Méthodes de restriction d'accès aux actifs - Bloquer les visiteurs indésirables

Les plats clés

• La mise en œuvre du contrôle d'accès à vos actifs est cruciale pour la sécurité. La liste blanche est une approche recommandée, où un portier permet uniquement aux entités de confiance d'accéder à vos actifs. Ce portier peut être placé sur le serveur HTTP ou le code d'application, fournissant des outils pour vérifier le http_host.
• Le serveur HTTP peut gérer efficacement le contrôle d'accès sans avoir à tirer le code d'application pour chaque demande. Selon le serveur, différentes méthodes telles que mod_rewrite ou permettre / nier dans Apache, ou httprefermermodule dans nginx peuvent être utilisées. Cependant, l'évolutivité de cette approche peut être un défi s'il existe de nombreux domaines à gérer ou à des changements fréquents.
• Le contrôle d'accès au niveau du code d'application offre plus de flexibilité. Cette méthode peut également gérer les situations IFRAME, où le référence ne fournit pas d'informations sur l'état de l'IFRAME. Cependant, les méthodes de serveur HTTP et de code d'application ne sont pas infaillibles et un gardien basé sur des jetons tels que OAuth est recommandé pour une sécurité améliorée.

Lors de la création d'une application Web ou d'un site Web impressionnante, nous voulons parfois que les gens puissent intégrer des parties de notre application / site Web Web. Cela pourrait être un iframe tenant un bouton «like», une image simple qu'ils souhaitent réutiliser ou même notre application entière intégrée dans un iframe.

Mais comment contrôlons-nous qui a accès, qui est autorisé à utiliser notre bande passante et à interroger notre service?

Nous définissons le problème comme contrôler l'accès à actifs

par des actifs, nous entendons: tout ce qui peut être interrogé de notre site.

Restriction d'accès: permettez à certains, bloquez tous

En parlant du contrôle d'accès, nous entrons dans le domaine de la sécurité. Et lorsque vous parlez de sécurité, la liste blanche devrait être l'approche adoptée pour résoudre le problème. Il est plus facile de contrôler qui est autorisé à accéder à vos actifs que pour contrôler qui ne l'est pas. Il est tout simplement impossible de connaître tous les monstres de boogie d'Internet.

pour protéger nos Assets , nous embauchons un portier pour ne laisser que ceux auxquels nous avons confiance. Une fois embauché, nous lui donnons accès à une liste blanche que nous contrôlons et lui laissons faire tout le levage. Problème résolu. Mais comment le portier devrait-il soulever?

Tactiques de levage

Selon la sécurité que vous souhaitez que le gardien soit et ce que le client a demandé, différentes tactiques peuvent être utilisées.

Une approche commune utilisée consiste à vérifier l'en-tête du référence. Cette méthode a 3 grands inconvénients:

1. Le référence est également défini lorsque les gens accèdent à votre site Web à l'aide d'un lien
2. Le référence est envoyé à votre serveur par le client et pourrait être modifié
3. Le référence peut ne pas être défini du tout

Cependant, pour les actifs statiques tels que les images, JS et CSS, ces inconvénients ne sont pas un problème. Vos actifs ne doivent être chargés que lorsque les utilisateurs visitent notre site Web directement (ou à partir d'un site de confiance). L'idée générale est de bloquer les autres les hotlinking. Le référent sera donc toujours sur votre liste blanche. Sauf si vous ne vous faites pas confiance - mais vous avez alors des problèmes plus importants.

bro, soulevez-vous même?

Selon la configuration utilisée, la requête réalisée passe par une série de portes . La configuration simple est: Client -> HTTP Server -> Code d'application

Alors, où est votre gardien? Le client est de facto non pour le contrôle d'accès car il est un morceau d'humain peu fiable. Le serveur HTTP et le code d'application en revanche sont des options utiles. Les deux nous donnent des outils solides pour vérifier le http_host.

Les serveurs HTTP savent soulever

La force de faire en sorte que votre serveur HTTP gère votre contrôle d'accès est la vitesse. Il n'est pas nécessaire de déclencher le code de demande pour chaque demande. Cela peut améliorer considérablement les performances car nous n'avons pas besoin de charger une pile / thread d'application entière (par exemple mod_php) dans la mémoire.

Selon votre serveur HTTP, différentes solutions sont disponibles.

apache

Dans Apache, il existe deux méthodes différentes. Nous pouvons utiliser mod_rewrite ou permettre / nier.

La méthode mod_rewrite:

# Turn mod_rewrite on
RewriteEngine On

# if it is not trusted.domain.tld block it
RewriteCond %{HTTP_REFERER} !^trusted\.domain\.tld$ [NC]
RewriteCond %{HTTP_REFERER} !^trusted\.tld$ [NC]
RewriteRule ^ - [F]

mod_rewrite est pris en charge par la plupart des fournisseurs d'hébergement.

La méthode Autoriser / Deny:

#specify the files to guard, block all the assets
<files>
  #block everyone
  Deny from all
  #allow trusted ones
  Allow from trusted.tld trusted.domain.tld
</files>

tous les hôtes ne prennent pas en charge ces paramètres.

nginx

La HttprefermerModule dans Nginx nous donne le Valid_Referers vraiment cool: donc tout ce que nous devons faire est, renvoyez le code HTTP 444 lorsqu'un domaine non fixe essaie d'accéder à nos actifs:

… Code non fixe 444 CODE 444 la connexion sans envoyer de têtes…

location / {
  valid_referers trusted.tld trusted.domain.tld;
  if ($invalid_referer) {
    return   444;
  }
}

Les serveurs HTTP ne pensent pas

Le gros problème ici est l'évolutivité: que se passe-t-il si nous avons 1000 domaines qui doivent pouvoir accéder à nos actifs? Et si la liste des domaines change fréquemment?

Pour chaque petit montage, nous aurions besoin de plonger dans nos fichiers de configuration - et plus vous changez manuellement, plus vous pouvez mal tourner.

Le code d'application sait quoi faire

Avoir votre contrôle d'accès au niveau de votre code d'application signifie beaucoup plus de flexibilité. On pourrait avoir son gardien en marche en un rien de temps:

<span><span><?php </span></span><span><span>//the whitelist we control
</span></span><span><span>$whitelist = array(
</span></span><span>	<span>'trusted.tld',
</span></span><span>	<span>'trusted.domain.tld'
</span></span><span><span>);
</span></span><span>
</span><span><span>//the referer
</span></span><span><span>$referer = parse_url($_SERVER["HTTP_REFERER"], PHP_URL_HOST);
</span></span><span>
</span><span><span>//the gatekeeper
</span></span><span><span>if ( !in_array($referer, $whitelist) )
</span></span><span><span>{
</span></span><span>	<span>throw new GateKeeperDoesNotApprove;
</span></span><span><span>}</span></span></span>

qu'en est-il de ces iframes?

Comme mentionné, le fait de compter sur le référence n'est pas toujours une bonne idée. Ce ne sont pas seulement les données de notre humain peu fiable, mais il ne nous donne pas non plus de moindre indice pour savoir si nous sommes dans un iframe ou non. Il n'y a tout simplement aucun moyen de savoir.

Nous pourrions cependant embaucher un tueur à gages pour aider notre gardien. Notre hitman sera envoyé aux humains qui semblent suspects (par exemple, ceux avec un référent non fiable). Le Hitman utilisera JS comme arme:

# Turn mod_rewrite on
RewriteEngine On

# if it is not trusted.domain.tld block it
RewriteCond %{HTTP_REFERER} !^trusted\.domain\.tld$ [NC]
RewriteCond %{HTTP_REFERER} !^trusted\.tld$ [NC]
RewriteRule ^ - [F]

Malheureusement, quelqu'un qui arrive d'un domaine non fiable a le même référente que quelqu'un d'autre qui nous accède à une iframe à partir de ce domaine non fiable. Les actifs, cependant, auront le référentiel défini sur notre domaine (même dans une situation d'IFRAME) - donc l'envoi d'un hitman ici est exagéré. Le simple fait de nier l'accès est suffisant - ou vous pouvez envoyer une image de chaton aléatoire.

C'est pourquoi nous avons notre hitman, vérifiez si nous sommes dans un iframe. Si c'est le cas, nous l'avons tuer notre cible:

#specify the files to guard, block all the assets
<files>
  #block everyone
  Deny from all
  #allow trusted ones
  Allow from trusted.tld trusted.domain.tld
</files>

La seule chose que nous devons savoir est de demander à notre gardien d'ajouter le hitman à la charge utile envoyée au client. Facile!

location / {
  valid_referers trusted.tld trusted.domain.tld;
  if ($invalid_referer) {
    return   444;
  }
}

Ce code n'est pas une preuve de production. Il sert d'exemple.

qu'en est-il de la vraie sécurité?

Les solutions fournies ici vous garderont contre la plupart des monstres de boogie. Mais les deux solutions ne sont pas des fous. Le premier utilise les données du client, le second est JavaScript qui est exécuté par le client.

La manière sécurisée consiste à utiliser un gardien basé sur des jetons. Oauth est probablement le gars que vous voulez pour le travail ici, mais c'est en dehors de la portée de cet article.

Questions fréquemment posées (FAQ) sur les méthodes de restriction d'accès aux actifs

Quelles sont les différentes méthodes de restriction d'accès aux actifs?

Les méthodes de restriction d'accès aux actifs sont des stratégies utilisées pour empêcher l'accès non autorisé aux actifs numériques. Ces méthodes incluent le blocage IP, qui consiste à bloquer l'accès à partir d'adresses IP spécifiques; Geo-Blocking, qui restreint l'accès basé sur l'emplacement géographique; et le blocage des agents utilisateur, qui empêche l'accès de navigateurs ou d'appareils spécifiques. Les autres méthodes incluent le blocage des références HTTP, qui restreint l'accès en fonction du site Web de référence et la protection des mots de passe, qui oblige les utilisateurs à saisir un mot de passe pour accéder.

Comment le blocage IP fonctionne-t-il dans la restriction d'accès aux actifs?

Le blocage IP est une méthode utilisée pour empêcher les adresses IP spécifiques d'accéder à un actif numérique. Cela se fait en ajoutant les adresses IP à une «liste noire» dans le fichier de configuration du serveur. Toutes les demandes provenant de ces adresses IP seront refusées, ce qui les empêche effectivement de l'accès à l'actif.

Quel est le but de la géo-blocage dans la restriction d'accès aux actifs?

Geo-bloging est utilisé pour restreindre l'accès aux actifs numériques en fonction de la localisation géographique. Ceci est souvent utilisé pour se conformer aux accords de licence régionale ou pour empêcher l'accès des régions connues pour les cyberattaques. Le blocage géo-bloquant fonctionne en déterminant l'emplacement de l'utilisateur en fonction de son adresse IP.

Comment le blocage de l'agent utilisateur peut-il être utilisé dans la restriction d'accès aux actifs?

Le blocage de l'agent utilisateur est une méthode utilisée pour empêcher des navigateurs ou des appareils spécifiques d'accéder à un actif numérique. Cela se fait en identifiant la chaîne d'agent utilisateur, qui est envoyée par le navigateur ou le périphérique lors de la demande au serveur. Si la chaîne d'agent utilisateur correspond à une sur la «liste noire» du serveur, la demande sera refusée.

Quel est le rôle du blocage des références HTTP dans la restriction d'accès aux actifs?

HTTP Le blocage des références est Une méthode utilisée pour restreindre l'accès en fonction du site Web de référence. Cela se fait en vérifiant l'en-tête de référence HTTP, qui contient l'URL du site Web d'où la demande provient. Si le référent se trouve sur la «liste noire» du serveur, la demande sera refusée.

Comment fonctionne la protection par mot de passe dans la restriction d'accès aux actifs?

La protection du mot de passe est une méthode utilisée pour restreindre l'accès à un Asset numérique en obligeant les utilisateurs à saisir un mot de passe. Ceci est souvent utilisé pour les actifs privés ou sensibles. Le serveur invitera l'utilisateur à un mot de passe lorsqu'il essaie d'accéder à l'actif, et seuls ceux qui entrent le mot de passe correct seront accordés à l'accès.

Les méthodes de restriction d'accès à plusieurs actifs peuvent-elles être utilisées ensemble?

Oui, les méthodes de restriction d'accès à plusieurs actifs peuvent être utilisées ensemble pour fournir un niveau de sécurité plus élevé. Par exemple, vous pouvez utiliser le blocage IP pour empêcher l'accès à partir d'adresses IP spécifiques, puis utiliser la protection des mots de passe pour restreindre davantage l'accès aux utilisateurs autorisés uniquement.

Comment puis-je implémenter des méthodes de restriction d'accès aux actifs sur mon site Web?

La mise en œuvre des méthodes de restriction d'accès aux actifs sur votre site Web implique généralement de modifier le fichier de configuration de votre serveur. Le processus exact dépendra du logiciel du serveur que vous utilisez et de la méthode de restriction spécifique que vous souhaitez implémenter.

Y a-t-il des inconvénients pour utiliser des méthodes de restriction d'accès aux actifs?

Alors que les méthodes de restriction d'accès aux actifs d'accès aux actifs Peut fournir un niveau élevé de sécurité, ils peuvent également potentiellement bloquer les utilisateurs légitimes. Par exemple, le blocage IP peut bloquer les utilisateurs qui utilisent un VPN ou un proxy, et le géo-bloquant peut bloquer les utilisateurs qui voyagent à l'étranger. Par conséquent, il est important de considérer soigneusement l'impact potentiel sur les utilisateurs avant de mettre en œuvre ces méthodes.

Quelles sont les alternatives aux méthodes de restriction d'accès aux actifs?

Les alternatives aux méthodes de restriction d'accès aux actifs incluent l'utilisation d'une livraison de contenu Réseau (CDN) pour distribuer vos actifs, à l'aide d'un pare-feu pour protéger votre serveur, ou à l'aide d'un plugin ou d'un service de sécurité qui fournit une gamme de fonctionnalités de sécurité. Ces alternatives peuvent fournir un niveau élevé de sécurité sans les inconvénients potentiels des méthodes de restriction d'accès aux actifs.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!