигурност и поверителност → Още настройки за сигурност → Шифроване и идентификационни данни → Инсталиране на сертификат → CA сертификат.
• Huawei / Honor: Настройки → Сигурност → Още настройки → Шифроване и идентификационни данни → Инсталиране от хранилище.

Най-бързо във всяка марка: в Настройки горе има търсене - напишете „CA сертификат“ или „сертификат“.

Проверка: в Chrome на телефона отворете https://<сървъра>:8443 - катинарът е без предупреждение. Ако пише „Връзката не е частна“: Chrome е бил отворен по време на инсталирането - затворете го от последните приложения и опитайте пак. Къде се вижда: Шифроване и идентификационни данни → Доверени идентификационни данни → раздел Потребител → „MultiFlow локален CA“ (оттам се и маха). Android показва известие „Мрежата може да се наблюдава“ - това е нормално за собствен сертификат.

4. iPhone / iPad

1. Отвори адреса в Safari (не в Chrome) и изтегли файла → „Разреши“. Прозорецът „Профилът е изтеглен“ е само с „Затвори“ - затвори го и продължи в Настройки (до 8 минути, иначе профилът се изтрива).
2. Настройки → Профилът е изтеглен (най-горе, под името) → Инсталирай → код на телефона → Инсталирай. Ако го няма: Настройки → Общи → VPN и управление на устройства → профилът → Инсталирай.
3. Настройки → Общи → Информация → Настройки за доверие на сертификати → включи „MultiFlow локален CA“. Без тази стъпка не работи.

Ако телефонът е на английски (менютата точно както ги показва iOS):

1. Open the address in Safari → tap the certificate file → “This website is trying to download a configuration profile. Do you want to allow this?” → Allow. Излиза прозорец “Profile Downloaded - Review the profile in Settings app if you want to install it” само с Close - това е нормално: натиснете Close и продължете в Settings. До 8 минути, иначе iOS изтрива профила и се тегли пак.
2. Settings → Profile Downloaded (at the top, under your name) → Install → enter passcode → Install → Install → Done.
   If “Profile Downloaded” is missing: Settings → General → VPN & Device Management → MultiFlow локален CA → Install.
3. Settings → General → About → scroll to the bottom → Certificate Trust Settings → under Enable Full Trust for Root Certificates turn on MultiFlow локален CA → Continue. Without this step it does not work.

Ако пак показва грешка

В прозореца на програмата (черния, където пише „Слушам на https://…“) същият проблем изглежда така:

http: TLS handshake error from [::1]:55060: remote error: tls: unknown certificate

Това значи: браузър (тук [::1] = този компютър; иначе е IP-то на устройството) е отказал сертификата, защото CA-то не е инсталирано на него. Програмата работи нормално - редът ще се повтаря, докато сертификатът не се инсталира на устройството с този адрес (стъпка 2-4 по-горе) и браузърът не се рестартира. Подобни редове с EOF или bad certificate са същото.

• Браузърът не е рестартиран. Затвори го напълно (и от лентата до часовника) и опитай пак.
• Инсталиран е друг CA. В браузъра: „Не е защитено“ → Сертификатът → издателят (Issuer) трябва да е „MultiFlow локален CA (…)“ със същото име на сървъра като инсталирания. Ако папката data\tls е изтрита или е пусната нова база в друга папка, програмата прави нов CA - тогава старият не важи и новият се инсталира наново на всички устройства.
• Сложен е в грешното хранилище (напр. „Лични“ или „Междинни“). Изтрий го оттам и го сложи в „Доверени главни сертифициращи органи“.
• Адресът не е в сертификата. Сертификатът важи за адресите, изброени на страницата HTTPS. При нов IP на сървъра се подновява сам до 6 часа, или веднага с Поднови сертификата на сървъра сега (CA не се сменя, нищо не се инсталира наново).
• Часовникът на устройството е грешен - сертификатът изглежда „още невалиден“ или „изтекъл“. Сверете датата и часа.
• Антивирусна програма, която проверява https (Kaspersky, ESET, Avast), понякога подменя сертификата - добави адреса на сървъра в изключенията.

Пренасочване и свой сертификат

Когато всички устройства са готови, включи Отваряй винаги защитената връзка: http адресът ще пренасочва към https (/ca.crt остава достъпен по http). Ако фирмата има домейн и сертификат от истински издател, качи го в За напреднали - тогава по устройствата не се инсталира нищо.