Extrait du cours configuration du logiciel apache aspects sécurité
Accès aux documents
Mettre en place un service WWW ne signifie pas pour autant rendre accessible à tout le monde les documents du serveur. Certains services WWW ne sont d’ailleurs accessibles qu’à une certaine population. Cela signifie qu’il faut définir une politique d ‘accès au service, décider qui a accès à quoi, et configurer le logiciel de manière à appliquer cette politique.
Le logiciel Apache comme la plupart des autres logiciels serveurs http permet 2 type de protection :
• une protection par domaine, qui permet de définir des droits d’accès en fonction des noms de machines ou de domaines
• une protection par utilisateur, qui permet de protéger t out ou partie du serveur par nom d’utilisateur et mot de passe (4).
La première méthode est simple à mettre en œuvre et ne nécessite pratiquement pas d’administration particulière. Par contre, la seconde implique la gestion de comptes utilisateur et donc plus de travail.
Les deux méthodes se définissent dans le fichier access.conf. Celui-ci contient au moins une directive <Directory> qui va définir la politique par défaut pour tous les documents du serveur. On peut ensuite ajouter des directives <Directory> pour modifier les caractéristiques de certaines sous-arborescences.
La directive <Directory> est un bloc pouvant contenir un certain nombre de sous-directives :
• Options : est suivi par une liste d’options possibles :
• Indexes : indique que l’on peut avoir accès à la liste des fichiers des
répertoires.
• Includes : indique que l’on peut avoir des fichiers contenant des directives « Server Side Include » (SSI) dans cette arborescence.
• includesNOEXEC : même chose que Includes mais on int erdit la commande
#exec ainsi que l’inclusion de script CGI
• FollowSymLinks : on autorise l’accès aux liens symboliques
• SymLinksIfOwnerMatch : on autorise l’accès aux liens symboliques si le propriétaire est le même aux 2 extrémités du lien.
• ExecCGI : on autorise des programmes CGI dans cette arborescence.
• AllowOverride : indique si on peut ou non ut iliser des fichiers de configurat ion à l’intérieur des répertoires. Ces fichiers, appelés par défaut .htaccess, peuvent contenir à peu près les mêmes directives que les fichier httpd.conf, srm.conf et access.conf, et ne concernent que le répertoire dans lequel ils se trouvent.
Valeurs possibles :
• All : les fichiers .htaccess sont autorisés
• None : les fichiers .htaccess sont interdits
On peut également ut iliser l’une ou l’aut re des valeurs suivant es :
• AuthConfig : autorise les directives d’autorisation (!UTH$ »-‘ROUP&ILE,
!UTH$ »-5SER&ILE, !UTH’ROUP&ILE, !UTH.AME, !UTH4YPE, !UTH5SER&ILE,
REQUIRE, etc.).
• FileInfo : autorise les directives contrôlant le type des documents
(!DD%NCODING, !DD4YPE, $EFAULT4YPE, %RROR$OCUMENT,
,ANGUAGE0RIORITY, etc.).
• Indexes : autorise les directives concernant la présentation des répertoires
(!DD$ESCRIPTION, !DD)CON »Y%NCODING, !DD)CON »Y4YPE, $EFAULT)CON,
$IRECTORY)NDEX, &ANCY)NDEXING, (EADER.AME, )NDEX)GNORE,
)NDEX/PTIONS, 2EADME.AME, etc.).
• Limit : autorise les sous-directives de la directive Limit (ALLOW, DENY and ORDER).
• Options : autorise les directives /PTIONS et 8″IT(ACK
• <Limit> : est un bloc contenant des sous-directives permettant de définir les droits d’accès associés à une ou plusieurs méthodes d’accès (‘%4, 0/34…) :
• ORDER : indique l’ordre dans lequel on va définir les droits :
• ORDER ALLOW DENY
ou
• ORDER DENY ALLOW
• ALLOW : autorise un ou plusieurs domaines
• DENY : interdit un ou plusieurs domaines
• require : dans le cas d’accès par utilisat eur et mo t de passe, indique le ou les groupes ou le ou les ut ilisat eurs ayant accès.
……
Sommaire: Configuration du logiciel apache aspects sécurité
INTRODUCTION
GÉNÉRALITÉS
CONFIGURATION GÉNÉRALE
LANCEMENT DU DAEMON
RÉPERTOIRE RACINE DU SERVEUR
ACCÈS AUX DOCUMENTS
LA PROTECTION PAR DOMAINES
LA PROTECTION PAR UTILISATEURS
PROGRAMMES CGI
LES DIRECTIVES « SERVER SIDE INCLUDE »
LES DOCUMENTS DES UTILISATEURS
EXEMPLE
Si le lien ne fonctionne pas correctement, veuillez nous contacter (mentionner le lien dans votre message)Configuration du logiciel apache aspects sécurité (160 KO) (Cours PDF)
