% CVSId: $Id: adulau.tex,v 1.1 2003/02/07 17:51:53 adulau Exp adulau $
%
%
%     Copyright (c)  2001,2002,2003  Alexandre Dulaunoy <adulau@foo.be>
%     Permission is granted to copy, distribute and/or modify this document
%     under the terms of the GNU Free Documentation License, Version 1.2
%     or any later version published by the Free Software Foundation;
%     with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts.
%     A copy of the license is included in the section entitled "GNU
%     Free Documentation License".
\documentclass[%
pdf,
%nocolorBG,
colorBG,
slideColor,
%slideBW,
%draft,
frames
%azure
%contemporain
%nuancegris
%troispoints
%lignesbleues
%darkblue
%alienglow
%autumn
]{prosper}
\usepackage{amsmath}
\usepackage[T1]{fontenc}
\usepackage{pslatex}
\usepackage[french,english]{babel}
%\usepackage{listings}

\begin{document}
\title{Sécurité en ingénierie du Logiciel}
\subtitle{Le cadre des Web Services \\ {\em Partie 10 : Sécurité des serveurs HTTP (Web).}}
\author{Alexandre Dulaunoy}
\email{adulau@foo.be}
\maketitle

\begin{slide}{Agenda}
\begin{itemize}
\item Serveurs HTTP, 
\item IIS configuration et sécurité,
\item Apache configuration et sécurité, 
\item Web Services et serveurs HTTP,
\item Conclusion.
\end{itemize}
\end{slide}

\begin{slide}{Serveurs HTTP : Introduction}
Serveur pour le protocole HTTP (cf. partie 5 du cours) 
\begin{itemize}
\item Gestion des questions/réponses des/aux clients,
\item Gestion des identités,
\item Gestion des accès,
\item Journaux (log),
\item Gestion complémentaires via modules (p.ex.),
\item Serveur WEB et cadre vaste (des serveurs embarqués aux serveurs en cluster),
\item Caching ? Proxy ? Robot ?
\end{itemize}
\end{slide}

\begin{slide}{Introduction à IIS}
\begin{itemize}
\item Serveur HTTP intégré dans les serveurs WIN32 (NT,2000,2003),
\item ASP (Scripts),
\item Interface ISAPI (Perl, C,...),
\item Modules Web Services dans la partie .NET.
\end{itemize}
PWS n'est pas IIS.
\end{slide}

\begin{slide}{Sécurité et IIS}
\begin{itemize}
\item IIS utilise la sécurité de WIN32/NT (donc les ACLs fichiers),
\item Un utilisateur anonyme est un utilisateur NT (IUSR\_MACHINENAME),
\item IIS (4.0/5.0) est mono-bloc,
\item IIS est souvent utilisé par d'autres logiciels sur WIN32,
\item Installation des "patches" difficiles,
\item Protection reverse proxy
\end{itemize}
\end{slide}

\begin{slide}{Introduction à Apache}
\begin{itemize}
\item "a Patch" de NCSA HTTP serveur,
\item Serveur le plus utilisé,
\item Logiciel Libre,
\item Un nombre important de modules tiers (du mod\_proxy au mod\_mp3),
\item multiplatformes (de Unix à NT).
\item Plusieurs projets utilisent Apache comme base (de Jakarta, Cocoon,...),
\item Utilisé dans des systèmes embarqués.
\end{itemize}
\end{slide}

\begin{slide}{La sécurité et Apache}
\begin{itemize}
\item Installation minimale (!uniquement les modules utilisés),
\item LoadModule par la suite,
\item Utiliser un utilisateur/groupe dédié pour le serveur Web,
\item Binding du port 80 temporaire,
\item Configuration par défaut (! aux Indexes, SymLinks,...),
\item Créer une directive par défaut,
\item méthode d'Authentification(!), 
\item mod\_security (content filtering),
\end{itemize}
\end{slide}

\begin{slide}{Serveur HTTP et Web Services}
\begin{itemize}
\item Toujours, toujours contrôler les entrées et les sorties,
\item Utiliser un reverse proxy pour limiter les entrées (en plus de l'application WS),
\item Attention aux privilèges de l'application WS, (via ISAPI ou suexec)
\item ! Ordre des actions WS,
\item ...
\end{itemize}
\end{slide}

\begin{slide}{Q\&R}
\begin{itemize}
\item adulau@foo.be
\item http://www.foo.be/cours/securite-webservices/
\item 3B12 DCC2 82FA 2931 2F5B  709A 09E2 CD49 44E6 CBCD
\end{itemize}
\end{slide}

\end{document}

%%% Local Variables: 
%%% mode: latex
%%% TeX-master: t%%% End: 
