Recent files
Risque-t-on de se faire voler les clés de la maison ?
Gestion de la sécurité avec Yacs
Bonjour,
Je continue à découvrir Yacs à mon petit rythme et à poser des questions, voici la dernière...
En réfléchissant au fonctionnement collaboratif de Yacs
j'ai fait le test suivant :
Alors, si je comprends bien, ça veut dire qu'en développant mon site collaboratif je vais avoir envie de déléguer des responsabilités et nommer des associés. Si un conflit éclate avec un de mes associés, je peux (en dramatisant) imaginer qu'il fomente un coup d'état et m'exclue de mon propre site !
Car en fait, créer des associés, ça revient à créer des comptes root multiples sous unix/linux ce qui est, je crois une très bonne façon de fragiliser la sécurité d'un système.
Même si mes associés ne sont pas des traîtres en puissance, ils peuvent être négligeants, et avoir 10 associés, c'est multiplier par 10 les risques de vol de password, non ?
Ais-je bien compris la situation et si oui, serait-il intéresant de la faire évoluer, comme j'aurais tendance à le penser ?
Merci d'avance pour vos réponses.
Paddy
Je continue à découvrir Yacs à mon petit rythme et à poser des questions, voici la dernière...
En réfléchissant au fonctionnement collaboratif de Yacs
j'ai fait le test suivant :
- sur mon site expérimental (en local) j'ai créé un nouvel utilisateur.
- j'ai ensuite donné le statut associé à ce nouvel utilisateur.
- ensuite, je me suis loggé sous ce nouvel utilisateur et, avec beaucoup de fourberie, je l'admet, je suis allé effacer mon vrai compte utilisateur
- bon, j'ai pas cliqué le bouton final pour pas tout casser dans mes expériences mais je crois que rien ne m'aurait empêché de le faire, exact ?
Alors, si je comprends bien, ça veut dire qu'en développant mon site collaboratif je vais avoir envie de déléguer des responsabilités et nommer des associés. Si un conflit éclate avec un de mes associés, je peux (en dramatisant) imaginer qu'il fomente un coup d'état et m'exclue de mon propre site !
Car en fait, créer des associés, ça revient à créer des comptes root multiples sous unix/linux ce qui est, je crois une très bonne façon de fragiliser la sécurité d'un système.
Même si mes associés ne sont pas des traîtres en puissance, ils peuvent être négligeants, et avoir 10 associés, c'est multiplier par 10 les risques de vol de password, non ?
Ais-je bien compris la situation et si oui, serait-il intéresant de la faire évoluer, comme j'aurais tendance à le penser ?
Merci d'avance pour vos réponses.
Paddy
Comments
Elrik Member 227 posts registered on Feb. 11 2006 |
C'est pourquoi Yacs gère déjà trois niveaux différents d'utilisateurs : souscripteur membre associé Il te suffit de donner des droits plus ou moins importants à un ou plusieurs membres (les droits sont paramétrables facilement, par sections ou sous-sections) et conserver le niveau "Associé", au sens littéral du terme, pour un pair ! Cordialement. |
Fernand from Paris Member 1275 posts registered on Nov. 29 2004 |
Paddy : J'ajoute que cette configuration me semble tout à fait normale. Sur n'importe quel site sur lequel on serait en position d'administrateur, on dispose du moyen de nuire à un éventuel autre administrateur. Celui ou celle qui est reconnu comme associé a les moyens de détruire le système communautaire. Mais plus généralement, il est surtout amené à se comporter comme un responsable vigilant. J'apprécie la terminologie d'"associé" au lieu de celle d'administrateur car elle met bien les yeux en face des trous. Lorsqu'on est "associé", on s'engage bel et bien à traviller avec les autres associés, s'il y en a... Comme dans toutes les circonstances de l'existence. En fin de compte, s'associer pour diriger un site, est une possibilité, pas une nécessité avec YACS. Et puis, comme l'écrit Elrik, il existe désormais un jeu de niveaux de droits très finement réglable. Surtout depuis l'introduction récente de l'"éditeur", ou encore "modérateur",qui règne avec plus ou moins de pouvoir sur une section ou un ensemble de sections, pour animer cet espace Web, mais qui n'a jamais accès à la base de données, ni aux styles graphiques. Je trouve que YACS est plutôt bien bétonné question sécurité, tout en restant ouvert à la possibilité d'une aventure collective et d'un partage grandissant des responsabilités. |
Bernard from nearby-an-airport Associate 6543 posts registered on Sep. 12 2003 |
Pour compléter Elrik et Fernand, voir la page suivante, encore en anglais (traduction bienvenue...) Look Ma, YACS has no group to manage access rights! Se rappeler que les associés ont les mêmes droits et devoirs les uns par rapport aux autres. Les membres ont moins de droits, sauf à être désignés éditeurs d'une ou plusieurs sections. Dans ce cas, ils ont des droits (et des devoirs) étendus sur les espaces webs qu'ils gèrent. Les souscripteurs n'ont pratiquement aucun moyen de contribuer à un site. Avec YACS on ne plaisante pas avec la sécurité, croyez-moi. Ce site, comme d'autres, a déjà été attaqué à plusieurs reprises. Heureusement, nous bénéficions des conseils avisés de quelques experts en sécurité... Ce n'est pas une garantie ni un cocorico, mais ça aide à dormir tranquille... |
Paddy from la Provence, au pied du Luberon, Member 136 posts registered on Feb. 10 2006 |
Bernard : Merci pour lien sur l'article en anglais. " These users are the webmasters of the community. In YACS, all associates are considered as being equivalent. Therefore, associates have to trust each other to operate the community smoothly. One consequence of this equivalence is that the number of associates should be kept as small as possible, otherwise your system may be in trouble. " Cela résume bien ce qui me troublait, déclarer un associé n'est pas un acte anodin et doit être mûrement réfléchi... Merci à tous et à bientôt Paddy ----- Parti de rien, je ne suis arrivé à rien... mais tout seul ! - Groucho Marx |
Reply
Quote
4 comments · 
Add a comment
Rate this page
Posted by Paddy on Mar. 7 2006, (popular)
