Question sécurité
Fermé
gazelle8
Messages postés
82
Date d'inscription
vendredi 16 novembre 2007
Statut
Membre
Dernière intervention
31 décembre 2009
-
16 avril 2008 à 15:46
gazelle8 Messages postés 82 Date d'inscription vendredi 16 novembre 2007 Statut Membre Dernière intervention 31 décembre 2009 - 17 avril 2008 à 14:46
gazelle8 Messages postés 82 Date d'inscription vendredi 16 novembre 2007 Statut Membre Dernière intervention 31 décembre 2009 - 17 avril 2008 à 14:46
A voir également:
- Question sécurité
- Mode securite - Guide
- Désactiver sécurité windows - Guide
- Url masquée pour votre securite - Guide
- Restriction de sécurité : veuillez réessayer à partir de cet appareil dans 72 heures - Forum Snapchat
- Securite windows page blanche ✓ - Forum Windows 10
7 réponses
Bonsoir,
S'il n'y a pas de mot de passe ou de mecanisme d'authentification, ca voudrait donc dire qu'un individu peu recommendable pourrait transformer votre beau serveur web en hebergement de photos de bébé-tout-nu, si vous voyez ce que je veux dire... Et par les temps qui courrent il vaut mieux éviter à tout prix ce genre de bétise qui mêne tout droit à la case prison !
Donc sécurité indispensable :
1- mettre des connexion par sftp pour protéger les mots de passe.
2- il y a possibilité avec les echanges de certificats de faire des connexions sans password, mais il faut quand même utiliser sftp pour uploader. -> voir du coté de ssh
S'il n'y a pas de mot de passe ou de mecanisme d'authentification, ca voudrait donc dire qu'un individu peu recommendable pourrait transformer votre beau serveur web en hebergement de photos de bébé-tout-nu, si vous voyez ce que je veux dire... Et par les temps qui courrent il vaut mieux éviter à tout prix ce genre de bétise qui mêne tout droit à la case prison !
Donc sécurité indispensable :
1- mettre des connexion par sftp pour protéger les mots de passe.
2- il y a possibilité avec les echanges de certificats de faire des connexions sans password, mais il faut quand même utiliser sftp pour uploader. -> voir du coté de ssh
gazelle8
Messages postés
82
Date d'inscription
vendredi 16 novembre 2007
Statut
Membre
Dernière intervention
31 décembre 2009
5
17 avril 2008 à 10:28
17 avril 2008 à 10:28
Il y a bien un mot de passe, mais c'est le mot de passe que l'utilisateur utilise pour s'authentifier sur le site.
Ensuite, le mot de passe de leur compte utilisateur sur la machine ne sera pas révélé car les droits 777 permettent d'uploader. Ensuite, même s'il envoi des bébés tout nu, comme tu dis, cela ne servirait à rien puisque ce n'est pas un serveur pour faire des albums ou autres... C'est un site plutôt sérieux.
Est-ce que là, j'ai un trou de sécurité quand même?
Merci de ta réponse.
Ensuite, le mot de passe de leur compte utilisateur sur la machine ne sera pas révélé car les droits 777 permettent d'uploader. Ensuite, même s'il envoi des bébés tout nu, comme tu dis, cela ne servirait à rien puisque ce n'est pas un serveur pour faire des albums ou autres... C'est un site plutôt sérieux.
Est-ce que là, j'ai un trou de sécurité quand même?
Merci de ta réponse.
gazelle8
Messages postés
82
Date d'inscription
vendredi 16 novembre 2007
Statut
Membre
Dernière intervention
31 décembre 2009
5
17 avril 2008 à 11:46
17 avril 2008 à 11:46
De toute façon, les extensions sont vérifiées, et ce sont des fichiers bien spécifiques....
lami20j
Messages postés
21331
Date d'inscription
jeudi 4 novembre 2004
Statut
Modérateur, Contributeur sécurité
Dernière intervention
30 octobre 2019
3 569
17 avril 2008 à 11:53
17 avril 2008 à 11:53
Salut,
tu as des doutes suite à ce thread http://www.commentcamarche.net/forum/affich 5741599 ajout d un user sans useradd ?
Je n'ai toujours pas compris pourquoi tu as choisi de créer un compte utilisateur pour chaque inscription?
D'une côté tu sera limité au nombre d'utilisateur (si jamais ton site aura du succès) ;-)
Pourquoi ne fait tu une authentification en utilisant php + mysql pour tes comptes utilisateur et créer un répertoire sur ton système qui contiendra pour chaque utilisateur inscrit un sous répertoire?
tu as des doutes suite à ce thread http://www.commentcamarche.net/forum/affich 5741599 ajout d un user sans useradd ?
Je n'ai toujours pas compris pourquoi tu as choisi de créer un compte utilisateur pour chaque inscription?
D'une côté tu sera limité au nombre d'utilisateur (si jamais ton site aura du succès) ;-)
Pourquoi ne fait tu une authentification en utilisant php + mysql pour tes comptes utilisateur et créer un répertoire sur ton système qui contiendra pour chaque utilisateur inscrit un sous répertoire?
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
gazelle8
Messages postés
82
Date d'inscription
vendredi 16 novembre 2007
Statut
Membre
Dernière intervention
31 décembre 2009
5
17 avril 2008 à 12:11
17 avril 2008 à 12:11
Je suis obligé dans la mesure où ce que je fais est un serveur d'application, donc des jobs vont être lancé sur un cluster... (pour le nombres des comptes utilisateurs, ne t'en fais pas, d'ici là, ils auront adopté une autre solution...)
Bref, au final, je vais devoir utiliser un gestionnaire de queue et ce gestionnaire de queue, sera pour gérer (forcément...) les jobs que lanceront les utilisateurs. Ceci fonctionne par rapport aux comptes utilisateurs, je me suis déjà renseigné et a priori, il n'est pas possible d'utiliser un gestionnaire de queue par rapport à des répertoires....
(les jobs seront lancé à la queue leuleu, donc premier arrivé = premier servi et gestion des processeurs pour qu'un utilisateur ne puisse pas utiliser toute la machine à lui tout seul...Et tout ceci, se fait avec des comptes utilisateurs machine...)
J'espère avoir répondu à tes questions.
Mais je veux juste qu'on réponde à la mienne, car je sais quelle stratégie adoptée, et si j'ai choisi de faire cela, il y a beaucoup de raisons. Je me pose juste des question au niveau de la sécurité.
Je vais donc reposer ma question...
Les utilisateurs enverront leurs données dans leur /home propre à eux, sachant que pour l'upload, je suis obligé de mettre les droits à 777. Sachant, qu'il n'ont pas le mot de passe de leur compte sur la machine, y a-t-il un trou de sécurité?
Bref, au final, je vais devoir utiliser un gestionnaire de queue et ce gestionnaire de queue, sera pour gérer (forcément...) les jobs que lanceront les utilisateurs. Ceci fonctionne par rapport aux comptes utilisateurs, je me suis déjà renseigné et a priori, il n'est pas possible d'utiliser un gestionnaire de queue par rapport à des répertoires....
(les jobs seront lancé à la queue leuleu, donc premier arrivé = premier servi et gestion des processeurs pour qu'un utilisateur ne puisse pas utiliser toute la machine à lui tout seul...Et tout ceci, se fait avec des comptes utilisateurs machine...)
J'espère avoir répondu à tes questions.
Mais je veux juste qu'on réponde à la mienne, car je sais quelle stratégie adoptée, et si j'ai choisi de faire cela, il y a beaucoup de raisons. Je me pose juste des question au niveau de la sécurité.
Je vais donc reposer ma question...
Les utilisateurs enverront leurs données dans leur /home propre à eux, sachant que pour l'upload, je suis obligé de mettre les droits à 777. Sachant, qu'il n'ont pas le mot de passe de leur compte sur la machine, y a-t-il un trou de sécurité?
lami20j
Messages postés
21331
Date d'inscription
jeudi 4 novembre 2004
Statut
Modérateur, Contributeur sécurité
Dernière intervention
30 octobre 2019
3 569
17 avril 2008 à 12:25
17 avril 2008 à 12:25
Salut,
tu mets pour les utilisateur comme shell de connexion /bin/false
je ne vois pas pourquoi tu dois faire 777 et pas 755 ou même 700 vu que c'est l'utilisateur qui a l'accès, pour les autres pourquoi tu as besoin d'accorder les droits d'accès
tu mets pour les utilisateur comme shell de connexion /bin/false
je ne vois pas pourquoi tu dois faire 777 et pas 755 ou même 700 vu que c'est l'utilisateur qui a l'accès, pour les autres pourquoi tu as besoin d'accorder les droits d'accès
gazelle8
Messages postés
82
Date d'inscription
vendredi 16 novembre 2007
Statut
Membre
Dernière intervention
31 décembre 2009
5
17 avril 2008 à 14:46
17 avril 2008 à 14:46
Ok
Pour les fchiers quand ils sont uploadés, le propriéraire du fichier devient apache (idem pour le groupe qui devient apache également) donc si je n'accorde pas les droits 777, il y a l'erreur "permission denied".
Logique je crois, car si 700 ou 755 pas le droit d'écriture, comme c'est apache qui écrit, l'upload est refusé.
A moins qu'il existe une façon pour uploader des fichiers sous le nom d'un utilisateur et là ça m'arrangerais beaucoup car j'ai découvert un autre problème (le fait que le fichier soit sous la propriété de l'utilisateur apache va me poser problème pour la suite....)
Merci quand même ! ^^
Pour les fchiers quand ils sont uploadés, le propriéraire du fichier devient apache (idem pour le groupe qui devient apache également) donc si je n'accorde pas les droits 777, il y a l'erreur "permission denied".
Logique je crois, car si 700 ou 755 pas le droit d'écriture, comme c'est apache qui écrit, l'upload est refusé.
A moins qu'il existe une façon pour uploader des fichiers sous le nom d'un utilisateur et là ça m'arrangerais beaucoup car j'ai découvert un autre problème (le fait que le fichier soit sous la propriété de l'utilisateur apache va me poser problème pour la suite....)
Merci quand même ! ^^
