Une petite remarque / question sur le volet sécurité d'une authentification
commune au site public et à l'espace privé :
Sur un site gouvernemental que je ne nommerai pas nous avons demandé à notre
hébergeur de mettre en place un filtrage par IP à l'URL du site, de type www.toto.fr/ecrire/
Ca marche, sauf que.... un petit malin qui sait comment SPIP est foutu va
pouvoir accéder à la page de login s'il connait la réécriture de SPIP du /ecrire
en /spip.php?page=login&url=%2Fecrire%2F
Alors oui, c'est vrai, une fois authentifié, on est de nouveau bloqué sur le
/ecrire/ N'empêche que côté front, on est quand-même authentifié.
Et là, imaginez que notre petit malin s'amuse avec var_mode=inclure, ou mieux...
var_mode=debug (et là, je ne vous fait pas de dessin...)
Evidemment, l'hébergeur en question n'a pas de solution à nous proposer...
Est-ce qu'il n'y a pas là un truc à faire en terme de sécurité pour éviter ça
???
Est-ce qu'il n'y a pas là un truc à faire en terme de sécurité pour
éviter ça ???
Il faut d'abord voir s'il existe une fonction d'autorisation qui
gère le droit à essayer de s'authentifier. Si elle existe, il suffit de
la surcharger pour qu'elle renvoie false si l'IP ne colle pas, et
laisser SPIP faire le reste.
Peut-être aussi, un cran plus loin, la fonction qui effectue
l'authentification en tant que telle. J'ignore comment elle est fichue,
et à quel point elle est personnalisable facilement.
Et au pire, encore un cran plus loin, peut-être surcharger le formulaire
d'authentification en effectuant les tests d'IP qui vont bien, mais là
on prend déjà plus de risques au niveau sécurité je dirais, car il faut
alors faire le tour de tous les formulaires permettant de
s'authentifier.
Ceci étant dit, je ne connais pas trop cet aspect, alors il faudrait
peut-être attendre que des gens qui maîtrisent mieux les subtilités de
SPIP s'expriment.
nous avons demandé à notre