mod_auth_digest.xml.fr revision f0fa55ff14fa0bf8fd72d989f6625de6dc3260c8
<?xml version="1.0"?>
<!-- English Revision: 1300935:1330911 (outdated) -->
<!-- French translation : Lucien GENTIS -->
<!-- Reviewed by : Vincent Deffontaines -->
<!--
Licensed to the Apache Software Foundation (ASF) under one or more
contributor license agreements. See the NOTICE file distributed with
this work for additional information regarding copyright ownership.
The ASF licenses this file to You under the Apache License, Version 2.0
(the "License"); you may not use this file except in compliance with
the License. You may obtain a copy of the License at
Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.
-->
<modulesynopsis metafile="mod_auth_digest.xml.meta">
<name>mod_auth_digest</name>
<description>Authentification utilisateur utilisant les condensés
MD5</description>
<status>Extension</status>
<identifier>auth_digest_module</identifier>
<summary>
<p>Ce module implémente l'authentification HTTP basée sur les
condensés MD5 (<a
href="http://www.faqs.org/rfcs/rfc2617.html">RFC2617</a>), et
fournit une alternative à <module>mod_auth_basic</module> plus
sécurisée.</p>
</summary>
<seealso><directive module="mod_authn_core">AuthName</directive></seealso>
<seealso><directive module="mod_authn_core">AuthType</directive></seealso>
<seealso><directive module="mod_authz_core">Require</directive></seealso>
l'authentification</a></seealso>
<section id="using"><title>Utilisation de l'authentification à base de
condensés</title>
<p>Pour utiliser l'authentification à base de condensés MD5, vous
devez simplement remplacer <code>AuthType Basic</code> et <directive
module="mod_auth_basic">AuthBasicProvider</directive> respectivement
par <code>AuthType Digest</code> et <directive
module="mod_auth_digest">AuthDigestProvider</directive> lorsque vous
configurez l'authentification, puis ajouter une directive <directive
module="mod_auth_digest">AuthDigestDomain</directive> contenant au
moins la(les) URI(s) racine(s) de la zone à protéger.</p>
<p>On peut créer les fichiers utilisateur appropriés (au format
texte) à l'aide de l'outil <program>htdigest</program>.</p>
<example><title>Exemple :</title>
<Location /private/><br />
<indent>
AuthType Digest<br />
AuthName "private area"<br />
AuthDigestDomain /private/ http://mirror.my.dom/private2/<br />
<br />
AuthDigestProvider file<br />
Require valid-user<br />
</indent>
</Location>
</example>
<note><title>Note</title>
<p>L'authentification à base de condensés MD5 est plus sécurisée que
l'authentification Basic, mais ne fonctionne qu'avec les navigateurs
qui la supportent. En septembre 2004, les principaux navigateurs
supportant l'authentification à base de condensés MD5 incluaient <a
href="http://www.microsoft.com/windows/ie/">MS Internet Explorer</a>
pour Mac OS X et Windows (bien que la version Windows échoue lorsque
la requête comporte une chaîne d'arguments -- voir plus loin "<a
href="#msie">Travailler avec MS Internet Explorer</a>" pour
contourner ce problème), <a
href="http://lynx.isc.org/">lynx</a> ne supporte
<strong>pas</strong> l'authentification à base de condensés MD5.
Comme l'authentification à base de condensés MD5 est moins répandue
que l'authentification Basic, vous ne devez l'utiliser que dans des
environnements où tous les utilisateurs disposeront d'un navigateur
la supportant.</p>
<p><module>mod_auth_digest</module> ne fonctionne correctement que
sur les plates-formes où APR supporte la mémoire partagée.</p>
</note>
</section>
<section id="msie"><title>Travailler avec MS Internet Explorer</title>
<p>L'implémentation de l'authentification à base de condensé dans
les versions précédentes d'Internet Explorer pour Windows (5 et 6)
posait problème, car les requêtes de type <code>GET</code>
comportant une chaîne d'arguments (query string) ne respectaient pas les RFC. Il y
a plusieurs manières de contourner ce problème.</p>
<p>
La première méthode consiste à utiliser des requêtes de type
<code>POST</code> plutôt que <code>GET</code> pour transmettre les
données à votre programme. Cette méthode constitue l'approche la
plus simple dans le cas où votre application peut fonctionner avec
cette limitation.
</p>
<p>Depuis la version 2.0.51, Apache propose aussi de contourner le
problème à l'aide de la variable d'environnement
<code>AuthDigestEnableQueryStringHack</code>. Si
<code>AuthDigestEnableQueryStringHack</code> est définie pour la
requête, Apache va prendre des mesures pour contourner la bogue MSIE
et en particulier va exclure la chaîne d'arguments de la comparaison
des condensés. L'utilisation de cette méthode peut se traduire par
ceci :</p>
<example><title>Utilisation de l'authentification à base de condensé
avec MSIE :</title>
BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
</example>
<p>Cette correction n'est pas nécessaire avec MSIE 7, bien que son
activation ne pose pas de problème de compatibilité ou de surcharge
significative.</p>
<p>Voir la directive <directive
module="mod_setenvif">BrowserMatch</directive> pour plus de détails
à propos de la définition conditionnelle des variables
d'environnement.</p>
</section>
<directivesynopsis>
<name>AuthDigestProvider</name>
<description>Définit le(s) fournisseurs(s) d'authentification pour la
zone du site web concernée</description>
<syntax>AuthDigestProvider <var>nom fournisseur</var>
[<var>nom fournisseur</var>] ...</syntax>
<default>AuthDigestProvider file</default>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<p>La directive <directive>AuthDigestProvider</directive> permet de
définir quel fournisseur d'authentification sera utilisé pour
authentifier les utilisateurs pour la zone du site web concernée.
Assurez-vous que le module implémentant le fournisseur
d'authentification choisi soit bien présent dans le serveur. Le
fournisseur par défaut <code>file</code> est implémenté par le
module <module>mod_authn_file</module>.</p>
<p>Voir <module>mod_authn_dbm</module>,
<module>mod_authn_file</module>, <module>mod_authn_dbd</module> et
<module>mod_authn_socache</module>
pour la liste des fournisseurs disponibles.</p>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestQop</name>
<description>Détermine le niveau de protection fourni par
l'authentification à base de condensé</description>
<syntax>AuthDigestQop none|auth|auth-int [auth|auth-int]</syntax>
<default>AuthDigestQop auth</default>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<p>La directive <directive>AuthDigestQop</directive> permet de
définir le <dfn>niveau de protection</dfn> fourni. <code>auth</code>
ne fournit que l'authentification (nom utilisateur/mot de passe) ;
<code>auth-int</code> fournit l'authentification plus un contrôle
d'intégrité (un condensé MD5 de l'entité est aussi calculé et
vérifié) ; avec <code>none</code>, le module va utiliser l'ancien
algorithme de condensés RFC-2069 (qui n'effectue pas de contrôle
d'intégrité). On peut spécifier à la fois <code>auth</code> et
<code>auth-int</code>, auquel cas c'est le navigateur qui va choisir
lequel des deux utiliser. <code>none</code> ne doit être utilisé que
dans le cas où le navigateur ne serait pas à même (pour une raison
ou pour une autre) de relever le défit qu'il recevrait si un autre
niveau de protection était défini.</p>
<note>
<code>auth-int</code> n'est pas encore implémenté.
</note>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestNonceLifetime</name>
<description>Durée de validité du nombre à valeur unique du
serveur (nonce)</description>
<syntax>AuthDigestNonceLifetime <var>secondes</var></syntax>
<default>AuthDigestNonceLifetime 300</default>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<p>La directive <directive>AuthDigestNonceLifetime</directive>
permet de contrôler la durée de validité du nombre à valeur unique
du serveur (nonce). Lorsque le client contacte le serveur en
utilisant un nonce dont la validité a expiré, le serveur renvoie un
code d'erreur 401 avec <code>stale=true</code>. Si
<var>secondes</var> est supérieur à 0, il spécifie la durée de
validité du nonce ; il est en général déconseillé d'affecter à cet
argument une valeur inférieure à 10 secondes. Si
<var>secondes</var> est inférieur à 0, le nonce n'expire jamais.
<!-- Pas encore implémenté : si <var>secondes</var> est égal à 0, le
client ne doit utiliser le nonce qu'une seule fois. Notez que si les
nonces à usage unique assurent une sécurité accrue contre les
attaques à base de rejeu, il ont aussi d'importantes implications en
matière de performances, car le navigateur ne peut plus alors
effectuer de requêtes en paralléle (pipelining) ou utiliser
plusieurs connexions pour une même requête. Comme il n'est pas aisé
pour les navigateurs de détecter l'utilisation de nonces à usage
unique, on peut aboutir à la situation où le navigateur va tenter
d'effectuer des requêtes en parallèle et recevoir des codes d'erreur
401 pour toutes les requêtes sauf la première, ce qui aura pour
effet de lui faire renvoyer les requêtes. Notez aussi que la
protection contre les attaques à base de rejeu n'a de sens que dans
le cas de contenus générés dynamiquement ou de requêtes de type
POST ; dans le cas des contenus statiques, l'attaquant possède déjà
probablement la réponse complète, et les nonces à usage unique sont
ici sans objet. -->
</p>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestNonceFormat</name>
<description>Détermine la manière dont le nombre à valeur unique du
serveur (nonce) est généré</description>
<syntax>AuthDigestNonceFormat <var>format</var></syntax>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<note>Non encore implémenté.</note>
<!-- La directive AuthDigestNonceFormat permet de déterminer la
manière dont le nombre à valeur unique du serveur (nonce) est
généré. -->
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestNcCheck</name>
<description>Active ou désactive la vérification du nombre d'envois du
nombre à valeur unique (nonce) par le serveur</description>
<syntax>AuthDigestNcCheck On|Off</syntax>
<default>AuthDigestNcCheck Off</default>
<contextlist><context>server config</context></contextlist>
<usage>
<note>
Non encore implémenté.
</note>
<!--
<p>La directive AuthDigestNcCheck permet d'activer ou de désactiver
la vérification du nombre d'envois du nombre à valeur unique (nonce)
par le serveur.</p>
<p>Bien que la définition de cette directive à On soit recommandée
du point de vue de la sécurité, elle a des conséquences importantes sur
les performances du serveur. Pour vérifier le nombre d'envois du nonce,
*toutes* les requêtes (du moins toutes celles qui possèdent un
en-tête d'autorisation, qu'elles requièrent ou non une
authentification à base de condensé) doivent être sérialisées au
travers d'une section critique. Si le serveur traite un grand nombre
de requêtes qui possèdent un en-tête d'autorisation, l'impact sur
les performances pourra se montrer sensible.</p>
-->
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestAlgorithm</name>
<description>Sélectionne l'algorithme utilisé pour calculer les
condensés du défit et de sa réponse</description>
<syntax>AuthDigestAlgorithm MD5|MD5-sess</syntax>
<default>AuthDigestAlgorithm MD5</default>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<p>La directive <directive>AuthDigestAlgorithm</directive> permet de
sélectionner l'algorithme utilisé pour calculer les condensés du
défit et de sa réponse.</p>
<note>
<code>MD5-sess</code> n'est pas encore correctement implémenté.
</note>
<!--
<p>Pour pouvoir utiliser <code>MD5-sess</code>, vous devez tout
d'abord éditer le code de la fonction <code>get_userpw_hash()</code>
dans <code>mod_auth_digest.c</code>.</p>
-->
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestDomain</name>
<description>Les URIs qui se trouvent dans le même espace de protection
concernant l'authentification à base de condensés</description>
<syntax>AuthDigestDomain <var>URI</var> [<var>URI</var>] ...</syntax>
<contextlist><context>directory</context><context>.htaccess</context>
</contextlist>
<override>AuthConfig</override>
<usage>
<p>La directive <directive>AuthDigestDomain</directive> vous permet
de spécifier un ou plusieurs URIs se trouvant dans le même
espace de protection (c'est à dire utilisant le même utilisateur/mot
de passe et se trouvant dans le même domaine). Les URIs spécifiés
sont des préfixes ; le client doit savoir que tous les URIs situés
sous ces préfixes seront protégés par le même utilisateur/mot de
passe. Les URIs peuvent être soit des URIs absolus (c'est à dire
avec protocole, nom serveur, port, etc...), soit des URIs
relatifs.</p>
<p>Cette directive doit toujours être présente et contenir au moins
le(s) URI(s) racine(s) pour cet espace. Dans le cas contraire, le
client va envoyer un en-tête d'autorisation avec <em>chaque
requête</em> à destination de ce serveur. Outre une augmentation de
la taille de la requête, les performances vont s'en trouver
affectées si la directive <directive
module="mod_auth_digest">AuthDigestNcCheck</directive> est définie à
On.</p>
<p>Les URIs spécifiés peuvent aussi référencer différents serveurs,
auquel cas les clients (qui sont à même de le comprendre) vont
partager l'utilisateur/mot de passe entre plusieurs serveurs sans le
demander à l'utilisateur à chaque fois.</p>
</usage>
</directivesynopsis>
<directivesynopsis>
<name>AuthDigestShmemSize</name>
<description>La quantité de mémoire partagée à allouer afin de conserver
les informations à propos des clients</description>
<syntax>AuthDigestShmemSize <var>taille</var></syntax>
<default>AuthDigestShmemSize 1000</default>
<contextlist><context>server config</context></contextlist>
<usage>
<p>La directive <directive>AuthDigestShmemSize</directive> permet de
définir la quantité de mémoire partagée à allouer au démarrage du
serveur afin de conserver les informations à propos des clients.
Notez que le segment de mémoire partagée ne peut pas être défini à
une taille inférieure à l'espace nécessaire pour conserver les
informations à propos d'<em>un</em> client. Cette valeur dépend de
votre système. Si vous voulez en déterminer la valeur exacte, vous
pouvez simplement définir <directive>AuthDigestShmemSize</directive>
à <code>0</code> et consulter le message d'erreur que renverra le
serveur lorsqu'on essaiera de le démarrer.</p>
<p>L'argument <var>size</var> s'exprime par défaut en octets, mais
vous pouvez suffixer le nombre par un <code>K</code> ou un
<code>M</code> pour spécifier respectivement des KiloOctets ou des
MégaOctets. Par exemple, les directives qui suivent sont toutes
équivalentes :</p>
<example>
AuthDigestShmemSize 1048576<br />
AuthDigestShmemSize 1024K<br />
AuthDigestShmemSize 1M
</example>
</usage>
</directivesynopsis>
</modulesynopsis>