[ubuntu-ar] [OT] (sysadmins) Backend con login encriptado + Apache

[Federico Juarez]

El 21/07/11 11:26, Hugo M escribió:
> Gracias por las respuestas!
>
> *Cuando hablas de backend te referis por ejemplo a cosas como 
> phpmyadmin, o cosas así? porque sino no estoy entendiendo.
> De todas formas para mi lo mas lógico es HTTPS*
> *
> *
> Si, es un backend de administrador (propio), pero también estoy usando 
> phpmyadmin y ese también lo voy a proteger.*
> *
>
> *Pienso igual, https. Encima de eso, la autenticación puede ser HTTP 
> BASIC, formulario, como quieras, porque ya estás en una comunicación 
> segura. Es lo más simple y fácil.*
> *
> *
> Imaginé que con HTTPS podía usar AuthType Basic y sería seguro, pero 
> quería corroborarlo :)*
> *
>
> *La parte que no entiendo es si lo que necesitas encriptar es la 
> comunicación entre el apache y el backend de credenciales (léase lo 
> que uses para validar usuario por ej: cosing, ldap, winbind, etc) o la 
> comunicación entre el apache y el cliente.*
>
> Lo único que necesito validar es la parte de las credenciales, pero no 
> me gusta que viajen en texto plano por todo Internet. El resto no es 
> información sensible (no es demasiado importante como para que importe 
> si alguien la copia, pero importa si alguien se puede loguear al 
> sistema porque podría modificar todo). Por eso había visto en apache 
> la autenticación digest (de hecho la implementé antes de leer este 
> mail :P) que sólo te protege las credenciales.
Lo que te aporta el digest mas que encritar las credenciales es la 
validacion del dominio al momento del login y que aparte puedas usar esa 
misma session dentro del mismo dominio sin poner nuevamente la clave por 
ejemplo con el digest podes loguearte a:
app.dominio.algo
app2.dominio.algo
*.dominio.algo
sin tenes que volver a loguearte, ya que el browser es el que reenvia 
las credenciales en forma transparente.

para poder preteger completamente todas las comunicaciones del apache, 
contra el backend y contra el cliente, lo primero que podes hacer es 
poner ssl para encriptar el trafico contra el usuario final, y para 
encriptar el trafico hacia el backend de credenciales ahi antes 
necesitamos saber que estas usando para eso.

Saludos
>
> El 20 de julio de 2011 19:19, Federico Juarez <vafe en vafe.com.ar 
> <mailto:vafe en vafe.com.ar>> escribió:
>
>     El 20/07/11 16:46, Hugo M escribió:
>
>         Necesito tener un backend con login encriptado (para que la
>         pass no viaje en blanco por toda la red). Apache tiene un
>         AuthType Basic, pero justamente el problema que tiene es ese,
>         la pass viaja en blanco. Tiene otro módulo, el Digest, que
>         supuestamente esto no sucede. ¿Esto es lo que usan comúnmente
>         los sysadmin para proteger un backend que está abierto a una
>         url pública? También se me ocurrió poner un sitio con ssl, que
>         podría ser otra opción. ¿Saben si alguna opción es mejor que
>         la otra?
>
>         ¡Saludos!
>
>     La parte que no entiendo es si lo que necesitas encriptar es la
>     comunicación entre el apache y el backend de credenciales (léase
>     lo que uses para validar usuario por ej: cosing, ldap, winbind,
>     etc) o la comunicación entre el apache y el cliente.
>
>
>     Saludos
>
>
>     -- 
>     Ubuntu-ar lista de correo
>     Ubuntu-ar en lists.ubuntu.com <mailto:Ubuntu-ar en lists.ubuntu.com>
>     Modifica tus opciones o desuscribite en:
>     https://lists.ubuntu.com/mailman/listinfo/ubuntu-ar
>     Siempre leer, comprender y aplicar nuestra etiqueta:
>     https://wiki.ubuntu.com/ArgentinaTeam/EtiquetaML
>
>

------------ pr?xima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://lists.ubuntu.com/archives/ubuntu-ar/attachments/20110721/9ead7679/attachment-0001.html>