Re: [lea-aide] Script qui répond aux demande du shell

[Dominique Lafages < >]

Emmanuel Fleury a écrit :
> Dominique Lafages wrote:
>   
> > C'est une pratique douteuse en terme de sécurité, mais comment faire
> > autrement lorsque le script est exécuté en mode non inter-actif ?
> >     
>
> Non, mais je parlais de variables shell qui _persistaient_ dans
> l'environnement après l'exécution du script. Il suffisait de connaître
> le contenu de l'environnement de la personne pour savoir plusieurs de
> ses mots de passes.
>
> Tant que la portée de la variable shell ne dépasse pas le processus qui
> est lancé (forké) lors du script, les risques sont limités... (sauf que
> le script contient le mot de passe en clair mais là c'est le système
> d'authentification par mots de passe statiques qui est en cause... donc
> l'application qui est utilisée pas vraiment l'utilisateur).
>
> Cordialement
>   
Emmanuel, pardon de m'être mal exprimé :

- je commentais bien la présence du password en clair, pas les 
variables exportées, car ce point me semblais évident et clos.

Pour continuer un peu sur le point des passwords en clair, il faudrait 
un mécanisme de cryptage interne au SGBD.

Par exemple, le password est encryté MD5 dans le script et c'est le SGBD 
qui créé le challenge au moment de l'authentification et qui compare les 
deux clés. Le password n'est donc présent en clair que dans la base de 
données.

Sinon, en l'absence de solution *idéale* interne au sgbd (ou tout 
applicatif demandant un password et que l'on doit accéder en mode 
non-interactif) je préconise de protéger au maximum le fichier contenant 
le pwd en clair dans un compte spécifique et restreint.

J'insiste sur ce fil car c'est un serpent de mer qui pose un problème 
critique en termes de sécurité, que j'ai du affronter plusieurs fois et 
que je n'ai résolu de façon convenable qu'avec des applicatifs (sgbd, 
etl, etc.) propriétaires (comme déjà exposé.)

@+

--
Dominique Lafages
La_Villa_Houdart