Module d'authentification Apache avec base de donnée

Bonjour,

J'ai récemment mis en place une authentification pour un serveur Web (Apache), en utilisant le module "mod_authn_dbd". Ce module permet de travailler avec une base de donnée pour vérifier les mots de passe.

J'effectue d'abord un filtre sur IP, puis un filtre sur l'authentification sur un seul répertoire, comme ceci : (site-web.conf)

<VirtualHost *:80>
        # Block all access to server root
        <Directory "/var/www/site-web.com/html/">
          Require all denied
        </Directory>

        # Allow white list IPs for repertory 1
        <Directory "/var/www/site-web.com/html/repertoire1">
          Require all denied
          Require ip X.X.X.X
        </Directory>

        #######     authentication with database     #######

         DBDriver mysql
         DBDParams "dbname=site_db user=user pass=xxxx"

         DBDMin 4
         DBDKeep 8
         DBDMax 20
         DBDExptime 300

         <Directory "/var/www/site-web.com/html/repertoire1">

          # mod_authn_core and mod_auth_basic configuration 
          # for mod_authn_dbd 

          AuthType Basic
          AuthName "test"
          AuthDigestNonceLifetime 10

          # To cache credentials, put socache ahead of dbd here 
          AuthBasicProvider socache dbd

          # Also required for caching: tell the cache to cache dbd lookups! 
          AuthnCacheProvideFor dbd
          AuthnCacheContext my-server

          # mod_authz_core configuration 
          Require valid-user

          # mod_authn_dbd SQL query to authenticate a user 
          AuthDBDUserPWQuery "SELECT passwd FROM mysql_auth WHERE username = %s"
         </Directory>
</VirtualHost>

 En fait, je n'arrive pas à analyser les vulnérabilités de cette méthode car je ne vois pas trop comment est comparé le mot de passe. La requête SQL permet de sélectionner le mot de passe dans la base de donnée avec le nom d'utilisateur entré, à ce moment là, il y a un risque d'injections SQL non ? Ensuite, je ne sais pas par quel moyen le mot de passe entré est comparé à celui de la base de donnée.

Quelqu'un peut-il m'éclairer ?

Merci par avance

Lou