Dotaz: Ochrana webu před neoprávněným přístupem

[jan.rok]

Ve firmě existuje webový server, na kterém běží web s archivem technických informací. Samotná webová aplikace je min. 15 let stará a dál se nerozvíjí. Nicméně službu stále plní a používá se. Přístup je možný jen v vnitřní LAN.

Vznikl požadavek alespoň dočasně web zpřístupnit z internetu. Protože ale obsahuje přece jen neveřejná data, chtěli bychom přístup k němu nějak zabezpečit a nechtěli bychom, aby se data objevila někde na Googlu. Zároveň bychom ale data chtěli dát k dispozici všem našim partnerům a zákazníkům, kterých jsou desítky, snad stovky, proto asi varianta přístupu přes VPN není to pravé.

Asi se ptám hloupě, ale šlo by toto vyřešit nějakým ověřováním třeba na reverzní proxy? Představu mám takovou, že web by byl vidět na adrese tajnádata.firma.cz, ale nejprve by se zobrazila stránka s přihlášením a pak teprve ten starý web.

Na nové aplikaci plně zabezpečené se pracuje.

Děkuju za návrhy. JR

---

---

Odpovědi

[Aleš Kapica]

Mediawiki.

[Aleš Kapica]

Až dodatečně jsem si všiml, že ti jde o zabezpečení nějakého starého webu. Jo. Tak reverzní proxy, která by odchytávala URL co nemají být veřejná by mohla být řešením. Záleží jak to je udělané.

[j]

Reverzni proxy ti (asi) bude fungovat ale otazka je, jestli neni min pracny/jednodussi/bezpecnejsi ... kdyz uz budes stejne muset kazdymu udelat nejakej login, tak mu poslat nejakej ten klic k nejaky VPNce.

Otazka pak taky zni, jak moc je to technologicky zmrveny, protoze 15 let = mozna nejakej ten activeX, mozna flash, mozna java ... cokoli, co ti bud na aktualnich browserech nebude fungovat vubec nebo blbe (a kdyz do toho vrazis tu proxy, tak se to mozna podela uplne).

Dalsi problem kterej budes mit, je defakto oddeleni toho stroje od zbytku site (presun do nejaky DMZ), protoze opet typicky nejsou takovyhle stroje nijak zvlast zabezpeceny, a tudiz se ti prostrednicvim toho neudrzovanyho webu muzu snadno dostat do zbytku site.

A apropos, pokud s tema partnerama nemas podepsany smlouvy s hodne nulama penalizaci, tak ta data na guuglu budou behem par dnu.

---

Dete s tim guuglem dopice!

[jejda]

Kdysi jsem řešil podobnou věc, kdy jsem chtěl zpřístupnit web několika lidem ale zároveň jsem nechtěl aby to bylo volně otevřené pro celý svět.
Počítač na kterém to běží má statickou IP tak jsem to udělal pomocí VirtualHost a záznamem v /etc/hosts na straně klienta.

<VirtualHost *:80>
 ServerName default
 <Location />
 Require all denied
 </Location>
</VirtualHost>
<VirtualHost *:80>
 DocumentRoot "/srv/http"
 ServerName jejda
</VirtualHost>

Toto udělá že všichni kdo neznají hostname s ip adresou dostanou jako odpověď 403 a ostatním web "http://jejda" funguje bez omezení. Nemá to žádnou autentizaci takže jako bonus na tom žádní roboti nezkouší hádat hesla, neotravuje to uživatele s loginem a není potřeba nikomu platit za doménu. Záleží na tom, jak moc jsou ty tajné data "tajné". Něco jako "sdílené tajemství" je stejně nesmysl už z principu.

No pro firmu bych to jako řešení spíš nedoporučoval. Tam by to chtělo něco bezpečnějšího.

[AraxoN]

A čo "htpasswd", ten by nestačil? HTTP authentication je desiatky rokov stará záležitosť a podporujú ju hádam všetky prehliadače a webové servery.

[Filip Jirsák]

Ano, jde to řešit ověřováním na reverzní proxy. Než použít přihlašovací stránku, bude jednodušší použít HTTP autentizaci. Tu zvládne obsloužit každý reverzní HTTP proxy server.

[Filip Jirsák]

HTTP autentizace + HTTPS.

Výhodou je, že to funguje na veškerý obsah, tedy i na obrázky a dokumenty, a že si prohlížeče to heslo zapamatují.

[jan.rok]

Děkuju všem za názory.

HTTP autentizace se mi líbí nejvíc, je to rychlé a na tu chvilkovou přechodnou dobu asi nejvhodnější.

[Jendа]

• Pokud je stará jenom ta aplikace, ale webserver, který kouká do sítě, je současný, tak v něm nastavit HTTP autentizaci. Navíc můžeš dát každému klientovi jiné jméno/heslo a pak sledovat, jestli někdo data nevytěžuje.
• Pokud je starý i ten webserver, bál bych se, že v něm bude díra. Proto bych dal před něj (pokud je starý i systém, na kterém to běží, tak úplně na jiný stroj) haproxy a HTTP autentizaci nastavil v ní. (místo haproxy můžeš samozřejmě použít i jiný software, já jsem třeba používal lighttpd, ale nefungovalo s tím živé video (což ty řešit nebudeš), tak jsem přešel na haproxy. Další k tomuto použitelný software je Apache (na tento účel je ale zbytečně komplikovaná konfigurace) a nginx (ten neznám))
• HTTPS je snad již dnes samozřejmostí, ale pro připomenutí ho zmiňuji.

Pro inspiraci takhle vypadá konfigurace haproxy, která zpřístupňuje soukromou aplikaci běžící na 10.201.81.227:8099 do internetu na portu 6443:

backend blitz
  server localhost 10.201.81.227:8099
  acl valid-user http_auth(basic-auth-list)
  http-request auth realm XXXXX if !valid-user

frontend public2
  bind *:6443 ssl crt /etc/lighttpd/all.pem
  default_backend blitz

userlist basic-auth-list
  user XXXXX insecure-password YYYYYY