Suite

Proxy pour les services ArcGIS Server sécurisés. Sécurise?


Pour accéder à des services sécurisés (basés sur des jetons ou des informations d'identification), Esri recommande d'utiliser des fichiers proxy (exemple github .net). Lors du routage des demandes via le proxy, vous pouvez demander des services sécurisés au nom du client sans exposer vos informations d'identification. Vous pouvez définir une propriété appeléeréférents autoriséset attribuez une liste d'URL de référence pour lesquelles le proxy fonctionnera. Fondamentalement, le proxy ne fera aucune demande d'URL de référence qui ne sont pas définies. Si réglé sur'*', toute demande de référencement sera traitée.

Le problème est; l'en-tête demandeur soit facilement usurpé par un pirate informatique en définissant simplement une fausse propriété HTTP Referer. Dans cette situation, ils peuvent accéder à des services sécurisés en acheminant toutes leurs demandes via le proxy et en définissant l'en-tête de référence sur une adresse valide.

Je suis à la recherche de recommandations sur la meilleure façon de contourner ce problème. Des recommandations ?


J'héberge le proxy Java dans Apache Tomcat qui fournit une page de connexion. Le proxy ArcGIS s'exécute dans le même contexte d'application que la page de connexion. De cette façon, mes utilisateurs ont accès avec des informations d'identification stockées dans une base de données séparée et sécurisée. Tomcat effectue la gestion de session habituelle tandis que le proxy ArcGIS légèrement modifié gère les informations d'identification et les jetons ArcGIS cachés. Tout cela se fait via HTTPS.

Le résultat est que :

  • Les informations d'identification ArcGIS ne sont jamais transmises en dehors de l'intranet local.
  • Les utilisateurs ne peuvent pas accéder au proxy sans une session valide.
  • Les sessions valides ne sont délivrées qu'aux utilisateurs disposant des informations d'identification appropriées.

Lors du routage des demandes via le proxy, vous pouvez demander des services sécurisés au nom du client sans exposer vos informations d'identification.

Je pense que cette phrase est la clé. Lorsque le proxy s'authentifie auprès du serveur SIG, le proxy est-il configuré avec des informations d'identification ? Si tel est le cas, et que ces informations d'identification ont accès au service de carte demandé, il semblerait alors qu'il "fonctionne comme prévu".

Si le proxy stocke/transmet les informations d'identification, alors le proxy est plus soucieux de sécuriser les informations d'identification que de sécuriser les données. Pensez à un site intranet d'entreprise qui affiche les données cartographiques d'un service de carte sécurisé.

l'en-tête demandeur soit facilement usurpé par un pirate informatique

La déclaration ci-dessus signifie-t-elle qu'un attaquant extérieur peut atteindre votre proxy directement ? Si c'est le cas, vous avez plus à vous soucier d'un en-tête HTTP falsifié.

Les utilisateurs, le proxy et le serveur SIG sont-ils tous à l'intérieur de votre réseau, ou les utilisateurs utilisent-ils le proxy pour se connecter aux services SIG en dehors du réseau ? Connaître certains détails sur la topologie de votre réseau peut vous aider à obtenir de meilleures réponses.

Éditer: Si vous disposez d'une application Web publique qui récupère les ressources d'un serveur SIG sécurisé à l'intérieur d'un réseau, vous souhaiterez probablement un proxy inverse plutôt qu'un proxy direct.


Voir la vidéo: Sécurité - Architecture sécurisée, DMZ, proxy (Octobre 2021).