Sécurité en ingénierie du Logiciel

Le cadre des Web Services

Partie 10 : Sécurité des serveurs HTTP (Web).

Alexandre Dulaunoy

adulau@foo.be

Agenda

• Serveurs HTTP,

• IIS configuration et sécurité,

• Apache configuration et sécurité,

• Web Services et serveurs HTTP,

• Conclusion.

Serveurs HTTP : Introduction

Serveur pour le protocole HTTP (cf. partie 5 du cours) • Gestion des questions/réponses des/aux clients,

• Gestion des identités,

• Gestion des accès,

• Journaux (log),

• Gestion complémentaires via modules (p.ex.),

• Serveur WEB et cadre vaste (des serveurs embarqués aux serveurs en cluster),

• Caching ? Proxy ? Robot ?

Introduction à IIS

• Serveur HTTP intégré dans les serveurs WIN32 (NT,2000,2003),

• ASP (Scripts),

• Interface ISAPI (Perl, C,...),

• Modules Web Services dans la partie .NET.

PWS n’est pas IIS.

Sécurité et IIS

• IIS utilise la sécurité de WIN32/NT (donc les ACLs fichiers),

• Un utilisateur anonyme est un utilisateur NT (IUSR_MACHINENAME),

• IIS (4.0/5.0) est mono-bloc,

• IIS est souvent utilisé par d’autres logiciels sur WIN32,

• Installation des "patches" difficiles,

• Protection reverse proxy

Introduction à Apache

• "a Patch" de NCSA HTTP serveur,

• Serveur le plus utilisé,

• Logiciel Libre,

• Un nombre important de modules tiers (du mod_proxy au mod_mp3),

• multiplatformes (de Unix à NT).

• Plusieurs projets utilisent Apache comme base (de Jakarta, Cocoon,...),

• Utilisé dans des systèmes embarqués.

La sécurité et Apache

• Installation minimale (!uniquement les modules utilisés),

• LoadModule par la suite,

• Utiliser un utilisateur/groupe dédié pour le serveur Web,

• Binding du port 80 temporaire,

• Configuration par défaut (! aux Indexes, SymLinks,...),

• Créer une directive par défaut,

• méthode d’Authentification(!),

• mod_security (content filtering),

Serveur HTTP et Web Services

• Toujours, toujours contrôler les entrées et les sorties,

• Utiliser un reverse proxy pour limiter les entrées (en plus de l’application WS),

• Attention aux privilèges de l’application WS, (via ISAPI ou suexec)

• ! Ordre des actions WS,

• ...

Q&R

• adulau@foo.be

• http://www.foo.be/cours/securite-webservices/

• 3B12 DCC2 82FA 2931 2F5B 709A 09E2 CD49 44E6 CBCD