Ticket #71 (closed defect: wontfix)

Opened 6 years ago

Last modified 2 years ago

smart+question

Reported by: jerome Assigned to: anonymous
Priority: none Milestone: alternc-0.9.5
Component: Bureau: g�n�ral Version:
Severity: feature Keywords:
Cc:

Description

Si l'un des admins essaye de se connecter à son bureau en étant pas en https, il faudrait refuser la connexion, et obliger le changement de mot de passe à la prochaine connexion, en ne permettant QUE cette foinctionnalité (saisir ancien pass, puis nouveau et confirmation) et l'empécher d'aller plus loin dans le bureau avant que le changement de pass ai eu lieu.

Change History

12/07/02 22:02:12 changed by moinefou

Est-ce que l'obligation de changer le pass a un intérêt ? Le risque en HTTP étant d'être sniffé, et la connexion de déroulant en clair, le nouveau pass sera lui aussi sniffé...

Vaudrait mieux interdire complètement le bureau root sans SSL.

édité le: 07/12 21:02

12/08/02 04:28:04 changed by jerome

Le nouveau pass ne sera pas sniffé, puiqu'il sera obligatoirement saisi en https.

Résumé :

* Toute connexion en http non crypté est refusée et passe le flag "changement obligatoire de pass à la prochaine connexion https" à vrai si ce n'est pas déjà le cas * Si le pass a été sniffé, et que le malin se connecte en https, la seule fonctionnalité qu'il aura sera une page blanche avec uniquement la possibilité de changer de pass.

Donc la seule possibilité de sniffer le pass est lors d'une connexion en http simple, et dans ce cas, puisque la connexion aura été refusée et que le changement de pass sera forcé pour le https, le pass sniffé ne servira à rien.

Pour ce qui est d'interdir le bureau root hors https : pas possible, puisque l'on ne saura que la tentive de coinnexion va vers un compte root que lorsque le user/pass aura été entré, et il ser atrop tard, le sniffage aura déjà pû avoir eu lieu.

édité le: 08/12 03:29

édité le: 08/12 03:29

05/03/04 01:26:17 changed by denis

Pourquoi pas directement forcer tous les accès au bureau en https ?

05/03/04 04:30:23 changed by anarcat

  • component changed from Nouvelle Fonctionnalité to Bureau: général.

Reclasser.

02/21/06 23:25:28 changed by Fil

On peut faire ça au niveau de index.php, donc avant la saisie du password, en ajoutant les lignes suivantes dans /var/alternc/bureau/admin/index.php (ligne 39).

if($H == $GLOBALSL_FQDN? AND $_SERVERHTTPS?!='on') {

@header("Location: https://".$H); exit;

}

J'ai testé chez moi ça semble fonctionner

04/25/06 06:24:00 changed by anarcat

(In [1017]) require ssl, see #71.

not closing yet because this file is not yet active

04/25/06 06:32:07 changed by anarcat

  • milestone changed from 1.0 to 0.9.5.

cibler le milestone:0.9.5 car en fermant le #562 ce bug sera aussi fermé, quoique pas exactement comme demandé.

04/26/06 11:41:58 changed by benjamin

Mauvaise idée que d'utiliser des ports supplémentaires : cela bloquera l'accès à AlternC depuis de nombreuses entrerprises ou universités.

Je propose juste de mettre 2 variables dans la conf en db (table alternc.variable) spécifiant si le https est forcé pour les comptes admin (true/false) et pour tous les comptes (true/false). ou équivalent.

04/26/06 12:16:30 changed by benjamin

  • status changed from assigned to closed.
  • resolution set to fixed.

(In [1025]) force https parameter, Closes #71

04/26/06 18:43:32 changed by anarcat

  • status changed from closed to reopened.
  • resolution deleted.

dans le commit [1020], j'active la config Apache d'alternc qui force le SSL. alors la technique [1025] ne s'appliquera pas. du moins, il sera impossible d'Accéder au bureau en non-SSL de toute façon.

je suggère de renverser le commit 1025.

04/27/06 00:46:14 changed by anarcat

  • status changed from reopened to closed.
  • resolution set to wontfix.

on a décidé de ne pas forcer. *par contre*, la conf d'apache est maintenant assez modulaire (voir #562) qu'il est facile de désactiver le bureau non-ssl.

09/18/06 12:04:19 changed by anonymous

qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj qqruanj

10/09/06 13:34:49 changed by Susanna

  • summary changed from Forcer l'accès en https aux bureaux flagués root to smart+question.

hi! http://toyota-engine-info.blogspot.com/ http://kia-engine-info.blogspot.com/ http://nissan-engine.blogspot.com/

10/09/06 18:44:15 changed by Richard

hi! http://toyota-engine-info.blogspot.com/ http://kia-engine-info.blogspot.com/ http://nissan-engine.blogspot.com/