Tous les autres noms de produits ou appellations sont des marques déposées ou des noms commerciaux appartenant à leurs propriétaires respectifs.

Transcription

1 Le composant de sécurité Web en 4D v11 SQL Par Atanas ATANASSOV, Technical Support Engineer, 4D Inc (USA) Note technique 4D FR Version 1 - Date 1 mai 2010 Résumé Traduction de l'anglais par Djompolo Tandjigora, Ingénieur Contrôle Qualité 4D SAS. Cette note technique explique et montre comment créer un système de sécurité Web personnalisé. Un composant est inclus pour aider les utilisateurs à construire leurs domaines de sécurité. 4D Notes techniques Copyright D SAS - Tous droits réservés Tous les efforts ont été faits pour que le contenu de cette note technique présente le maximum de fiabilité possible. Néanmoins, les différents éléments composant cette note technique, et le cas échéant, le code, sont fournis sans garantie d'aucune sorte. L'auteur et 4D SAS déclinent donc toute responsabilité quant à l'utilisation qui pourrait être faite de ces éléments, tant à l'égard de leurs utilisateurs que des tiers. Les informations contenues dans ce document peuvent faire l'objet de modifications sans préavis et ne sauraient en aucune manière engager 4D SAS. La fourniture du logiciel décrit dans ce document est régie par un octroi de licence dont les termes sont précisés par ailleurs dans la licence électronique figurant sur le support du Logiciel et de la Documentation afférente. Le logiciel et sa documentation ne peuvent être utilisés, copiés ou reproduits sur quelque support que ce soit et de quelque manière que ce soit, que conformément aux termes de cette licence. Aucune partie de ce document ne peut être reproduite ou recopiée de quelque manière que ce soit, électronique ou mécanique, y compris par photocopie, enregistrement, archivage ou tout autre procédé de stockage, de traitement et de récupération d'informations, pour d'autres buts que l'usage personnel de l'acheteur, et ce exclusivement aux conditions contractuelles, sans la permission explicite de 4D SAS. 4D, 4ème Dimension, 4D Server, ainsi que tous les logos sont des marques enregistrées de 4D SAS. Windows,Windows NT, Vista, Windows 7, Win 32s et Microsoft sont des marques enregistrées de Microsoft Corporation. ICU Copyright International Business Machines Corporation and others - iodbc Copyright : Open Linck Software - LibZip Copyright 2006 Dieter Baron and Thomas Klausner. OpenSSL : OpenSSL Project for use in the OpenSSL Toolkit. - SYNAPSE Copyright Synapse Developement - XALAN Copyright D SAS/ XERCES Copyright D SAS - zlib Copyright Jean-Loup Gailly and Mark Adler. Apple, Macintosh, QuickTime sont des marques enregistrées ou des noms commerciaux de Apple Computer,Inc. Mac2Win Software Copyright est un produit de Altura Software,Inc. Tous les autres noms de produits ou appellations sont des marques déposées ou des noms commerciaux appartenant à leurs propriétaires respectifs. 1 / 13

2 Le composant de sécurité Web en 4D v11 SQL Résumé Au moment où vous lancez un serveur web sur votre site, vous ouvrez une fenêtre sur votre réseau local visible sur l ensemble d Internet. Le filtrage des accès des utilisateurs aux différentes parties du site est important. L accès à la page principale et aux autres pages du site public est normalement mis à la disposition de tout le monde, mais d autre part, toutes les informations sensibles doivent être protégées. 4D v11 SQL est doté d un système de sécurité Web, mais aussi elle permet aux développeurs d utiliser leur propre système personnalisé. Cette note technique explique et montre comment créer un système de sécurité Web personnalisé. Un composant est inclus pour aider les utilisateurs à construire leurs domaines de sécurité. Introduction Une définition simple de la sécurité Web d une base de données est d avoir un accès restreint à la base de données sur le Web, basé sur des règles qui permettent aux utilisateurs authentifiés d accéder à différentes parties de la base de données. Les systèmes de sécurité Web protègent également les comptes d utilisateurs et les fichiers sur la machine où le serveur Web est en cours d exécution. Les mesures basiques de sécurité incluent des mots de passe bien choisis, l évolution des autorisations de fichiers et des sauvegardes fréquentes de données. Sous-estimer les possibilités d intrusion non désirée dans les fichiers informatiques ou dans les données stockées dans la base de données peut être cruciale pour toute entreprise. Cette note technique donne un aperçu des éléments de sécurité disponibles dans 4D. Un composant et une base de données exemple sont disponibles. Le composant permet aux utilisateurs de construire leurs domaines de sécurité et de définir les règles d authentification pour l accès. La base de données exemple montre comment installer et utiliser le composant et comment construire le système de sécurité web de la base de données. 4D v11 SQL possède un système de sécurité d accès aux utilisateurs et aux groupes bien construit. Ce système peut être facilement utilisé pour l accès web des utilisateurs. D autre part, il impose des limites à la base de données comme passer les noms des utilisateurs et mots de passe sous forme de texte aux demandes du navigateur, ce qui peut provoquer des problèmes de sécurité et limite l accès Internet de la base de données uniquement à des utilisateurs définis dans 4D. Les Méthodes-base Sur authentification Web et Sur connexion Web permettent aux développeurs 4D de construire leur propre système de sécurité. Ils peuvent choisir la façon d enregistrer les paramètres de sécurité et la façon d authentifier les requêtes entrantes. En version 11, 4D introduit le protocole Digest qui crée des couches de sécurité supplémentaires. Sécurité Web - Vue d ensemble La sécurité Web de 4D est basée sur : Les Méthodes-base Sur authentification Web et Sur connexion Web. 2 / 13

3 DossierWeb : le dossier Web par défaut spécifié dans les préférences de la base de données. Les méthodes 4D disponibles via 4DACTION, 4DSCRIPT. Note: Cette note technique ne traite pas du mode contextuel, donc 4DMETHOD n est pas mentionné. Le système de gestion de mots de passe 4D et la définition de l utilisateur Web générique. L activation du système de gestion de mot de passe est effectuée à partir des Préférences. Une fois le système de mot de passe et la Méthode Sur authentification Web activés, toutes les requêtes entrantes sont dirigées vers la Méthode Sur authentification Web. Les demandes entrantes peuvent être : des demandes d URL, 4DACTION, 4DSCRIPT et 4DCGI. Il est à noter que la Méthode Sur authentification Web n est pas appelée si la demande est arrivée pour une page qui existe déjà. Ainsi nous devons trouver un moyen de gérer cette situation. On peut modifier le nom du chemin HTML par défaut à partir de la racine dossierweb, comme indiqué ci-dessous. De cette façon, toutes les requêtes entrantes sont redirigées vers la Méthode Sur authentification Web. 3 / 13

4 Le flux des requêtes entrantes se présente comme suit: L authentification est réalisée à partir des modes "Basic" ou "Digest". En mode "Basic", le nom d utilisateur et mot de passe entrés par l utilisateur sont envoyés sous forme de texte dans la requête du navigateur et passés dans la Méthode-base Sur authentification Web. L envoi du nom d utilisateur et du mot de passe en texte clair soulève des problèmes de sécurité potentiels, mais il permet également de vérifier les valeurs, soit avec le système de sécurité personnalisé et / ou avec le système de sécurité intégré dans 4D. Pour pouvoir utiliser le système de sécurité intégré, l option "Inclure mot de passe 4D" doit être cochée comme indiqué ici : 4 / 13

5 En mode "Digest", le mot de passe utilisateur est envoyé crypté et ses valeurs ne peuvent être interceptées et utilisées. Cela permet un plus grand niveau de sécurité, mais la méthode de validation "Digest" n est pas compatible avec le système de mot de passe de 4D. "Inclure les mots de passe 4D" n est pas disponible pour une utilisation avec le mode "Digest". Note : Le passage entre le mode "Digest" et "Basic" survient après le redémarrage de la base de données. Certaines des requêtes entrantes peuvent passer par le biais de 4DACTION ou 4DSCRIPT pour accéder aux Méthodes-projet dans 4D. Pour rendre ces méthodes disponibles, l option "Disponible via 4DACTION, 4DMETHOD et 4DSCRIPT" doit être cochée dans les propriétés de la méthode, comme illustré ici: 5 / 13

6 Les Méthodes-base qui gèrent les requêtes Web Les Méthodes-base Sur authentification Web et Sur connexion Web gèrent les requêtes entrantes et transmettent les informations demandées sur le moteur du serveur web. Sur Authentification Web Cette méthode accepte six paramètres en entrée : $1 - L URL par laquelle les demandes proviennent. $2 - En-tête HTTP et corps $3 - Adresse IP du client web $4 - Adresse IP du serveur web $5 - Nom d utilisateur $6 - Mot de passe utilisateur Note : Si le système de mot de passe n est pas activé, les paramètres $5 et $6 ne sont pas passés à la méthode Sur authentification Web. L argument retour $0 est une valeur booléenne. Si la valeur de retour est "Faux", l authentification a échoué et la connexion est rejetée. Un nouveau dialogue "Authentification Requise" est affiché dans la fenêtre du navigateur. 6 / 13

7 Si la valeur de retour est "Vrai", la demande est passée à la méthode Sur authentification Web ou à une méthode appelée avec 4DACTION. Lorsque la méthode est appelée pour la première fois, la requête entrante n a pas de nom d utilisateur et de mot de passe. Les arguments $5 et $6 sont des chaînes vides et l authentification échoue avec une valeur de retour égale à "Faux". La fenêtre "Authentification Requise" est affichée et l utilisateur peut entrer son nom d utilisateur et son mot de passe. À ce stade, les informations saisies sont authentifiées et si le nom d utilisateur et le mot de passe sont corrects, Sur authentification Web retourne "Vrai". Sur Connexion Web Cette méthode est appelée lorsque le serveur Web reçoit une requête invalide ou des demandes commençant par 4DCGI. Cette méthode reçoit également six paramètres. Ces paramètres ont les mêmes valeurs que dans la Méthode Sur authentification Web et doivent être explicitement déclarés par l utilisateur. La Méthode-base Sur connexion Web est exécutée si la Méthode Sur authentification Web retourne "Vrai". 7 / 13

8 Système de Sécurité intégré dans 4D Les développeurs 4D peuvent utiliser le système de sécurité intégré pour filtrer les requêtes Web entrantes. Le nom d utilisateur et le mot de passe sont vérifiés dans la table des utilisateurs. Par exemple : `$users_a - tableau contenant les noms d'utilisateurs `$usersid_a - tableau contenant les identifiants d'utilisateurs `$username - contient le nom d'utilisateur de la requête entrante ($5) `$userpassword contient le mot de passe utilisateur de la requête entrante ($6) LIRE LISTE UTILISATEURS($users_a;$usersID_a) $userpos:=chercher dans tableau($users_a;$username) Si ($userpos>0) $4Duser:=Non(Utilisateur supprime($usersid_a{$userpos})) Si (Valider mot de passe($usersid_a{$userpos};$userpassword)) $0:=Vrai Sinon $0:=Faux Fin de si Sinon $4Duser:=Faux $0:=Faux Fin de si C est une solution facile mais qui n est pas très sécurisée, comme mentionné ci-dessus, et qui ne limite l accès à la base qu'aux utilisateurs enregistrés. Cela peut être une limitation pour toute base de données publiée sur internet. Système de sécurité personnalisé 8 / 13

9 Le système de sécurité personnalisé est plus polyvalent que le système intégré et c est là que les développeurs 4D peuvent mettre en œuvre différents types d authentification. En outre, le protocole Digest peut être utilisé pour une protection supplémentaire des mots de passe utilisateur. Le mot de passe n est pas passé en tant que paramètre $6 dans la méthode Sur Authentification Web. Ceci est un exemple de la façon dont le protocole de sécurité Digest peut être utilisé pour authentifier un utilisateur. Les noms d utilisateur et les mots de passe sont enregistrés dans une table nommée [Users] : $username:=$5 CHERCHER([Users];[Users]User Name=$userName) Si (OK=1) $0:=Valider mot de passe digest Web($userName;[Users]Password) Sinon $0:=Faux Fin de si Comme mentionné précédemment, l usage du système de sécurité Web personnalisé est basé sur la Méthodebase Sur authentification Web. Toutes les requêtes entrantes sont redirigées vers cette méthode. L authentification est effectuée en fonction des domaines de sécurité et des règles d accès à ces domaines. Le composant de sécurité Web fourni avec cette note technique permet aux utilisateurs de créer leur domaine et de fixer les règles d accès. Dans le composant, le formulaire "Realms" est appelé avec la Méthode-projet WSec_P_startRealms. 9 / 13

10 Les informations nécessaires sont : Nom : Entrez le nom de domaine. URL : Entrez le chemin du domaine. Toutes les requêtes avec 4DACTION, 4DSCRIPT et 4DCGI sont traitées dans le composant. Les URL de ces demandes doivent être tapées en majuscules. Par exemple: /4DACTION, /4DSCRIPT et /4DCGI. Mode d authentification : choisir entre Basic, Digest et aucun. Pour pouvoir utiliser le mode Digest, l option "Mot de passe avec le protocole Digest" doit être cochée dans les préférences de la base de données, thème Web. L option Autoriser/Refuser autorise ou refuse l accès à certains domaines. Par exemple, vous pouvez refuser l accès pour toutes les demandes entrantes pour un certain domaine, mais vous pouvez toujours ouvrir une porte pour accéder à des fichiers ou des sous-dossiers de ce domaine. "Authentification Requise" demande aux utilisateurs leur nom d utilisateur et leur mot de passe. Utiliser Mot de passe 4D : quand cette option est cochée, les noms d utilisateurs et mots de passe sont vérifiés dans les utilisateurs définis dans 4D. En d autres termes, l authentification est basée sur le système de sécurité intégré. Cette option est disponible uniquement avec le protocole de mot de passe Basic. 10 / 13

11 Installation du composant 1. Copiez et collez WebSecurity.4dbase dans le dossier "Components" à côté du fichier de structure. 2. Copiez et collez 4DPack.bundle dans le dossier Plugins. 3. Appelez la méthode composant WSec_verify à partir de la base de données hôte. Cette méthode crée une Méthode-projet Authenticate dans la base de données hôte où les règles d authentification personnalisée sont appliquées. Dans la base de données exemple, les noms d utilisateurs et mots de passe sont stockés dans la table nommée [Users]. Le nom d utilisateur et le mot de passe venant de la requête Web entrante sont authentifiés sur la base des enregistrements dans cette table. 4. Dans la Méthode-base Sur ouverture, tapez WSec_install_On_Startup. Toutes les préférences de sécurité Web sont chargées dans la base de données hôte au démarrage. C est pourquoi la base de données doit être redémarrée à chaque fois que les paramètres sont modifiés. 5. Dans la Méthode-base Sur Authentification Web tapez WSec_install_On_Web_Authentication. 6. Dans la Méthode-base Sur connexion Web tapez WSec_install_On_Web_Connection. 7. Changez le chemin par défaut du "DossierWeb" par autre chose dans les préférences du thème web. 8. Démarrez le serveur web. Assurez-vous que la base de données est publiée sur le port Voici la liste et la description de toutes les méthodes qui peuvent être appelées par le développeur : WSec_P_startRealms - Cette méthode lance le formulaire des préférences Web "Realms". Dans ce formulaire, les utilisateurs peuvent créer leurs domaines et définir leurs conditions d accès. WSec_verify - Cette méthode crée un "developer hook" (un "crochet") dans la base de données hôte où les développeurs peuvent mettre en œuvre leur manière d authentifier les requêtes entrantes. Base de données exemple La base de données exemple, WebSecurity_host.4dbase, a le composant installé. Il y a quelques domaines pour tester le composant. Les domaines sont créés dans le "DossierWeb" situé à côté du fichier de structure. Au démarrage, l utilisateur est invité à entrer un mot de passe. Connectez-vous en tant que Designer. Liste des utilisateurs Designer Administrator Atanas Mot de passe designer administrator atanas La base de données exemple contient une table nommée [Users] qui contient les noms des utilisateurs Web et les mots de passe. 11 / 13

12 Choisir l option Préférences du menu Sécurité Web. Ceci lance le formulaire de préférences des domaines Web ("Realms"). Note : Création d un menu dans la base de données hôte en option. Les développeurs peuvent trouver d autres façons d appeler ces méthodes. Ce menu est créé uniquement à des fins de démonstration! Comme mentionné plus haut, peu de domaines et de règles d authentification ont été définis. Les URL pour 4DACTION, 4DCGI et 4DSCRIPT sont tapées en majuscules. Les demandes de l utilisateur à partir du navigateur peuvent être : L autre option dans le menu, «Installer Authentificateur», consiste à créer la méthode qui permet la personnalisation du système de sécurité Web et permet aussi d obtenir les préférences du domaine à partir du composant. Les préférences sont chargées dans la base de données hôte sous forme de tableaux interprocess afin qu elles puissent être utilisées telles quelles par les développeurs. 12 / 13

13 Conclusion La création d un système de sécurité web personnalisé 4D donne aux utilisateurs plus d avantages que l utilisation du système de sécurité intégré. 4D v11 SQL introduit un nouveau protocole de sécurité crypté pour les mots de passe utilisateur. Le composant fourni avec cette note technique facilite aux utilisateurs la création de leurs domaines et la déclaration des règles d accès. Il fournit aux développeurs une méthode de développement qui leur permet de mettre en œuvre leurs propres mécanismes d authentification. Pour plus d informations: Mode Développement 4D v11 SQL : Référence du langage 4D v11 SQL : Référence du langage 4D v12 : Sécurité des connexions : Méthode-base Sur connexion Web : Méthode-base Sur authentification Web : 13 / 13