Question Sécurité

[Motor]

Bonjour,

Je viens pour poser une question qui me turlupine. On parle beaucoup des Authentif en 2 étapes ou de système similaire.

Or il existe des outils comme AdminTool/Asecure qui donne la possibilité de simplement renommer Administrator.

Je me trompe surement mais de tels systèmes ne sont-ils pas beaucoup plus ultime et plus simple à gérer qu'une authentification en trois étapes ? Je sait bien qu'en matière de sécurité il vaut mieux faire compliqué si on peux faire simple, mais quelqu'un pourrait il me dire si il vaut mieux doubler la sécurité en utilisant les deux systèmes ou si renommer Administrator est largement suffisant ?

[toffffe]

Re : Question Sécurité

Salut
tu peux aussi ajouter une clé de sécurité youbikey ou google authentificator

http://cinnk.com/joomla/3/trucs-et-astuces/joomla-google-authenticator-authentification-en-deux-%C3%A9tapes

http://cinnk.com/joomla/3/trucs-et-astuces/yubikey-joomla-two-factor-authentication

Ensuite plus tu en mets plus tu dois aussi t'y plier

[Motor]

Re : Question Sécurité

Certe merci, mais la question en vrais est :

Si je planque ADMINISTRATOR, pourquoi une clef compliqué puisque je suis le seul à connaitre le chemin ?

[toffffe]

Re : Question Sécurité

Ton mot de passe aussi tu es normalement le seul à le connaître, non ?
Mais ça peut être suffisant
Tout dépend aussi des données de ton site.
Et puis tu peux tout blinder, ca ne sert à rien si tu mets pas à jour ton joomla ou tes extensions
Donc oui juste la modif du chemin admin et le fait de cacher que ton site est sous Joomla peuvent suffir

[Motor]

Re : Question Sécurité

Ok - Je suis super-minutieux quant à la mise à jour Joomla et module. Et la majorité des modules que j'utilise sont payant - C'est peut-être idiot mais je me dis qu'en rémunérant un développeur pour son travail il y a moins de chance pour qu'il lâche l'affaire pour les mises à jour, et plus de chance pour que son code soit léché...

En tout cas je te remercie - Je vais tout de même tenter de rajouter une couche; mais ces double cléfs ne sont pas forcement très convivial à la livraison pour l'utilisateur final...

Merci

[toffffe]

Re : Question Sécurité

En tout cas je te remercie - Je vais tout de même tenter de rajouter une couche; mais ces double cléfs ne sont pas forcement très convivial à la livraison pour l'utilisateur final...

La youbikey c'est sympa

[cavo789]

Re : Question Sécurité

Bonjour

aeSecure ne permets pas de renommer le dossier administrator mais de le sécuriser avec soit un mot de passe additionnel (htpasswd) ou limiter l'accès sur base d'une liste blanche d'adresses IP.

Perso j'utilise une liste blanche et j'utilise aussi une yubikey pour la double authentification (pour le coup cela me fait une triple authentification).

Bonne journée

[Motor]

Re : Question Sécurité

Bonjour Cavo,

Je profite qu'une personne relativement sérieuse en matière de sécurité réponde à ce poste; pour te demander si pour toi ce camouflage de ADMISTRATOR est de l'ordre du gadget ? Ou si c'est pour une autre raison...

Merci

[cavo789]

Re : Question Sécurité

Attention à ce que tu écris tu vas vexer les autres et je suis sérieux ;-) Toffffe est également pour ne citer que lui très pointu sur ce sujet.

Concernant ta question il n'y a pas de réponse ; oui et non. Oui pour des raisons d'obfuscation (cacher ce qui peut l'être) et non pour des réelles raisons de sécurité.

Ensuite tu verras (je l'ai testé) renommer le dossier d'administration va faire planter ton site car beaucoup de composants par exemple ne gère pas bien ce "renommage".

Pour ces raisons il est en fait déconseillé de renommer ce dossier

[Motor]

Tout d'abors milles excuse pour mon humour que l'on peut parfois mal prendre. Du cout je blinde de smilly mais ça ne fait pas toujours son effet...

Tout ce que tu me dis est juste très inquiétant. D'autant que de mémoire j'avais sélectionné Admin Tool plutôt que AeScure car ce dernier n'offrait pas cette option que je trouvais ultime.

Pour le moment tous mes sites roules, les modules avec lesquels je travail semblent stable. Enfin du cout je me pose des questions à rebours sur certain problème que j'ai pu avoir... Il serait intéressant d'avoir une liste des composants non compatibles avec le "renommage" d'ADMIN.

Bref je vais tester les clefs physiques qui semblent tout de même très fun, ainsi que les doubles passent. Bref l'enfer à la livraison...

Merci à tous les deux pour votre expertise.
Et pour nous sauver du mal

[cavo789]

Re : Question Sécurité

Tu as oublié un triple smileys derrière admin Tools :-D :-D :-D (je déconne)

Pas de liste possible... Il faut voir comment le programmeur a codé l'accès à l'administration : hardcodé ou pas.

Pour la yubikey c'est vraiment hyper simple et note que je parlais aussi de limiter l'accès à ton dossier administrator sur base d'une liste blanche d'adresses IP et là c'est hyper simple et fortement sécurisé.

Bonne soirée

[Motor]

Re : Question Sécurité

Avec Joomla l'aventure est sans fin

Merci encore.