30,997
edits
Informations sécurité: Difference between revisions
Jump to navigation
Jump to search
m
→Fonctionnalités
Tag: 2017 source edit |
|||
| Line 8: | Line 8: | ||
[[Category:Admin]] | [[Category:Admin]] | ||
= [[File:securite.png]] Alertes = | =[[File:securite.png]] Alertes= | ||
Dernière mise à jour: {{REVISIONDAY}}/{{REVISIONMONTH}}/{{REVISIONYEAR}} | Dernière mise à jour: {{REVISIONDAY}}/{{REVISIONMONTH}}/{{REVISIONYEAR}} | ||
Des possibles injections XSS mineures ont été détectées. Elles sont toutes corrigées dans la version {{Template:SafeVersion}} ou supérieure. | Des possibles injections XSS mineures ont été détectées. Elles sont toutes corrigées dans la version {{Template:SafeVersion}} ou supérieure. | ||
= [[File:art.png]] Fonctionnalités = | =[[File:art.png]] Fonctionnalités= | ||
Dolibarr intègre les mécanismes de sécurité suivant : | Dolibarr intègre les mécanismes de sécurité suivant : | ||
'''Cryptage''' | '''Cryptage''' | ||
* Cryptage des mots de passe utilisateurs en base <sup>[*7]</sup> <sup>[*8]</sup>. | |||
* Cryptage possible du mot de passe technique de la base de donnée dans le [[Fichier de configuration]] (conf.php) <sup>[*8]</sup>. | *Cryptage des mots de passe utilisateurs en base <sup>[*7]</sup> <sup>[*8]</sup>. | ||
* Possibilité de forcer le mode HTTPS <sup>[*9]</sup>. | *Cryptage possible du mot de passe technique de la base de donnée dans le [[Fichier de configuration]] (conf.php) <sup>[*8]</sup>. | ||
*Possibilité de forcer le mode HTTPS <sup>[*9]</sup>. | |||
'''Hacks et cracks''' | '''Hacks et cracks''' | ||
* Support du mode register_globals on ou off (off serieusement recommandé) <sup>[*2]</sup>. | |||
* Support du mode safe_mode on ou off de PHP (on recommandé) <sup>[*3]</sup>. | *Support du mode register_globals on ou off (off serieusement recommandé) <sup>[*2]</sup>. | ||
* Option de production pour inhiber toute remontée d'information technique comme débuggage, info d'erreurs, info de version (Voir le [[Fichier de configuration]]) <sup>[*6]</sup>. | *Support du mode safe_mode on ou off de PHP (on recommandé) <sup>[*3]</sup>. | ||
* Système de protection anti injection SQL <sup>[2*]</sup>. | *Option de production pour inhiber toute remontée d'information technique comme débuggage, info d'erreurs, info de version (Voir le [[Fichier de configuration]]) <sup>[*6]</sup>. | ||
* Système de protection anti injection XSS (Cross Site Scripting) <sup>[*1]</sup>. | *Système de protection anti injection SQL <sup>[2*]</sup>. | ||
Noter qu'il reste préférable d'ajouter la protection côté du serveur Web en désactivant l'option Apache | *Système de protection anti injection XSS (Cross Site Scripting) <sup>[*1]</sup>. | ||
*Système de protection anti CSRF (Cross Site Request Forgery) <sup>[*5]</sup> | |||
Noter qu'il reste préférable d'ajouter aussi la protection côté du serveur Web en désactivant l'option Apache | |||
<source lang="ini"> | <source lang="ini"> | ||
AcceptPathInfo Off | AcceptPathInfo Off | ||
</source> | </source> | ||
'''Accès pages et fichiers''' | '''Accès pages et fichiers''' | ||
* Pages et contenus protégées par un système centralisé de vérification des habilitations accordées aux groupes ou utilisateurs pour chaque module fonctionnel <sup>[*4]</sup> <sup>[*10]</sup>. | |||
* Isolation des fichiers stockés par Dolibarr dans une arborescence différente de la racine web (donc non téléchargeable sans passer par le wrapper) <sup>[*3]</sup> <sup>[*10]</sup>. | *Pages et contenus protégées par un système centralisé de vérification des habilitations accordées aux groupes ou utilisateurs pour chaque module fonctionnel <sup>[*4]</sup> <sup>[*10]</sup>. | ||
* Système de protection anti scan dir (tout répertoire contient un fichier index pour limiter la visibilité si le serveur web a l'option "Indexes" active. Ne devrait pas) <sup>[*3]</sup>. | *Isolation des fichiers stockés par Dolibarr dans une arborescence différente de la racine web (donc non téléchargeable sans passer par le wrapper) <sup>[*3]</sup> <sup>[*10]</sup>. | ||
*Système de protection anti scan dir (tout répertoire contient un fichier index pour limiter la visibilité si le serveur web a l'option "Indexes" active. Ne devrait pas) <sup>[*3]</sup>. | |||
'''Protection login''' | '''Protection login''' | ||
* Retardateur anti brute force cracking sur la page de login <sup>[*7]</sup>. | |||
* Code graphique optionnel anti robot (CAPTCHA) sur la page de login <sup>[*7]</sup>. | *Retardateur anti brute force cracking sur la page de login <sup>[*7]</sup>. | ||
* Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | *Code graphique optionnel anti robot (CAPTCHA) sur la page de login <sup>[*7]</sup>. | ||
* Système d'audit interne pour logguer de manière permanente les évènements en rapport avec l'administration utilisateurs et les logins en succès ou en échec. | *Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | ||
*Système d'audit interne pour logguer de manière permanente les évènements en rapport avec l'administration utilisateurs et les logins en succès ou en échec. | |||
'''Virus''' | '''Virus''' | ||
* Possibilité d'insérer un contrôle antivirus sur tout fichier uploadé (linux uniquement) <sup>[*3]</sup>. | |||
*Possibilité d'insérer un contrôle antivirus sur tout fichier uploadé (linux uniquement) <sup>[*3]</sup>. | |||
---- | ---- | ||
<sup>(*X)</sup> Ce mécanisme répond à la criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP]. | <sup>(*X)</sup> Ce mécanisme répond à la criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP]. | ||