Module Apache mod_auth_basic 6w263m

Directive AuthBasicAuthoritative 1e464e

Normalement, chaque module d'autorisation énuméré dans la directive AuthBasirovider. Lorsqu'on utilise de tels modules, l'ordre dans lequel s'effectue le traitement est défini dans le code source des modules et n'est pas configurable.

Directive AuthBasicFake 142g43

Les nom d'utilisateur et mot de e spécifiés sont rassemblés dans un en-tête d'autorisation qui est transmis au serveur ou au service sous-jacent au serveur. Ces nom d'utilisateur et mot de e sont interprétés par l'interpréteur d'expression, ce qui permet de les définir en fonction de paramètres de la requête.

Si aucun mot de e n'est spécifié, la valeur par défaut "" sera utilisée. Pour désactiver l'authentification de base simulée pour un espace d'URL, définissez AuthBasicFake à "off".

Dans l'exemple suivant, un nom d'utilisateur et un mot de e prédéfinis sont transmis à un serveur d'arrière-plan :

<Location "/demo">
    AuthBasicFake demo demo
</Location>

Dans l'exemple suivant, l'adresse email extraite d'un certificat client est transmise au serveur, étendant par là-même la fonctionnalité de l'option FakeBasicAuth de la directive SSLOptions. Comme avec l'option FakeBasicAuth, le mot de e se voit attribué le contenu fixe de la chaîne "".

<Location "/secure">
    AuthBasicFake "%{SSL_CLIENT_S_DN_Email}"
</Location>

Pour compléter l'exemple précédent, il est possible de générer la valeur du mot de e en procédant à un hashage de l'adresse email à partir d'un mot d'une phrase initial fixée, puis de transmettre le résultat obtenu au serveur d'arrière-plan. Ceci peut s'avérer utile pour donner accès à des serveurs anciens qui ne ent pas les certificats clients.

<Location "/secure">
    AuthBasicFake "%{SSL_CLIENT_S_DN_Email}" "%{sha1:phrase-%{SSL_CLIENT_S_DN_Email}}"
</Location>

<Location "/public">
    AuthBasicFake off
</Location>

Directive AuthBasirovider 103i40

La directive AuthBasirovider permet de définir le fournisseur utilisé pour authentifier les utilisateurs pour la zone du site web concernée. Le fournisseur par défaut file est implémenté par le module mod_authn_file. Assurez-vous que le module implémentant le fournisseur choisi soit bien présent dans le serveur.

<Location "/secure">
    AuthType basic
    AuthName "private area"
    AuthBasirovider  dbm
    AuthDBMType        SDBM
    AuthDBMFile    "/www/etc/dbmwd"
    Require            valid-
</Location>

Les fournisseurs sont sollicités dans l'ordre jusqu'à ce que l'un d'entre eux trouve une correspondance pour le nom d'utilisateur de la requête ; alors, ce dernier fournisseur sera le seul à vérifier le mot de e. Un échec dans la vérification du mot de e n'entraîne pas le age du contrôle au fournisseur suivant.

Les différents fournisseurs disponibles sont implémentés par les modules mod_authn_socache.

Directive AuthBasicUseDigestAlgorithm 343916

Normalement, lorsqu'on utilise l'authentification basique, les fournisseurs spécifiés via la directive AuthBasirovider tentent de contrôler l'identité d'un utilisateur en recherchant dans leurs bases de données l'existence d'un couple utilisateur/mot de e correspondant. Les mots de e enregistrés sont en général chiffrés, mais ce n'est pas systématique ; chaque fournisseur peut choisir son propre mode de stockage des mots de e.

Lorsqu'on utilise l'authentification de type Digest, les fournisseurs spécifiés par la directive AuthDigestProvider effectuent une recherche similaire dans leurs bases de données pour trouver un couple utilisateur/mot de e correspondant. Cependant, à la différence de l'authentification basique, les données associées à chaque utilisateur et comportant le nom d'utilisateur, le domaine de protection (realm) et le mot de e doivent être contenues dans une chaîne chiffrée (Voir le document RFC 2617, Section 3.2.2.2 pour plus de détails à propos du type de chiffrement utilisé pour cette chaîne).

A cause de la différence entre les méthodes de stockage des données des authentifications de type basique et digest, le age d'une méthode d'authentification de type digest à une méthode d'authentification de type basique requiert l'attribution de nouveaux mots de e à chaque utilisateur, car leur mots de e existant ne peut pas être extrait à partir du schéma de stockage utilisé par les fournisseurs d'authentification de type digest.

Si la directive AuthBasicUseDigestAlgorithm est définie à la valeur MD5, le mot de e d'un utilisateur dans le cas de l'authentification basique sera vérifié en utilisant le même format de chiffrement que dans le cas de l'authentification de type digest. Tout d'abord, une chaîne comportant le nom d'utilisateur, le domaine de protection (realm) et le mot de e est générée sous forme de condensé (hash) en utilisant l'algorithme MD5 ; puis le nom d'utilisateur et cette chaîne chiffrée sont transmis aux fournisseurs spécifiés via la directive AuthType était définie à Digest et si l'authentification de type Digest était utilisée.

Grâce à cette directive, un site peut basculer d'une authentification de type digest à basique sans devoir changer les mots de e des utilisateurs.