Риски безопасности в Tomcat Manager доступны извне - PullRequest
0 голосов
/ 09 июня 2018

Я планирую сделать Tomcat (8.5) Manager доступным через субдомен, подобный следующему: https://tomcat.mydomain.com.

Как вы можете видеть, соединение подключено по HTTPS, но все же это создает угрозу безопасностии считается «плохой практикой»?

Одна мысль, которую я заметил, заключается в том, что, взглянув на сертификат для mydomain.com, вы можете увидеть, что https://tomcat.mydomain.com действительно существует.А это значит, что от неясности не так много безопасности.

Конечно, важно правильно настроить учетные записи tomcat и защитить их паролем, который у меня есть.

1 Ответ

0 голосов
/ 09 июня 2018

Общедоступность конечной точки сама по себе не является угрозой безопасности.Однако есть и другие соображения, которые вы, возможно, захотите принять во внимание при принятии решения о публичном предоставлении административного интерфейса:

  1. Сколько человек имеет учетные данные для службы?
  2. Можно ли доверять всем этим людям надежные пароли?
  3. Можно ли доверять всем тем людям, что они не будут повторно использовать пароли на нескольких сайтах?
  4. У вас включена блокировка (включенапо умолчанию, если используется аутентификация Tomcat с приложением Manager)?
  5. Можно ли преодолеть блокировки?(рассмотрим реализацию блокировки)
  6. Действительно ли администраторам нужен открытый доступ к Manager?
  7. Существуют ли дополнительные уровни безопасности, которые вы могли бы добавить между общедоступным и интерфейсом управления?

В общем, я обычно выбираю не выставлять административные интерфейсы общедоступным.Я почти всегда требую, чтобы пользователь-администратор прошел через некоторые другие шлюзы, такие как туннель ssh (с доступом только с открытым ключом), прежде чем они смогут получить доступ к любому интерфейсу управления, и затем они чаще всего также проходят аутентификацию во второй раз через этот интерфейс (т.е. выавтоматически не пользуются доверием только потому, что у вас установлен туннель).

Если бы я собирался представить административный интерфейс для широкой публики, я бы хотел, чтобы в миксе было что-то помимо аутентификации на основе пароля.Следует учитывать и другой фактор, будь то обычное решение 2FA, такое как TOTP или подобное, или сертификаты клиента TLS («взаимная аутентификация»).

На веб-сайте Tomcat есть презентация . о повышении безопасности ваших учетных данных.Здесь приведен пример кода и конфигурации для настройки TOTP в существующей системе аутентификации Tomcat.Возможно, вы захотите прочитать эту презентацию и подумать, хотите ли вы добавить такую ​​защиту в свои административные интерфейсы.

...