Sécurité sous UNIX

 ^{8 sur 10}     Stratégie de sécurité du correctif Apache

La correctif FrontPage pour Apache se compose de deux parties :

• Le module Apache de FrontPage, qui intercepte les requêtes du client FrontPage destinées aux fichiers exécutables des extensions serveur FrontPage, contrôle la sécurité et redirige la requête vers le programme stub fpexe configuré avec la racine SUID. Chaque requête étant interceptée sur le serveur, aucun alias de script n'est requis.
• Le programme fpexe, qui accepte les requêtes d'opérations d'auteur émanant du module Apache de FrontPage, valide d'autres options de sécurité, affecte à l'identificateur d'utilisateur du processus du serveur Web le propriétaire du site Web FrontPage étendu en cours de création puis appelle la copie centrale des fichiers exécutables des extensions serveur FrontPage.

Pour le programme fpexe, SUID devant avoir la valeur « racine » afin que les identificateurs d'utilisateur du processus du serveur Web puissent être remplacées par le propriétaire du site Web, de nombreux contrôles de sécurité sont effectués pour empêcher que ce stub soit exploité. Ces contrôles valident ce qui suit :

• Le propriétaire et les autorisations appropriées sont définis pour le programme stub fpexe et son répertoire.
• Le propriétaire et les autorisations appropriées sont définis pour les fichiers exécutables des extensions serveur et leurs répertoires.
• La zone de contenu du site Web en cours de création a un identificateur d'utilisateur valide.
• La zone de contenu du site Web en cours de création a un identificateur de groupe valide.
• Seuls les fichiers exécutables CGI des extensions serveur FrontPage sont exécutés.
• Les variables d'environnement (y compris le chemin) ne contiennent pas d'erreurs et ne sont transmises que si elles figurent sur une liste présélectionnée et approuvée.
• Les fichiers exécutables des extensions serveur FrontPage ne sont appelées que par le serveur Web.
• Une valeur de clé de 128 octets générée dynamiquement lors de l'initialisation du processus du serveur Web est transmise au programme fpexe et validée, ce qui garantit que seul le serveur Web peut exécuter fpexe.

Cette valeur est stockée à des fins de validation dans un fichier suidkey.*. Les opérations de lecture et d'écriture dans ce fichier ne sont autorisées qu'au niveau « :racine » et le fichier est stocké dans un répertoire qui ne peut être lu qu'au niveau « racine ». Seules les autorisations au niveau racine permettent d'écrire dans le fichier suidkey.* car le processus du serveur Web s'exécute en tant que « racine » pendant l'initialisation et n'utilisera un autre identificateur d'utilisateur (comme « www ») que lorsque l'initialisation sera terminée. Le suffixe du fichier suidkey.* est l'identificateur de groupe du processus du serveur Web.

Le contenu de cette valeur de clé dynamique est généré pendant l'initialisation du serveur Web à partir d'une permutation du résultat de la commande d'état du processus (ps), et fait ensuite l'objet d'une opération XOR avec le contenu d'un fichier de clés personnalisées contrôlé par l'administrateur et stocké dans /usr/local/frontpage/version4.0/apache-fp/suidkey. Ce fichier doit exister, son propriétaire doit être défini au niveau racine, il ne doit pouvoir être lu qu'à ce niveau et doit contenir au moins 8 octets de données.

Lors de la maintenance de votre serveur, changez régulièrement le contenu du fichier de clés personnalisées lorsque que vous redémarrez le serveur. Vous protégerez ainsi la valeur de la clé.

Quand une requête est traitée par le module Apache de FrontPage pour appeler les fichiers exécutables des extensions serveur FrontPage, le module effectue une validation préliminaire de la requête qu'il dirige sur le programme stub fpexe. La valeur de clé de 128 octets générée lors de l'initialisation du serveur est transmise à fpexe via un canal de communication et n'est donc pas visible dans l'environnement du programme. Elle est lue par fpexe à partir du canal puis comparée au contenu du fichier suidkey.* généré dynamiquement lors de l'initialisation du serveur. L'identificateur d'utilisateur du programme fpexe étant « racine » il peut accéder au contenu du fichier suidkey.*. Si ce fichier est assorti des autorisations appropriées (lecture autorisée par « racine » seulement dans un répertoire accessible en lecture seule par « racine ») et que la valeur de clé de 128 correspond, fpexe effectue d'autres vérifications pour valider l'identificateur de l'utilisateur, l'identificateur du groupe et le propriétaire des fichiers exécutables des extensions serveur FrontPage cible.

Si toutes les vérifications sont effectuées avec succès, fpexe remplace l'identificateur d'utilisateur et l'identificateur de groupe du processus du serveur par ceux du propriétaire du contenu du site Web puis lance les fichiers exécutables des extensions serveur FrontPage. Si une des vérifications échoue, une erreur est consignée dans le journal du serveur Web et les extensions serveur ne s'exécutent pas.

Notez que les contrôles de sécurité du module Apache de FrontPage ne remplacent pas le système de sécurité du fichier .htaccess du serveur Web. Ces deux systèmes garantissent ensemble la sécurité du site Web FrontPage étendu. Le système .htaccess protège l'accès à distance au contenu du site Web en vérifiant que l'utilisateur des extensions serveur FrontPage est un visiteur, un auteur ou un administrateur enregistré du site. En plus de ces contrôles de sécurité normaux, ceux du module Apache de FrontPage vérifient que le programme fpexe n'est pas utilisé pour un accès racine non autorisé au serveur Web.

Les administrateurs de serveurs étant directement concernés par les programmes dont l'identificateur d'utilisateur est configuré à « racine », Microsoft leur permet d'accéder au code source du module Apache de FrontPage et du programme stub fpexe. Le code source le plus récent se trouve dans le kit de téléchargement des extensions serveur FrontPage 2000. Il est commenté en détail, les vérifications effectuées sont expliquées ainsi que les actions à effectuer si une erreur indiquant une configuration non sûre est consignée par le module Apache de FrontPage ou par fpexe.