507
edits
Informations sécurité: Difference between revisions
Jump to navigation
Jump to search
m
On peut décrypter (casser un chiffrement sans connaître la clé de déchiffrement en utilisant la force brute) par contre, crypter et cryptage sont des abus de langage et n'existent pas en langue française. Diverses corrections orthographiques mineures.
m (On peut décrypter (casser un chiffrement sans connaître la clé de déchiffrement en utilisant la force brute) par contre, crypter et cryptage sont des abus de langage et n'existent pas en langue française. Diverses corrections orthographiques mineures.) Tag: 2017 source edit |
|||
| Line 16: | Line 16: | ||
Dolibarr intègre les mécanismes de sécurité suivant : | Dolibarr intègre les mécanismes de sécurité suivant : | ||
''' | '''Chiffrement''' | ||
* | *Chiffrement des mots de passe utilisateurs en base <sup>[*7]</sup> <sup>[*8]</sup>. | ||
* | *Chiffrement possible du mot de passe technique de la base de donnée dans le [[Fichier de configuration]] (conf.php) <sup>[*8]</sup>. | ||
*Possibilité de forcer le mode HTTPS <sup>[*9]</sup>. | *Possibilité de forcer le mode HTTPS <sup>[*9]</sup>. | ||
'''Hacks et cracks''' | '''Hacks et cracks''' | ||
*Support du mode register_globals on ou off (off | *Support du mode register_globals on ou off (off sérieusement recommandé) <sup>[*2]</sup>. | ||
*Support du mode safe_mode on ou off de PHP (on recommandé) <sup>[*3]</sup>. | *Support du mode safe_mode on ou off de PHP (on recommandé) <sup>[*3]</sup>. | ||
*Option de production pour inhiber toute remontée d'information technique comme | *Option de production pour inhiber toute remontée d'information technique comme débogage, info d'erreurs, info de version (Voir le [[Fichier de configuration]]) <sup>[*6]</sup>. | ||
*Système de protection anti injection SQL <sup>[2*]</sup>. | *Système de protection anti injection SQL <sup>[2*]</sup>. | ||
*Système de protection anti injection XSS (Cross Site Scripting) <sup>[*1]</sup>. | *Système de protection anti injection XSS (Cross Site Scripting) <sup>[*1]</sup>. | ||
| Line 32: | Line 32: | ||
*Système de protection anti CSRF (Cross Site Request Forgery) <sup>[*5]</sup> | *Système de protection anti CSRF (Cross Site Request Forgery) <sup>[*5]</sup> | ||
Notez qu'il reste préférable d'ajouter aussi la protection côté serveur Web en désactivant l'option Apache | |||
<source lang="ini"> | <source lang="ini"> | ||
AcceptPathInfo Off | AcceptPathInfo Off | ||
| Line 48: | Line 48: | ||
*Code graphique optionnel anti robot (CAPTCHA) sur la page de login <sup>[*7]</sup>. | *Code graphique optionnel anti robot (CAPTCHA) sur la page de login <sup>[*7]</sup>. | ||
*Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | *Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | ||
*Système d'audit interne pour | *Système d'audit interne pour journaliser de manière permanente les évènements en rapport avec l'administration utilisateurs et les connexions en succès ou en échec. | ||
'''Virus''' | '''Virus''' | ||
*Possibilité d'insérer un contrôle antivirus sur tout fichier | *Possibilité d'insérer un contrôle antivirus sur tout fichier téléversé (GNU/Linux uniquement) <sup>[*3]</sup>. | ||
---- | ---- | ||
<sup>(*X)</sup> Ce mécanisme répond à la criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP]. | <sup>(*X)</sup> Ce mécanisme répond à la criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP]. | ||