Authentification, droits d'accès et sécurité des applis web
|
|
- Dominique Leblanc
- il y a 8 ans
- Total affichages :
Transcription
1 Authentification, droits d'accès et sécurité des applis web
2 Identification : savoir qui est l'utilisateur basé sur des nom de login enregistrés : base de données, annuaires, fichiers Authentification : être sur que c'est bien cette personne comparaison de mots de passes cryptés Droits d'accès : attribution de droits en fonction de l'identité authentifiée : résultat du processus de login contrôler que les utilisateurs accèdent à des ressources conformément à leur rôle : comparaison entre droits exigés et droits obtenus Contrôle pour chaque opération nécessitant un doit spécifique
3 Utilisation de variables de sessions pour le contrôle d'accès Principe : le profil de l'utilisateur (identité, droit) est chargé dans une variable de session lorsque l'authentification est réussie Contrôle : accès au profil stocké en session à chaque opération nécessitant des droits particuliers 4 opérations : Contrôle des credentials, chargement du profil en session Contrôle des droits attribués par rapport à une exigence création des utilisateurs
4 réaliser réaliser l'authentifi l'authentifi cation cation :: contrôler contrôler identifi identifi ant ant et et mot mot de de passe passe charger charger le le profi profi l l d'un d'un utlisateur utlisateur en en session session comparer comparer required required et et le le contenu contenu de de la la variable variable de de session session stockant stockant le le profi profi l l de de l'utilisateur l'utilisateur courant courant créer créer un un utilisateur utilisateur et et défi défi nir nir ses ses droits droits
5 gestion de la connexion contrôler les données fournies par l'utilisateur charger le profil en session : détruire puis re-créer la variable de session $u=$_post['uname']; $p=$_post['password']; try { Authentication::Authenticate($u,$p) ; Authentication::loadProfile( $u ) ; }catch (AuthException $ae) { echo bad login name or passwd<br>"; }
6 Une fonction/méthode de contrôle des droits accède à la variable de session compare le droit exigé et le droit obtenu $required_level = ADMIN_LEVEL; try { Authentication::checkAccessRights($required_level) ; } catch (AuthException $ae) { echo access denied!<br>"; }
7 création d'un utilisateur : enregistre l'identifiant et le mot de passe dans la base $u=$_post['uname']; $p=$_post['password']; try { Authentication::createUser($u,$p) ; }catch (AuthException $ae) { echo bad login name or passwd<br>"; }
8 Le processus d'authentification Principe : l'utilisateur fournit un couple (identifiant, mot de passe) Ce couple est comparé aux informations stockées dans la base Problème : sécuriser le processus Interception du mot de passe échangé entre le client et le serveur Vol des mots de passe dans la base Attaque force brute / dictionnaire
9 principes de base mots de passe difficiles à deviner Taille suffisamment longue Alphabet de grande taille (min., maj. chiffres, symboles) hors dictionnaire mots de passe inutiles s'ils sont interceptés ou volés Ne JAMAIS stocker un mot de passe en clair Ne JAMAIS envoyer un mot de passe en clair dans une requête HTTP
10 encodage des mots de passe les mots de passe sont encodés avec une fonction de hachage génère un cypher de taille fixe fonction non bijective : décodage impossible MD5 : cypher de 128 bits (16 octets) SHA-1 : cypher de 160 bits SHA-2 : cypher de 256/384/512 bits (sha-256, sha- 512) bcrypt : blowfish + itérations et sel En php : fonction hash Ex : $empreinte = hash('sha-256', $pass) ;
11 les attaques "force brute" Attaque par force brute ou dictionnaire Force brute : essayer toutes les combinaisons possibles Utiliser un dictionnaire de mots de passe : protection : Mots de passe longs, utilisant un large alphabet Nb de combinaisons : A L(P) Mots de passe hors dictionnaire fonction de hachage lente : itérer le hachage
12 attaques par table "arc-en-ciel" (rainbow table) les mots de passes sont stockés hachés Faire la comparaison mdp fourni / mdp stocké sur les hasch Attaque par table arc-en-ciel : On stocke les mdp hachés avec SHA256 dans la base La base est attaquée, les mdp haschés sont volés L'attaquant utilise une table inverse «arc-en-ciel» qui permet de retrouver un mot à partir d'un hash
13 contre-mesures «Saler» les mots de passes : ajouter un aléa avant de le crypter on stocke : E = hash( mdp + alea ) pour comparer : hash( fourni + alea ) == E?? Un sel unique connu de l'application Pb en cas : un mdp cassé met en danger tous les autres Un sel par mot de passe : Aléa généré lors de l'enregistrement initial du mot de passe Aléa stocké dans la base avec le mot de passe
14 en pratique (I) utiliser une politique de mots de passes : longueur, MAJ, min, etc sur le client : pour aider l'utilisateur sur le serveur : pour assurer la sécurité exemple avec la librairie ircmaxell/password-policy $policy = new \PasswordPolicy\Policy; $policy->contains('lowercase', $policy->atleast(2)); $policy->length( 6 ) ; $js = $policy->tojavascript() ; echo "var policy = $js" ; $result = $policy->check( $password ) ; utiliser une police en rapport avec le risque
15 en pratique (II) hachage et salage des mots de passe : utiliser bcrypt hachage blowfich, salage itérations paramétrables exemple avec la librairie ircmaxell/php-passwordlib // hacher un mot de passe $lib = new PasswordLib\PasswordLib(); $hash=$lib->createpasswordhash($password); $hash=$lib->createpasswordhash($password,'$2a$',array('cost'=> 12)); // vérifier un mot de passe $crypt = new PasswordLib\PasswordLib; if (!$crypt->verifypasswordhash($password, $hash)) { //Invalid Password! }
16 Résumé : Attaque force brute ou dictionnaire : imposer une longueur et un alphabet, ralentir le hachage (itération) Attaque par interception : mot de passe haché Attaque par table arc-en-ciel : mot de passe haché + salé
17 Le contrôle d'accès Lieux de contrôle minimum : dans chaque programme accessible via une URL dans les actions des différents contrôleurs de l'application
18 Différents modèle de droits Individuel : les droits sont attribués spécifiquement à chaque individu Rôle : les droits sont attribués à un rôle, les utlisateurs ont un rôle Différents types de droits par niveaux : hiérarchie de droits les droits à 1 niveau donnent accès aux niveaux inférieurs ''enregistré'' < ''moderateur'' <''admin'' <''superadmin'' par clés : l'exécution d'une opération nécessite de posséder une clé profil : ensemble de clés déterminant les opérations permises
19 Un exemple utilisateurs stockés dans une table droits d'accès par niveau la variable de session est un tableau
20 Structure de la variable de session array( username' => 'james007', 'userid' => 7, 'role_id' => 12, 'client_ip' => ' ', 'auth-level' => ) la variable est créée et enregistrée dans la session au moment de la connexion par la méthode loadprofile() A chaque contrôle de droits : on accède à la variable de session pour vérifier son existence et sa valeur condition de validation des droits : $_SESSION[ 'profile'][ 'level' ] >= $required_level
21 class Authentication { public static createuser ( $username, $password ) { // vérifier la conformité de $password avec la police // si ok : hacher $password // créer et sauvegarder l'utilisateur } public static Authenticate ( $username, $password ) { // charger utilisateur $user // vérifier $user->hash == hash($password) // charger profil ($user->id) } private static loadprofile( $uid ) { // charger l'utilisateur et ses droits // détruire la variable de session // créer variable de session = profil chargé } public static checkaccessrights ( $required ) { si Authentication::$profil['level] < $required throw new AuthException ; }
22 Sécurité des applis web : quelques principes de base Les échanges entre le client et le serveur ne sont pas sûrs : il faut envisager la possibilité qu'ils soient détournés On ne connait pas la provenance des requêtes, même à l'intérieur d'une session Ne jamais faire confiance aux données fournies par l'utilisateur Variables GET/POST/COOKIE Fichiers uploadés
23 Injection SQL injection de commandes SQL dans l'application, pour éxecuter des requêtes non prévues <? $user=$_post['user']; $pass=$_post['pass']; $query="select * from users where uname='$user' AND upass='$pass'"; $res=mysql_query($query); if (mysql_num_rows($res) >0 ) { $auth=1;?> Supposons $_POST['user'] = "admin' #" Alors : $query = SELECT * from users where uname='admin' #' AND upass=''"; Cette requête retourne TOUJOURS une ligne!!!
24 Autres types d'injection Utiliser UNION pour étendre la requête Utiliser des conditions toujours vraies que l'on combine avec un OR Autre blague : public function findbyid($id) { $sel = '' select * from user where id = $id'' ; $pdo->query($query) ; } admib.php?a=disp&id=1;drop%20table%20user; select * from user where id = 1;DROP TABLE user;
25
26 Comment résister utiliser exclusivement des requêtes préparées : La requête exécutée est celle qui a été préparée Forcer les types des données reçues : Intval(), boolval(), strval() Filtrer les données reçues par l'application (GET, POST, COOKIE) pour éliminer le code SQL éventuellement présent limiter les droits de l'utilisateur se connectant à la base éviter de montrer la structure de la base : erreurs, noms des colonnes, des tables
27 Cross Site Scripting (XSS) Principe : insérer des balises html avec des scripts dans des données qui sont affichées par l'application <??> echo "votre recherche {$_POST['query']} a echoue <br>" ; Dans le formulaire, on saisit : "<script> alert("coucou Bilou");</script> Ou un script plus méchant!
28
29 Comment résister Filtrer les données reçues pour éliminer les scripts Fonctions: strip_tags() : retire TOUS les tags html d'une string htmlspecialchars() : convertit les caractères spéciaux html en caractères affichables : "<" < <?php $new = htmlspecialchars("<a href='test'>test</a>", ENT_QUOTES); echo $new; // <a href='test'>test</a>?>
30 Cross-Site Request Forgeries (CSRF) Principe : requêtes fabriquées par un site malveillant, exécutées par un utilisateur à son insu alors qu'il est éventuellement en cours de session sur votre site Exemples : 1. Vous êtes connecté, session en cours sur socio.pat.net 2. Quelqu'un y a uploadé un lien vers site.mechant.net 3. Vous cliquez sur lien, vous arrivez sur un formulaire, que, naïvement vous remplissez et postez 4. De manière amusante, l'action du formulaire que vous venez de poster est :
31 Même problème avec les balises img : <img src=" alt="" /> Ce lien peut simplement être inséré sur une page du site socio.pat.net La requête sera exécutée lors de l'accès à cette page
32 Comment résister Garantir que les requêtes sont issues de l'interface de votre application uniquement Principe : Ajouter un jeton aléatoire (par ex. hash('sha256', uniquid() ) ) Le jeton est stocké en session Il est ajouté dans un champ hidden des formulaires lors de la construction des vues Reçu et comparé lors du traitement des requêtes et/ou des formulaires
33 Sécurisation des sessions Problème : un attaquant obtient un identifiant de session et acquiert ainsi les droits associés Comment résister : Stocker l'@ IP du client dans la session, vérifier qu'elle ne change pas Générer un nouvel identifiant de session lorsque l'utilisateur change de rôle (e.g. Il s'authentifie, acquiert de nouveaux droits ) session_regenerate_id()
34 inclusion de fichiers distants La bonne blague : <? $page = $_GET['page']; include($page);?> Encore plus amusant : NE JAMAIS FAIRE UN INCLUDE/REQUIRE AVEC UN NOM PROVENANT DE L'EXTERIEUR
35 Autre cas d'école : fichiers textes.inc,.ini accessibles par une url /app/config/config.db.ini => la config db en clair!! solution = hors de DocRoot ou deny all dans.htaccess Fichiers uploadés : ATTENTION.html,.php, exécutables NE JAMAIS LES AFFICHER Les stocker de manière inaccessible à une url Les bannir si possible
36 Restreindre les informations Éviter d'exposer des informations sur votre environnement Error reporting dans un fichier de log uniquement Error_reporting=e_none Display_errors=false Pas de fichiers d'inclusion se terminant par.inc Cacher le fait que vous utilisez PHP Expose_php="off" L'extension par défaut peut aussi être changée (config apache)
Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement
Guillaume HARRY l Contenu sous licence Creative Commons CC-BY-NC-ND Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement P. 2 1. Introduction 2.
Plus en détailSécurité des sites Web Pas un cours un recueil du net. INF340 Jean-François Berdjugin
Sécurité des sites Web Pas un cours un recueil du net INF340 Jean-François Berdjugin Vulnérabilité Définition (wikipédia) : Dans le domaine de la sécurité informatique, une vulnérabilité est une faiblesse
Plus en détailTech-Evenings Sécurité des applications Web Sébastien LEBRETON
Tech-Evenings Sécurité des applications Web Sébastien LEBRETON Pourquoi revoir la sécurité des applications Web Des technologies omniprésentes Facilité de mise en œuvre et de déploiement. Commerce en ligne,
Plus en détailJournées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011. Projet MySafeKey Authentification par clé USB
Journées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011 1/23 Projet MySafeKey Authentification par clé USB Sommaire 2/23 Introduction Authentification au Système d'information Problématiques des mots
Plus en détailAuthentification et contrôle d'accès dans les applications web
Authentification et contrôle d'accès dans les applications web Quelques Rappels Objectifs : contrôler que seulement Certains utilisateurs Exécutent certaines opérations Sur certains objets Trois entités
Plus en détailOWASP Open Web Application Security Project. Jean-Marc Robert Génie logiciel et des TI
OWASP Open Web Application Security Project Jean-Marc Robert Génie logiciel et des TI A1: Injection Une faille d'injection, telle l'injection SQL, OS et LDAP, se produit quand une donnée non fiable est
Plus en détailDocumentation CAS à destination des éditeurs
Documentation CAS à destination des éditeurs Sommaire Préambule... 1 Présentation de CAS...2 Intérêt... 2 Fonctionnement de base...2 Synoptique des échanges (1ère connexion)... 2 Synoptique des échanges
Plus en détailAspects techniques : guide d interfaçage SSO
COURDECO Aspects techniques : guide d interfaçage SSO Septembre 2011 Cette annexe présente succinctement le système d'authentification unique (SSO : single sign on, authentification unique) utilisé dans
Plus en détailcedric.foll@(education.gouv.fr laposte.net) Ministère de l'éducation nationale Atelier sécurité Rabat RALL 2007
A t t a q u e s c o n t r e l e s a p p l i s w e b cedric.foll@(education.gouv.fr laposte.net) Ministère de l'éducation nationale Atelier sécurité Rabat RALL 2007 D e l ' u t i l i t é d e l ' a t t a
Plus en détailWeb : Stockage de mot de passe LOG619 Automne 2011 Olivier Bilodeau
Web : Stockage de mot de passe LOG619 Automne 2011 Olivier Bilodeau 1 Plan Historique du Web Problème du stockage de mots de passe La menace Le craquage de mots de passes Évolution d'une solution et ses
Plus en détailUrbanisation des SI Conduite du changement IT 20/03/09. Patrick CHAMBET http://www.chambet.com
Urbanisation des SI Conduite du changement IT 20/03/09 Sécuriser ses Web Services Patrick CHAMBET http://www.chambet.com Bouygues Telecom Direction Gouvernance, Outils et Architecture / Sécurité du SI
Plus en détailSYSTÈMES D INFORMATIONS
SYSTÈMES D INFORMATIONS Développement Modx Les systèmes de gestion de contenu Les Content Management Système (CMS) servent à simplifier le développement de sites web ainsi que la mise à jour des contenus.
Plus en détailPHP CLÉS EN MAIN. 76 scripts efficaces pour enrichir vos sites web. par William Steinmetz et Brian Ward
PHP CLÉS EN MAIN 76 scripts efficaces pour enrichir vos sites web par William Steinmetz et Brian Ward TABLE DES MATIÈRES INTRODUCTION 1 1 TOUT CE QUE VOUS AVEZ TOUJOURS VOULU SAVOIR SUR LES SCRIPTS PHP
Plus en détailVulnérabilités et sécurisation des applications Web
OSSIR 09/09/2002 Vulnérabilités, attaques et sécurisation des applications Web Pourquoi les firewalls sont impuissants patrick.chambet@edelweb.fr http://www.edelweb.fr http://www.chambet.com Page 1 Planning
Plus en détailInstallation du point d'accès Wi-Fi au réseau
Installation du point d'accès Wi-Fi au réseau Utilisez un câble Ethernet pour connecter le port Ethernet du point d'accès au port de la carte réseau situé sur le poste. Connectez l'adaptateur électrique
Plus en détailRemote Cookies Stealing SIWAR JENHANI (RT4) SOUHIR FARES (RT4)
Remote Cookies Stealing SIWAR JENHANI (RT4) SOUHIR FARES (RT4) Sommaire : Contenu I. Introduction:... 2 II. Présentation de l atelier :... 2 1) Attaque persistante :... 3 2) Attaque non persistante :...
Plus en détailPrésentation du relais HTTP Open Source Vulture. Arnaud Desmons <ads@intrinsec.com> Jérémie Jourdin <jjn@intrinsec.com>
Arnaud Desmons Jérémie Jourdin Présentation Motivations Historique Démonstration Présentation fonctionnelle Présentation technique L'interface d'administration Roadmap
Plus en détailMysql. Les requêtes préparées Prepared statements
Mysql Les requêtes préparées Prepared statements Introduction Les prepared statements côté serveur sont une des nouvelles fonctionnalités les plus intéressantes de MySQL 4.1 (récemment sorti en production
Plus en détailUn exemple d'authentification sécurisée utilisant les outils du Web : CAS. P-F. Bonnefoi
Un exemple d'authentification sécurisée utilisant les outils du Web : CAS 111 L authentification CAS : «Central Authentication Service» CAS ou le service central d authentification Le système CAS, développé
Plus en détailSkype (v2.5) Protocol Data Structures (French) Author : Ouanilo MEDEGAN http://www.oklabs.net
Skype (v2.5) Protocol Data Structures (French) Author : Ouanilo MEDEGAN http://www.oklabs.net : Champ Encodé SKWRITTEN() : Champ Variable défini Précédemment & définissant l état des champs à suivre ECT
Plus en détailFailles XSS : Principes, Catégories Démonstrations, Contre mesures
HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Séminaire 15 ans HSC Failles XSS : Principes, Catégories Démonstrations,
Plus en détailCommand Execution:... 10. File Inclusion :... 21. SQL injection :... 10
Web App Security CHEF ATELIER: BEN MARZOUK HAMZA(RT3) BOUJBEL AMEL(RT4) KHALIFI MAJDI(ISI) TOURJMEN HELA(RT3) ALIBI GHAZI(ISET) BEL HAJ HASSINE SOUHA(RT3) TRABELSI OUSSAMA(MPI) Table des matières 1. Présentation
Plus en détailÉtudiant : Nicolas Favre-Félix IFIPS Info 3. Les One Time Passwords, Mots de passe à usage unique
Étudiant : Nicolas Favre-Félix IFIPS Info 3 Les One Time Passwords, Mots de passe à usage unique Sommaire Définition d'un système d'authentification par OTP...3 Historique...3 Utilisation actuelle...3
Plus en détailVulnérabilités et solutions de sécurisation des applications Web
Vulnérabilités et solutions de sécurisation des applications Web Patrick CHAMBET EdelWeb ON-X Consulting patrick.chambet@edelweb.fr http://www.edelweb.fr http://www.chambet.com Eric Larcher RSSI Accor
Plus en détailExtension SSO Java. Cette note technique décrit la configuration et la mise en œuvre du filtre de custom SSO Java.
Note technique W4 Engine Extension SSO Java Cette note technique décrit la configuration et la mise en œuvre du filtre de custom SSO Java. 1 Présentation 3 2 Custom SSO Java 4 3 Bilan 10 Sommaire Référence
Plus en détailInstallation et configuration de Vulture Lundi 2 février 2009
Installation et configuration de Vulture Lundi 2 février 2009 V1.0 Page 1/15 Tables des matières A. Informations (Page. 3/15) B. Installation (Page. 3/15) 1- Téléchargement des paquets nécessaires. 2-
Plus en détailRestriction sur matériels d impression
Restriction sur matériels d impression Objectif : Restreindre l accès aux matériels multifonctions Description des matériels : Serveur d impression : SVAWAV01 (10.204.1.204) Ricoh Aficio MP C4501 o IP
Plus en détailPrésenté par : Ould Mohamed Lamine Ousmane Diouf
Sécurité des Réseaux Wi Fi Présenté par : Ould Mohamed Lamine Ousmane Diouf Table des matières Présentation du réseau Wi Fi Configuration d'un réseau Wi Fi Risques liés aux réseaux Wi Fi Règles de base
Plus en détailSécurité des applications web. Daniel Boteanu
I F8420: Éléments de Sécurité des applications web Daniel Boteanu Architecture des applications web Client légitime Internet HTTP 浀 HTML Server Web 2 Architecture des applications web Client légitime Internet
Plus en détailSécuriser les applications web
SÉCURITÉ RÉSEAUX TONY FACHAUX Degré de difficulté Sécuriser les applications web L'article présente d'une manière générale les moyens techniques à mettre en œuvre pour sécuriser les applications web d'une
Plus en détailarcopole Studio Annexe 4 Intégration LDAP et processus d authentification Site du programme arcopole : www.arcopole.fr
arcopole Studio Annexe 4 Intégration LDAP et processus d authentification Site du programme arcopole : www.arcopole.fr Auteur du document : ESRI France Version de la documentation : 1.2.0.0 Date de dernière
Plus en détailProtocoles utilisant des mécanismes d'authentification: TACACS+, RADIUS et Kerberos
Sécurisation des systèmes Protocoles utilisant des mécanismes d'authentification: TACACS+, RADIUS et Kerberos Tarik BOUDJEMAA Sadek YAHIAOUI 2007 2008 Master 2 Professionnel STIC Informatique Sécurisation
Plus en détailService d'authentification LDAP et SSO avec CAS
Service d'authentification LDAP et SSO avec CAS Clé de l'extension : ig_ldap_sso_auth 2006-2007, Michaël Gagnon, Ce document est publié sous la licence open source, disponible au
Plus en détailGLPI (Gestion Libre. 2 ième édition. Nouvelle édition. de Parc Informatique)
GLPI (Gestion Libre de Parc Informatique) Installation et configuration d une solution de gestion de parc et de helpdesk 2 ième édition Marc PICQUENOT Patrice THÉBAULT Nouvelle édition Table des matières
Plus en détailwww.netexplorer.fr contact@netexplorer.fr
www.netexplorer.fr 05 61 61 20 10 contact@netexplorer.fr Sommaire Sécurité applicative... 3 Authentification... 3 Chiffrement... 4 Traçabilité... 4 Audits... 5 Sécurité infrastructure... 6 Datacenters...
Plus en détailS28 - La mise en œuvre de SSO (Single Sign On) avec EIM (Enterprise Identity Mapping)
Modernisation, développement d applications et DB2 sous IBM i Technologies, outils et nouveautés 2013-2014 13 et 14 mai 2014 IBM Client Center Paris, Bois-Colombes S28 - La mise en œuvre de SSO (Single
Plus en détailStockage du fichier dans une table mysql:
Stockage de fichiers dans des tables MYSQL avec PHP Rédacteur: Alain Messin CNRS UMS 2202 Admin06 30/06/2006 Le but de ce document est de donner les principes de manipulation de fichiers dans une table
Plus en détailADF 2009 Sécurisation d applications PHP/MySQL
ADF 2009 Sécurisation d applications PHP/MySQL Magali Contensin contensin@ibdml.univ-mrs.fr Plan 1. Filtrer les entrées, protéger les sorties 2. Sécurité par l obscurité 3. XSS 4. Injections 5. CSRF 6.
Plus en détailINF4420: Éléments de Sécurité Informatique
: Éléments de Module II : Sécurité SE et des logiciels José M. Fernandez M-3109 340-4711 poste 5433 Module II Aperçu Semaine 5 Sécurité dans les systèmes d'exploitation (SE) Contrôle d'accès dans les SE
Plus en détailActive Directory. Structure et usage
Active Directory Structure et usage Michel CHABANNE Ecole Polytechnique/DSI/RVDS Octobre 2005 Active Directory? Une implémentation de service LDAP pour une utilisation dans les environnements Windows Présenté
Plus en détailPHP 5.4 Développez un site web dynamique et interactif
Editions ENI PHP 5.4 Développez un site web dynamique et interactif Collection Ressources Informatiques Table des matières Table des matières 1 Chapitre 1 Introduction 1. Objectif de l'ouvrage.............................................
Plus en détailOWASP Code Review Guide Revue de code. Paris 2011. The OWASP Foundation. Victor Vuillard
OWASP Code Review Guide Revue de code Paris 2011 Victor Vuillard Copyright The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License.
Plus en détailOZSSI NORD 4 JUIN 2015 - LILLE. Conférence thématique: Sécurité des applications
OZSSI NORD 4 JUIN 2015 - LILLE Conférence thématique: Sécurité des applications www.advens.fr Document confidentiel - Advens 2015 Présentation de la société Advens 2 La sécurité est source de valeur Pas
Plus en détailSQL Parser XML Xquery : Approche de détection des injections SQL
SQL Parser XML Xquery : Approche de détection des injections SQL Ramahefy T.R. 1, Rakotomiraho S. 2, Rabeherimanana L. 3 Laboratoire de Recherche Systèmes Embarqués, Instrumentation et Modélisation des
Plus en détailL'AAA, késako? Bruno Bonfils, <asyd@solaris fr.org>, Novembre 2005. Sous ce terme d'apparence barbare est regroupé l'ensemble des concepts suivants :
Introduction L'AAA, késako? Bruno Bonfils, , Novembre 2005 Sous ce terme d'apparence barbare est regroupé l'ensemble des concepts suivants : Authentication (authentification) Authorization
Plus en détailHébergement de site web Damien Nouvel
Hébergement de site web Plan L'hébergeur Le serveur web Apache Sites dynamiques 2 / 27 Plan L'hébergeur Le serveur web Apache Sites dynamiques 3 / 27 L'hébergeur L'hébergeur sous-traite l'architecture
Plus en détailSQL Server et Active Directory
SQL Server et Active Directory Comment requêter AD depuis SQL Server Comment exécuter des requêtes de sélection sur un Active Directory depuis SQL Server? L'utilisation du principe des serveurs liés adapté
Plus en détailLemonLDAP::NG / SAML2. Xavier GUIMARD (Gendarmerie Nationale) Clément OUDOT (Groupe LINAGORA) WWW.LINAGORA.COM
LemonLDAP::NG / SAML2 Xavier GUIMARD (Gendarmerie Nationale) Clément OUDOT (Groupe LINAGORA) WWW.LINAGORA.COM 16, 17 et 18 MARS 2010 SOMMAIRE Définition du WebSSO Présentation de LemonLDAP::NG SAML2 et
Plus en détailINSTALLATION DE L APPLICATION DU CONTEXTE ITASTE
INSTALLATION DE L APPLICATION DU CONTEXTE ITASTE Le responsable de la société Itaste utilise une application installée sur son poste : elle est programmée en VBA sous Microsoft Access et pourvue d une
Plus en détailLes risques HERVE SCHAUER HSC
HERVE SCHAUER HSC Les risques Les risques ne cessent d'augmenter: Informatisation systématique de l'ensemble de la société Ouverture des systèmes d'information sur Internet Démultiplication de ce qui est
Plus en détailTable des matières 1 Accès distant sur Windows 2008 Server...2 1.1 Introduction...2
Table des matières 1 Accès distant sur Windows 2008 Server...2 1.1 Introduction...2 1.2 Accès distant (dial-in)...2 1.3 VPN...3 1.4 Authentification...4 1.5 Configuration d un réseau privé virtuel (vpn)...6
Plus en détailA DESTINATION DES SERVICES TIERS. Editeurs d applications et ressources pédagogiques connectées à l ENT
DOCUMENTATION CAS A DESTINATION DES SERVICES TIERS Titre descriptif du document Référence du document REFO-DT-ENTV2-ServeurCAS-v1.2.docx Nom du fichier REFO-DT-ENTV2-ServeurCAS-v1.2.docx Version du document
Plus en détailAttaques applicatives
Attaques applicatives Attaques applicatives Exploitation d une mauvaise programmation des applications Ne touche pas le serveur lui-même mais son utilisation/ configuration Surtout populaire pour les sites
Plus en détailBTS S.I.O. 2012-2013 PHP OBJET. Module SLAM4. Nom du fichier : PHPRévisionObjetV2.odt Auteur : Pierre Barais
BTS S.I.O. 2012-2013 PHP OBJET Module SLAM4 Nom du fichier : PHPRévisionObjetV2.odt Auteur : Pierre Barais Table des matières 1 But... 3 2 Les bases :... 3 3 Utilisation d'une classe : Instanciation...3
Plus en détailSingle Sign-On open source avec CAS (Central Authentication Service) Vincent Mathieu Pascal Aubry Julien Marchal
Single Sign-On open source avec CAS (Central Authentication Service) Vincent Mathieu Pascal Aubry Julien Marchal SSO open source avec CAS Introduction Pourquoi le Single Sign-On? Principes du SSO sur le
Plus en détailSage CRM. 7.2 Guide de Portail Client
Sage CRM 7.2 Guide de Portail Client Copyright 2013 Sage Technologies Limited, éditeur de ce produit. Tous droits réservés. Il est interdit de copier, photocopier, reproduire, traduire, copier sur microfilm,
Plus en détailTous les autres noms de produits ou appellations sont des marques déposées ou des noms commerciaux appartenant à leurs propriétaires respectifs.
4D v12 et LDAP Par Jesse PINA, Membre des Services techniques, 4D Inc. Note technique 4D-201009-17-FR Version 1 - Date 1 septembre 2010 Résumé Traduction de l'anglais par Djompolo Tandjigora, Ingénieur
Plus en détailInstallation de SQL Server Reporting Services avec l intégration dans un site Windows SharePoint Services V3
Installation de SQL Server Reporting Services avec l intégration dans un site Windows SharePoint Services V3 Introduction Le Service Pack 2 de SQL Server 2005 a ajouté une option de gestion et d utilisation
Plus en détailContenu. Cocher : Network Policy and Access Services > Next > Next. Cocher : Network Policy Server > Next > Install
Albéric ALEXANDRE 1 Contenu 1. Introduction... 2 2. Prérequis... 2 3. Configuration du serveur... 2 a. Installation de Network Policy Server... 2 b. Configuration de Network Policy Server... 2 4. Configuration
Plus en détailNote Technique Sécurité. Système d'authentification. Authentification hors APN LuxGSM Authentification 3G/APN. Système de notification
PLAN Note Technique Sécurité Système d'authentification Authentification hors APN LuxGSM Authentification 3G/APN Système de notification Pré-requis Sécurité et routage des notifications Système d'authentification
Plus en détailGestion de l authentification et des autorisations
Gestion de l authentification et des autorisations Version 1.1 BEDE Nicolas GERAUD Cédric James RAVAILLE http://blogs.dotnet france.com/jamesr 2 Gestion de l authentification et des autorisations (v. 1.1)
Plus en détailLa mémorisation des mots de passe dans les navigateurs web modernes
1 La mémorisation des mots de passe dans les navigateurs web modernes Didier Chassignol Frédéric Giquel 6 décembre 2005 - Congrès JRES 2 La problématique Multiplication des applications web nécessitant
Plus en détailLES ACCES ODBC AVEC LE SYSTEME SAS
LES ACCES ODBC AVEC LE SYSTEME SAS I. Présentation II. SAS/ACCESS to ODBC III. Driver ODBC SAS IV. Driver ODBC SAS Universel V. Version 8 VI. Références I. Présentation Introduction ODBC, qui signifie
Plus en détailLa programmation orientée objet Gestion de Connexions HTTP Manipulation de fichiers Transmission des données PHP/MySQL. Le langage PHP (2)
Le langage PHP (2) Walid Belkhir Université de Provence belkhir@cmi.univ-mrs.fr http://www.lif.univ-mrs.fr/ belkhir/ 1 / 54 1 La programmation orientée objet 2 Gestion de Connexions HTTP 3 Manipulation
Plus en détailSécurité des bases de données Nicolas Jombart Alain Thivillon
HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Sécurité des bases de données Nicolas Jombart Alain Thivillon Place
Plus en détailSécurisation d une application ASP.NET
Sécurisation d une application ASP.NET 1- Authentification L authentification est un processus essentiel à la sécurisation d une application internet. Ce processus permet d authentifier l entité à l origine
Plus en détailChapitre 7. Sécurité des réseaux. Services, attaques et mécanismes cryptographiques. Hdhili M.H. Cours Administration et sécurité des réseaux
Chapitre 7 Sécurité des réseaux Services, attaques et mécanismes cryptographiques Hdhili M.H Cours Administration et sécurité des réseaux 1 Partie 1: Introduction à la sécurité des réseaux Hdhili M.H Cours
Plus en détailCréation d'un site dynamique en PHP avec Dreamweaver et MySQL
Création d'un site dynamique en PHP avec Dreamweaver et MySQL 1. Création et configuration du site 1.1. Configuration de Dreamweaver Avant de commencer, il est nécessaire de connaître l'emplacement du
Plus en détailSécurité des réseaux Les attaques
Sécurité des réseaux Les attaques A. Guermouche A. Guermouche Cours 2 : Les attaques 1 Plan 1. Les attaques? 2. Quelques cas concrets DNS : Failles & dangers 3. honeypot A. Guermouche Cours 2 : Les attaques
Plus en détailLes Protocoles de sécurité dans les réseaux WiFi. Ihsane MOUTAIB & Lamia ELOFIR FM05
Les Protocoles de sécurité dans les réseaux WiFi Ihsane MOUTAIB & Lamia ELOFIR FM05 PLAN Introduction Notions de sécurité Types d attaques Les solutions standards Les solutions temporaires La solution
Plus en détailServeurs de noms Protocoles HTTP et FTP
Nils Schaefer Théorie des réseaux (EC3a) Serveurs de noms Protocoles HTTP et FTP Théorie des réseaux (EC3a) Séance 7 Pourquoi DNS? Internet est une structure hiérarchique et arborescente de réseaux et
Plus en détailPDO : PHP Data Object 1/13
PDO : PHP Data Object 1/13 Tous ne sont que des extensions... Les fonstions mysql_* : API mysql Les fonctions mysqli_* aussi Il en est de même pour PDO PDO (avec le pilote PDO MySQL Driver et Extension
Plus en détailAuthentification dans ISA Server 2006. Microsoft Internet Security and Acceleration Server 2006
Authentification dans ISA Server 2006 Microsoft Internet Security and Acceleration Server 2006 Les informations contenues dans ce document, y compris les URL et autres références à des sites Web Internet,
Plus en détailDémonstration de la mise en cache via HTML 5 sur iphone
Last update: 2011/08/18 21:46 wiki:devmobile:webapp:html5:presentation Démonstration de la mise en cache via HTML 5 sur iphone Overview Parmi les nouveautés du HTML 5, l une d elles est très intéressent
Plus en détailÉPREUVE COMMUNE DE TIPE 2008 - Partie D
ÉPREUVE COMMUNE DE TIPE 2008 - Partie D TITRE : Les Fonctions de Hachage Temps de préparation :.. 2 h 15 minutes Temps de présentation devant le jury :.10 minutes Entretien avec le jury :..10 minutes GUIDE
Plus en détailInstallation du client Cisco VPN 5 (Windows)
Documentation pour tout utilisateur mise à jour le 20.06.2007, a été réalisée par Kurt Tornare Installation du client Cisco VPN 5 (Windows) Attention : la réexportation de ce logiciel cryptographique est
Plus en détailFormateurs : Jackie DAÖN Franck DUBOIS Médiapôle de Guyancourt
Client sur un domaine stage personnes ressources réseau en établissement janvier 2004 Formateurs : Jackie DAÖN Franck DUBOIS Médiapôle de Guyancourt Lycée de Villaroy 2 rue Eugène Viollet Le Duc BP31 78041
Plus en détailLinux sécurité des réseaux
Linux sécurité des réseaux serveurs mandataires (proxy) fbongat@ipsl.jussieu.fr 2007-2008 Qu'est-ce qu'un proxy? = mandataire (traduction) Un proxy est un service mandataire pour une application donnée.
Plus en détailMaarch Framework 3 - Maarch. Tests de charge. Professional Services. http://www.maarch.fr. 11, bd du Sud Est 92000 Nanterre
Maarch Professional Services 11, bd du Sud Est 92000 Nanterre Tel : +33 1 47 24 51 59 Fax : +33 1 47 24 54 08 Maarch Framework 3 - Maarch PS anime le développement d un produit d archivage open source
Plus en détailLa double authentification dans SharePoint 2007
La double authentification dans SharePoint 2007 Authentification NT et Forms sur un même site Dans de nombreux cas on souhaite pouvoir ouvrir un accès sur son serveur SharePoint à des partenaires qui ne
Plus en détailLa Latecion protection anti-intrusion Web Web Le concept «Zero effort Security» La protection des applications Extranet
REALSENTRY TM Gestion, Performance et Sécurité des infrastructures Web La Latecion protection anti-intrusion Web Web Le concept «Zero effort Security» La protection des applications Extranet L authentification
Plus en détailLe protocole RADIUS Remote Authentication Dial-In User Service
Remote Authentication Dial-In User Service CNAM SMB 214-215 Claude Duvallet Université du Havre UFR des Sciences et Techniques Courriel : Claude.Duvallet@gmail.com Claude Duvallet 1/26 Objectifs du cours
Plus en détailInstallation du client Cisco VPN 5 (Windows)
Documentation pour tout utilisateur mise à jour le 17.03.2008, a été réalisée par Kurt Tornare Installation du client Cisco VPN 5 (Windows) Attention : la réexportation de ce logiciel cryptographique est
Plus en détailInstallation du client Cisco VPN 5 (Windows)
Documentation pour tout utilisateur mise à jour le 14.09.2010, a été réalisée par Kurt Tornare Installation du client Cisco VPN 5 (Windows) Attention : la réexportation de ce logiciel cryptographique est
Plus en détailCharte d hébergement des sites web universitaires "Réseau National Universitaire (RNU)"
République Tunisienne Ministère de l'enseignement Supérieur, de la Recherche Scientifique et de la Technologie Centre de Calcul El-Khawarizmi Charte d hébergement des sites web universitaires "Réseau National
Plus en détailInstallation de la plate-forme Liberacces 2.0 «Intégrale» avec LiberInstall
Installation de la plate-forme Liberacces 2.0 «Intégrale» avec LiberInstall Titre Version Date Dernière page Identité du document Installation de la plate-forme Liberacces 2.0 «Intégrale» avec LiberInstall
Plus en détailMot de passe sécurisé, systèmes d'authentification S/Key et par jeton de contrôle, protocoles d'authentification pour PPP : PAP, CHAP et EAP
Mot de passe sécurisé, systèmes d'authentification S/Key et par jeton de contrôle, protocoles d'authentification pour PPP : PAP, CHAP et EAP Hicham RICHA Plan 1 Mots de passe sécurisés: a) Introduction
Plus en détailPHP 5. La base de données MySql. A. Belaïd 1
PHP 5 La base de données MySql A. Belaïd 1 Base de données C est quoi une base de données? Une base de données contient une ou plusieurs tables, chaque table ayant un ou plusieurs enregistrements Exemple
Plus en détailStandard. Manuel d installation
Standard Manuel d installation 1 2 3 4 5 Vérifications avant l installation Installation Création d utilisateurs et Configuration rapide Exemples d utilisation et paramètres Annexe Lisez attentivement
Plus en détailLe protocole SSH (Secure Shell)
Solution transparente pour la constitution de réseaux privés virtuels (RPV) INEO.VPN Le protocole SSH (Secure Shell) Tous droits réservés à INEOVATION. INEOVATION est une marque protégée PLAN Introduction
Plus en détailSecurity Exposed. #1 - Take the red pill. An introduction to hacking & security flaws. ... and follow the white rabbit
Security Exposed #1 - Take the red pill... and follow the white rabbit An introduction to hacking & security flaws 1 Copyright 2010 Thireus. All Rights Reserved. 1 Sur les traces d un pirate Objectifs
Plus en détailTUTORIEL RADIUS. I. Qu est-ce que RADIUS? II. Création d un groupe et d utilisateur
TUTORIEL RADIUS Dans ce tutoriel nous allons voir, comment mettre en place une borne wifi avec un protocole RADIUS. Pour cela, vous aurez besoin : - d un serveur Windows 2012 - d un Active Directory -
Plus en détailExtraction de données authentifiantes de la mémoire Windows
HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet GS Days Extraction de données authentifiantes de la mémoire Windows
Plus en détailCours 14. Crypto. 2004, Marc-André Léger
Cours 14 Crypto Cryptographie Définition Science du chiffrement Meilleur moyen de protéger une information = la rendre illisible ou incompréhensible Bases Une clé = chaîne de nombres binaires (0 et 1)
Plus en détailLe modèle de sécurité windows
Le modèle de sécurité windows Cours Windows 2008-2009 Franck Rupin - Laurent Gydé 1 Le modèle de sécurité windows 1 Généralités 2 Les composants du système de sécurité 3 La protection des objets 4 Audit
Plus en détailL3 informatique TP n o 2 : Les applications réseau
L3 informatique TP n o 2 : Les applications réseau Sovanna Tan Septembre 2009 1/20 Sovanna Tan L3 informatique TP n o 2 : Les applications réseau Plan 1 Transfert de fichiers 2 Le Courrier électronique
Plus en détailSystème Normalisé de Gestion des Bibliothèques -SYNGEB : version Réseau-
Ministère de l Enseignement Supérieur et de la Recherche Scientifique Centre de Recherche sur l Information Scientifique et Technique Système Normalisé de Gestion des Bibliothèques -SYNGEB : version Réseau-
Plus en détailOauth : un protocole d'autorisation qui authentifie?
Oauth : un protocole d'autorisation qui authentifie? Maxime Féroul Directeur Technique / KYOS IT SECURITY Application Security Forum - 2012 Western Switzerland 7-8 novembre 2012 - Y-Parc / Yverdon-les-Bains
Plus en détail