Discussion :

[Marc31]

Bonjour,

Je me suis aperçu d'un problème de sécurité sur mon site web.
Je vous explique, j'ai crée un espace privé avec à l'interieur un document en pdf que l'on peut télécharger pour chaque administrateur. J'ai remarqué qu'il suffisait de copier / coller le chemin d'un document concernant par exemple l'administrateur 1. Et de remplacer l'administrateur1 par le nom de l'administrateur 2 dans le chemin et on accede à son document.
Comment puis je gérer ce problème? Merci.

[ABCIWEB]

Une solution serait de mettre tes pdf dans des dossiers distincts et tu attribues la possibilité d'accéder à tel ou tel dossier en fonction du login administrateur que tu as enregistré dans une variable de session lors de l'authentification.

[Invité]

Bonjour,

chaque "administrateur" est censé s'être connecté.
Donc, il devrait exister un variable de SESSION qui permet de l'identifier formellement.

On doit donc pouvoir interdire ou autoriser l'accès à un dossier grâce à cette variable de SESSION.

[Marc31]

Oui tous les administrateurs se sont connectes et il y a une variable de SESSION mais le bug c'est que tous les documents sont dans le même dossier....

[ABCIWEB]

Dans ce cas il faut autoriser le téléchargement en fonction du login et du nom du fichier. Lors de l'enregistrement du fichier tu peux implémenter un select multiple qui te permettras de sélectionner quels sont les administrateurs qui peuvent lire ce fichier et enregistrer le résultat dans une table de bdd avec deux colonnes 'login' et 'nom_fichier'. Lors du téléchargement tu consultes cette table pour voir si le login enregistré en session est associé à ce nom de fichier.

[Marc31]

En fait le login c'est prenom.nom de l'administrateur et le nom du fichier .pdf c'est le nom avec la première lettre du prenom. Je vais creuser dans vos idées pour trouver une solution. Merci en tout cas pour votre aide.

[grunk]

Ce qu'il faut surtout c'est que les fichiers ne soit pas accessible depuis le web directement , c'est à dire que une adresse du type : http://monsite.com/monfichier.pdf ne retourne rien.

Le téléchargement doit passer par PHP uniquement , tu auras donc une url du type http://monsite.com/download.php?file=myfile
Et coté PHP tu peux alors vérifier que l'utilisateur qui tente de télécharger à bien le droit d'accéder au fichier , puis déclencher ensuite le téléchargement , toujours via PHP (via readfile par exemple)

@jreaux62 ca ou rien c'est pareil , caché n'est pas sure. Il vaut mieux se donner la peine de sécurisé comme il faut plutôt que perdre sont temps dans un bricolage qui toute manière ne fonctionnera pas.

[cavo789]

Bonjour

Si tu utilises nom.prénom pour nommer tes fichiers, tu auras un petit souci le jour où un nom serait composé de l'un ou l'autre caractère interdit/dangereux. Exemple "Jöcye l'alain" (n'importe quoi comme nom mais présence d'un tréma et d'une apostrophe).

Je rejoins plusieurs idées mentionnées plus haut :

* un nom de fichier ne peut pas être basé sur un login / nom-prénom car trop facile à deviner
* idéalement l'accès à l'URL doit être interdit (pas question de faire un http: ... tonfichier.pdf) quelque soit le nom du fichier; il faudrait que le fichier soit inaccessible par URL et mieux, dans un dossier situé au-dessus de ta racine.
* réutiliser le nom de l'utilisateur depuis la variable $_SESSION p.ex. est une bonne chose; ainsi tu confirmes que l'utilisateur qui demande le fichier a le droit de le faire.

Une idée : en .htaccess, il est possible de rediriger toutes les requêtes d'un dossier vers un script et donc; l'idée serait p.ex. de mettre un tel .htaccess dans un dossier tel que "/espace" et si tu tapes /espace/xxx.pdf, même si xxx.pdf existe, il doit y avoir redirection vers un script qui vérifie si c'est OK et force alors le download du fichier autorisé. Du coup, on se fout du xxx.pdf; c'est le script .php qui prend tout en main.

Bonne journée

[ABCIWEB]

Pour compléter la remarque de Celira, dans l'absolu on pourrait aussi trouver des personnes qui ont exactement les mêmes nom et prénom. Tu devrais respecter les règles habituelles: un login doit être unique donc indépendant des nom et prénom.

En fait il y deux choses distinctes à prendre en considération:
1/ Interdire l'accès au répertoire par une URL directe.
C'est ce que grunk a rappelé et qui peut être réalisé, soit en plaçant le répertoire en dehors du www, soit en mettant un fichier .htaccess avec la mention deny from all dans le répertoire. Il faudra donc utiliser par exemple la méthode readfile de php pour lire le fichier.

2/ Le contrôle: administrateur->fichier autorisé.
Là c'est moins générique et dépend de ton cas de figure. Par exemple si tu construis le nom de ton fichier avec 'login-nomfichier' cela suppose qu'aucun fichier ne pourra être partagé par plusieurs personnes. Si cela devait pouvoir être le cas, il faudrait plutôt construire le nom du fichier avec un uniqid genre 'nomfichier-uniqid' et faire une table de correspondance entre les login et les fichiers autorisés au téléchargement. Sinon tu peux te contenter de vérifier que le fichier commence bien par le login qui est enregistré dans la variable de session d'authentification.

Une idée : en .htaccess, il est possible de rediriger toutes les requêtes d'un dossier vers un script et donc; l'idée serait p.ex. de mettre un tel .htaccess dans un dossier tel que "/espace" et si tu tapes /espace/xxx.pdf, même si xxx.pdf existe, il doit y avoir redirection vers un script qui vérifie si c'est OK et force alors le download du fichier autorisé. Du coup, on se fout du xxx.pdf; c'est le script .php qui prend tout en main.

Oui mais qu'est-ce que tu gagnes par rapport au basique .htaccess avec la mention "deny from all" ?

[cavo789]

Bonsoir

Mon idée partait du postulat que le fichier pdf était accessible par URL. Et que l'utilisateur puisse voir que l'URL est p.ex. http lesite/dossier/fichier.pdf. Si ce postulat est accepté; mettre un .htaccess dans /dossier avec; non pas un deny from all mais un redirect download.php permet alors de rediriger tous les accès au dossier "/dossier" et, depuis download.php, de faire les contrôles requis. Au final, cela revient au readfile dont tu parles.

Un des points intéressants de cette idée, je pense, c'est de garantir à 100% qu'il soit impossible d'accéder à un PDF depuis "/dossier" sans qu'un contrôle en PHP est réalisé.

Il y a un truc qui m'échappe ?

Bonne soirée à tous.

[Celira]

En fait le login c'est prenom.nom de l'administrateur et le nom du fichier .pdf c'est le nom avec la première lettre du prenom.

Dommage pour Pierre Martin et Paul Martin, ils vont devoir partager un fichier

[rawsrc]

salut,

Il N'y a PAS DEUX FOIS la même chaine de caractères !
C'est le principe même d'un fonction de hashage !!

Tu te trompes, une fonction de hash renvoie toujours le même résultat.
La fonction password_hash() possède une spécificité que tu ne peux généraliser aux fonctions de hashage : elle génère automatiquement un salt à chaque appel, c'est la raison pour laquelle tu n'as pas deux fois le même résultat.

D'ailleurs la doc indique :

salt - pour fournir manuellement un salt à utiliser lors du hachage du mot de passe. Notez que cette option empêchera la génération automatique.

Si omis, un salt aléatoire sera généré par la fonction password_hash() pour chaque mot de passe haché. C'est le mode de fonctionnement prévu.

Avertissement : L'option Salt a été désapprouvée à partir de PHP 7.0.0. Il est maintenant préférable d'utiliser simplement le sel qui est généré par défaut.

[Invité]

Si j'ai supprimé mes messages, c'est qu'ils n'apportaient que de la confusion... et des réactions "à coté de la plaque".
Je t'invite à faire de même.

Cela dit, tu as raison. J'aurais dû écrire :

C'est le principe même de CETTE fonction de hashage !!

Et ton explication (salt,...) est parfaitement juste.

Mais.... on s'en fout : ce n'est PAS DU TOUT le sujet de CETTE discussion....