O que eu preciso saber sobre Somente HTTPS e ArcGIS?

Resposta

Nota: Este é um documento dinâmico e as informações nesta página são atualizadas regularmente à medida que implementamos essa mudança.

O que é HTTPS?

HTTPS, abreviação de Hypertext Transfer Protocol para comunicação segura, permite a transmissão segura de dados, tanto de entrada quanto de saída, entre um cliente, como um navegador da web e o servidor. Há um desempenho aprimorado ao usar HTTPS junto com HTTP/2. HTTPS/2 é uma revisão importante do protocolo HTTP. A classificação da pesquisa de conteúdo também foi aprimorada com HTTPS, portanto, para aplicativos críticos, HTTPS é fortemente recomendado. Uma vez que todos os dados são criptografados, a confidencialidade é aprimorada e qualquer pessoa que monitore o tráfego da rede não será capaz de capturar nenhuma informação sensível. A Esri está impondo HTTPS com HSTS para aumentar a postura de segurança do ArcGIS.

O que é HSTS?

HTTP Strict Transport Security (HSTS) é uma tecnologia de segurança da web que protege os servidores da web HTTPS contra ataques de downgrade. Ataques de downgrade (também conhecidos como ataques de remoção de SSL) são uma forma de ataque man-in-the-middle no qual um invasor redireciona o navegador da web de um servidor HTTPS configurado corretamente para um servidor malicioso.
 

Como o ArcGIS é afetado?

A Esri fez essas mudanças em uma abordagem em fases.Os clientes da Esri devem agir para acomodar essa mudança.

• Anteriormente, o ArcGIS Online suportava a configuração de HTTP ou HTTPS. Com a atualização de 8 de dezembro de 2020, o padrão “Somente HTTPS” foi aplicado e os clientes não podem mais ter a opção de desativá-lo. No entanto, para ArcGIS Enterprise, o cliente tem controle total da aplicação HTTPS/HSTS para sua configuração.
• O ArcGIS Hub foi atualizado para impor o uso do padrão de somente HTTPS em todos os sites e páginas, a partir de 8 de setembro de 2020.
• Esri reforçou HTTPS apenas no World Geocoding Service em 29 de setembro de 2020. Esta importante atualização de segurança provavelmente afetará alguns softwares ArcGIS e soluções personalizadas.

Fui afetado pela mudança para apenas HTTPS?

Você será afetado quando o ArcGIS Online for alterado para HTTPS Somente se qualquer um dos seguintes cenários ou fluxos de trabalho for verdadeiro para suas operações:

1. Os itens do cliente já adicionados ao ArcGIS Online com URLs somente HTTP estarão inacessíveis. Isso inclui todos os itens adicionados ao ArcGIS Online que são hospedados pelo servidor ArcGIS Enterprise local do cliente. Lembre-se de que nenhum item novo será adicionado via HTTP.
2. Clientes com documentos ou pacotes de mapas (.mxd ou. Aprx) que contêm camadas do ArcGIS Online que foram adicionadas usando texto simples (HTTP), precisará atualizar as referências das camadas.
3. Os clientes com scripts Python da administração ou cópia de segurança de dados no ArcGIS Online usando referências de URL HTTP não funcionarão mais. Os scripts devem ser atualizados para usar URLs HTTPS.
4. Quaisquer itens adicionados ao ArcGIS Online a partir de links externos ao ArcGIS com URLs somente HTTP serão inacessíveis por meio de um navegador devido a conflitos de conteúdo misto. Que inclui:
   1. links nos detalhes do item
   2. popups, etc.
5. Os serviços da web que são referenciados por meio do proxy de compartilhamento do ArcGIS Online não serão afetados.
   Quais itens podem usar o proxy de compartilhamento do ArcGIS Online?
   • Adicionar ou acessar camadas ou serviços protegidos de uma configuração do ArcGIS Enterprise para o ArcGIS Online com credenciais armazenadas
   • Acesso a recursos entre domínios (por exemplo, servidores que não oferecem suporte a CORS - normalmente servidores OGC de terceiros)
   • Serviços consultados usando instruções HTTP GET que excedem 2.048 caracteres

O que precisa ser feito?

Se sua organização for afetada, você deve tomar medidas para ter acesso contínuo aos seus recursos. Por exemplo, você adquiriu sua assinatura do ArcGIS Online antes de setembro de 2018 E sua assinatura ainda está configurada para permitir HTTP e HTTPS - As ações abaixo fornecem mais informações sobre o que fazer a seguir para eliminar o tempo de inatividade antes da mudança para HTTPS apenas.

1. Todos os clientes precisam revisar as configurações de suas organizações para certificar-se de que HTTPS apenas esteja ativado. Por exemplo, se você não vir a opção de alternar entre HTTPS apenas e HTTP / HTTPS, sua assinatura já requer HTTPS.
2. Os clientes devem atualizar todos os itens em sua organização que são apenas HTTP.

Quais ferramentas estão disponíveis para o cliente?

• Ferramentas nativas - são ferramentas integradas ao ArcGIS Online ou Enterprise

1. Use as opções de Configurações de camada disponíveis em cada mapa da web para atualizar as referências de camada para HTTPS, conforme mostrado na imagem a seguir.

Ao selecionar Atualizar camadas para HTTPS, a ferramenta valida se as camadas que participam do mapa da web estão acessíveis via HTTPS e, em caso afirmativo, atualiza a referência.

Após selecionar Atualizar camadas, uma lista de referências de camada é retornada, incluindo aquelas que não podem ser atualizadas para HTTPS, conforme mostrado abaixo:

2. A ferramenta Atualizar referências do site do ArcGIS Server foi projetada para permitir uma alteração no FQDN do servidor GIS, mas pode ser usada para atualizar em massa todas as referências ao FQDN raiz para HTTPS. Essa ferramenta também valida se o servidor remoto oferece suporte a HTTPS.

Nota: A Esri recomenda fortemente validar se o servidor remoto oferece suporte a HTTPS antes de fazer essa alteração.

• Ferramentas não nativas: Essas ferramentas são fornecidas pela Equipe de Segurança e Privacidade de Software da Esri para auxiliar na administração e validação de sua Organização do ArcGIS.

1. O ArcGIS Security Advisor é uma ferramenta não nativa criada pela equipe de Segurança e Privacidade de Software da Esri para ajudar a aconselhar sobre as configurações de segurança do ArcGIS e revisar seus logs:

• Esta ferramenta funciona tanto no ArcGIS Online quanto no ArcGIS Enterprise (Portal for ArcGIS) - Nota: A verificação de HTTP nesta ferramenta não requer credenciais administrativas para usuários com muitos dos itens em sua organização.

Qual é o escopo de suporte das ferramentas fornecidas?

O ArcGIS Security Advisor não é compatível com os Serviços de Suporte da Esri. É altamente recomendável revisar as informações de ajuda dessas ferramentas enquanto trabalhamos no processo de identificação e correção de HTTP. Os Serviços de Suporte da Esri enviarão quaisquer erros ou aprimoramentos nas ferramentas para a equipe de Segurança de Software.

As ferramentas nativas do ArcGIS Online são totalmente suportadas pelos Serviços de Suporte da Esri.

A opção "Permitir acesso à organização apenas por meio de HTTPS" nas configurações do ArcGIS Online mudará todas as camadas existentes no ArcGIS Online para HTTPS? Ou as camadas devem ser atualizadas manualmente?

As camadas devem ser atualizadas manualmente. Consulte <documento>:

Haverá algum patch lançado para ArcGIS Enterprise, ArcGIS Server ou Portal for ArcGIS para ajudar na atualização de itens que são HTTP para HTTPS?

Não, use as ferramentas disponíveis para ajudar a identificar os itens na configuração da sua empresa e, em seguida, atualize os itens. Além disso, consulte os recursos adicionais fornecidos abaixo para obter assistência sobre como atualizar as camadas em mapas da web para usar HTTPS.
 

Recursos Adicionais:

Também recomendamos que nossos clientes revisem as referências na seção Informações Relacionadas abaixo como recursos adicionais para atualizar o conteúdo HTTP para HTTPS: