1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
|
<?xml version="1.0"?>
<!DOCTYPE modulesynopsis SYSTEM "../style/modulesynopsis.dtd">
<?xml-stylesheet type="text/xsl" href="../style/manual.fr.xsl"?>
<!-- English Revision : 1562488 -->
<!-- French translation : Lucien GENTIS -->
<!-- Reviewed by : Vincent Deffontaines -->
<!--
Licensed to the Apache Software Foundation (ASF) under one or more
contributor license agreements. See the NOTICE file distributed with
this work for additional information regarding copyright ownership.
The ASF licenses this file to You under the Apache License, Version 2.0
(the "License"); you may not use this file except in compliance with
the License. You may obtain a copy of the License at
http://www.apache.org/licenses/LICENSE-2.0
Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.
-->
<modulesynopsis metafile="mod_session_crypto.xml.meta">
<name>mod_session_crypto</name>
<description>Support du chiffrement des sessions</description>
<status>Experimental</status>
<sourcefile>mod_session_crypto.c</sourcefile>
<identifier>session_crypto_module</identifier>
<compatibility>Disponible depuis la version 2.3 d'Apache</compatibility>
<summary>
<note type="warning"><title>Avertissement</title>
<p>Les modules de session font usage des cookies HTTP, et peuvent
à ce titre être victimes d'attaques de type Cross Site Scripting,
ou divulguer des informations à caractère privé aux clients.
Veuillez vous assurer que les risques ainsi encourus ont été pris
en compte avant d'activer le support des sessions sur votre
serveur.</p>
</note>
<p>Ce sous-module du module <module>mod_session</module> fournit le
support du chiffrement des sessions utilisateur avant de les
enregistrer dans une base de données locale, ou dans un cookie HTTP
au niveau du navigateur distant.</p>
<p>Il peut contribuer à préserver la confidentialité des sessions
lorsque leur contenu doit rester privé pour
l'utilisateur, ou lorsqu'une protection contre les attaques de type
cross site scripting est nécessaire.</p>
<p>Pour plus de détails à propos de l'interface des sessions, voir
la documentation du module <module>mod_session</module>.</p>
</summary>
<seealso><module>mod_session</module></seealso>
<seealso><module>mod_session_cookie</module></seealso>
<seealso><module>mod_session_dbd</module></seealso>
<section id="basicusage"><title>Utilisation de base</title>
<p>Pour créer une session chiffrée et la stocker dans un cookie
nommé <var>session</var>, configurez la comme suit :</p>
<example><title>Session chiffrée stockée au niveau du
serveur</title>
<highlight language="config">
Session On
SessionCookieName session path=/
SessionCryptoPassphrase secret
</highlight>
</example>
<p>La session sera chiffrée avec la clé spécifiée. Il est possible
de configurer plusieurs serveurs pour qu'ils puissent partager des
sessions, en s'assurant que la même clé de chiffrement est
utilisée sur chaque serveur.</p>
<p>Si la clé de chiffrement est modifiée, les sessions seront
automatiquement invalidées.</p>
<p>Pour des détails sur la manière dont une session peut être
utilisée pour stocker des informations de type nom
d'utilisateur/mot de passe, voir la documentation du module
<module>mod_auth_form</module>.</p>
</section>
<directivesynopsis>
<name>SessionCryptoDriver</name>
<description>Le pilote de chiffrement à utiliser pour chiffrer les
sessions</description>
<syntax>SessionCryptoDriver <var>nom</var> <var>[param[=valeur]]</var></syntax>
<default>aucun</default>
<contextlist><context>server config</context>
</contextlist>
<compatibility>Disponible depuis la version 2.3.0
d'Apache</compatibility>
<usage>
<p>La directive <directive>SessionCryptoDriver</directive> permet de
spécifier le nom du pilote à utiliser pour le chiffrement. Si aucun
pilote n'est spécifié, le pilote utilisé par défaut sera le pilote
recommandé compilé avec APR-util.</p>
<p>Le pilote de chiffrement <var>NSS</var> nécessite certains
paramètres de configuration, qui seront spécifiés comme arguments de
la directive avec des valeurs optionnelles après le nom du
pilote.</p>
<example><title>NSS sans base de données de certificats</title>
<highlight language="config">
SessionCryptoDriver nss
</highlight>
</example>
<example><title>NSS avec base de données de certificats</title>
<highlight language="config">
SessionCryptoDriver nss dir=certs
</highlight>
</example>
<example><title>NSS avec base de données de certificats et
paramètres</title>
<highlight language="config">
SessionCryptoDriver nss dir=certs clé3=clé3.db cert7=cert7.db secmod=secmod
</highlight>
</example>
<example><title>NSS avec chemins contenant des espaces</title>
<highlight language="config">
SessionCryptoDriver nss "dir=My Certs" key3=key3.db cert7=cert7.db secmod=secmod
</highlight>
</example>
<p>Le pilote de chiffrement <var>NSS</var> peut avoir été configuré
au préalable dans une autre partie du serveur, par exemple depuis
<module>mod_nss</module> ou <module>mod_ldap</module>. Si c'est le
cas, un avertissement sera enregistré dans le journal, et la
configuration existante s'en trouvera affectée. Pour éviter cet
avertissement, utilisez le paramètre <code>noinit</code> comme suit :</p>
<example><title>NSS avec base de données de certificats</title>
<highlight language="config">
SessionCryptoDriver nss noinit
</highlight>
</example>
<p>Pour éviter la confusion, assurez-vous que tous les modules
utilisant NSS soient configurés avec des paramètres identiques.</p>
<p>Le pilote de chiffrement <var>openssl</var> accepte un paramètre
optionnel permettant de spécifier le moteur de chiffrement à
utiliser.</p>
<example><title>OpenSSL avec spécification du moteur de chiffrement</title>
<highlight language="config">
SessionCryptoDriver openssl engine=nom-moteur
</highlight>
</example>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>SessionCryptoPassphrase</name>
<description>La clé utilisée pour chiffrer la session</description>
<syntax>SessionCryptoPassphrase <var>secret</var> [ <var>secret</var> ... ] </syntax>
<default>none</default>
<contextlist><context>server config</context>
<context>virtual host</context>
<context>directory</context>
<context>.htaccess</context>
</contextlist>
<compatibility>Disponible depuis la version 2.3.0
d'Apache</compatibility>
<usage>
<p>La directive <directive>SessionCryptoPassphrase</directive>
permet de spécifier les clés à utiliser pour chiffrer de manière
symétrique le contenu de la session avant de l'enregistrer, ou pour
déchiffrer le contenu de la session après sa lecture.</p>
<p>L'utilisation de clés longues et composées de caractères vraiment
aléatoires est plus performant en matière de sécurité. Modifier une
clé sur un serveur a pour effet d'invalider toutes les sessions
existantes.</p>
<p>Il est possible de spécifier plusieurs clés afin de mettre en
oeuvre la rotation de clés. La première clé spécifiée sera utilisée
pour le chiffrement, alors que l'ensemble des clés spécifiées le
sera pour le déchiffrement. Pour effectuer une rotation périodique
des clés sur plusieurs serveurs, ajoutez une nouvelle clé en fin de
liste, puis, une fois la rotation complète effectuée, supprimez la
première clé de la liste.</p>
<p>Si la valeur de l'argument commence par exec: , la commande
spécifiée sera exécutée, et la première ligne que cette dernière
renverra sur la sortie standard sera utilisée comme clé.</p>
<example><pre>
# clé spécifiée et utilisée en tant que tel
SessionCryptoPassphrase secret
# exécution de /path/to/program pour générer la clé
SessionCryptoPassphrase exec:/path/to/program
# exécution de /path/to/program avec un argument pour générer la clé
SessionCryptoPassphrase "exec:/path/to/otherProgram argument1"
</pre></example>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>SessionCryptoPassphraseFile</name>
<description>Le fichier contenant les clés utilisées pour chiffrer la
session</description>
<syntax>SessionCryptoPassphraseFile <var>nom-fichier</var></syntax>
<default>none</default>
<contextlist><context>server config</context>
<context>virtual host</context>
<context>directory</context>
</contextlist>
<compatibility>Disponible depuis la version 2.3.0 du serveur HTTP Apache</compatibility>
<usage>
<p>La directive <directive>SessionCryptoPassphraseFile</directive>
permet de spécifier le nom d'un fichier de configuration contenant
les clés à utiliser pour le chiffrement et le déchiffrement de la
session (une clé par ligne). Le fichier est lu au démarrage du
serveur, et un redémarrage graceful est nécessaire pour prendre en
compte un éventuel changement de clés.</p>
<p>À la différence de la directive
<directive>SessionCryptoPassphrase</directive>, les clés ne sont pas
présentes dans le fichier de configuration de httpd et peuvent être
cachées via une protection appropriée du fichier de clés.</p>
<p>Il est possible de spécifier plusieurs clés afin de mettre en
oeuvre la rotation de clés. La première clé spécifiée sera utilisée
pour le chiffrement, alors que l'ensemble des clés spécifiées le
sera pour le déchiffrement. Pour effectuer une rotation périodique
des clés sur plusieurs serveurs, ajoutez une nouvelle clé en fin de
liste, puis, une fois la rotation complète effectuée, supprimez la
première clé de la liste.</p>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>SessionCryptoCipher</name>
<description>L'algorithme à utiliser pour le chiffrement de la session</description>
<syntax>SessionCryptoCipher <var>algorithme</var></syntax>
<default>aes256</default>
<contextlist><context>server config</context>
<context>virtual host</context>
<context>directory</context>
<context>.htaccess</context>
</contextlist>
<compatibility>Disponible depuis la version 2.3.0 du serveur HTTP Apache</compatibility>
<usage>
<p>La directive <directive>SessionCryptoCipher</directive> permet de
spécifier l'algorithme à utiliser pour le chiffrement. En l'absence
de spécification, l'algorithme par défaut est <code>aes256</code>.</p>
<p>L'algorithme peut être choisi, en fonction du moteur de chiffrement
utilisé, parmi les valeurs suivantes :</p>
<ul><li>3des192</li><li>aes128</li><li>aes192</li><li>aes256</li></ul>
</usage>
</directivesynopsis>
</modulesynopsis>
|
