Discussion :

[klaiko]

Bonjour à tous,

Je m'adresse à vous car je rencontre un problème de sécurité.

Topologie :
- réseaux LAN
- serveur apache 2.24
- port de connexion apache 443
- 3 caméras ip (accessible par le ProxyPass de Apache)

Pour accéder aux caméras j'ai développé un application à laquelle je me connecte avec un formulaire de connexion ensuite après authentification celui-ci me donne accès à une interface WEB.
Cette interface WEB me permet de sélectionner chaque caméras par un bouton puis ensuite d'éffectuer des actions comme les diriger, zoomer, etc ...
Les caméras sont joignable par ip sur le port 80 en passant par le ProxyPass de Apache.
Lorsque je me déconnecte les variables de connexion sont détruites, etc ...
Du point de vue WEB et accessibilité caméra tout fonctionne très bien.

Le problème:
Si je met l'ip du site web puis ensuite le chemin pour arriver à une de mes caméras alors j'arrive sur l'interface Web de la caméra ce que je ne veux justement pas car il suffira par la suite en WAN de mettre l'ip publique puis ensuite le path pour by-passer l'authentification du formulaire de connexion !!
J'ai justement opté pour la solution du ProxyPass de Apache pour ne pas à devoir rediriger 3 ports en plus par mon routeur car tout passe par le 443.

Comment faire pour sécuriser ce chemin afin qu'il ne soit plus accessible directement par l'url ?

Je vous remercie d'avance.

[Spartacusply]

Tu dois vérifier que tu es bien connecté sur toutes les pages de ton site, y compris sur "l'interface Web de la caméra"

[klaiko]

Merci pour la réponse Spartacusply,

je ne comprend pas ce que tu veux dire par ceci : "Tu dois vérifier que tu es bien connecté sur toutes les pages de ton site, y compris sur "l'interface Web de la caméra""
Je pense m'être mal exprimé vu que je n'étais pas devant le code et la config d'Apache lors de la rédaction du post.
Je ne veux pas permettre de connexion à 'interface Web de la caméra vu que celle-ci est faillible.
La machine ou se trouve Apache à l'ip 192.168.1.208

Configuration Apache
ProxyPass "/live/cam1/" "http://192.168.1.211/"
ProxyPass "/live/cam2/" "http://192.168.1.212/"
ProxyPass "/live/cam3/" "http://192.168.1.213/"

Code
Ceci donne accès à la partie privé uniquement après authentification.
iframe.setAttribute('src','/live/cam1/videostream.cgi?user=<?php echo $user; ?>&pwd=<?php echo $pwd; ?>');
iframe.setAttribute('src','/live/cam2/videostream.cgi?user=<?php echo $user; ?>&pwd=<?php echo $pwd; ?>');
iframe.setAttribute('src','/live/cam3/videostream.cgi?user=<?php echo $user; ?>&pwd=<?php echo $pwd; ?>');

Coté code j'ai bien accès à toutes mes caméras, fonction de directions, etc ....

Mais si je tape ceci dans l'url sans passer par l'authentification
http://192.168.1.208/live/cam1/
Je tombe directement sur l'interface (web d'usine) de la caméra me demandant login et passe et lorsque sur annuler celle-ci (comme elle magnifiquement bien faite, une vraie saleté) j'arrive sur la partie révélant son modèle, etc ...
Je ne sais rien faire, pas d'affiche etc ... mais il suffit de lancer "routersploit" et comme elle est faillible, elle me crache login et passe admin !!
Voici une des raisons pour laquelle je ne veux plus utiliser l'interface d'usine de la caméra !

En reformulant, comment empêcher de by-passer l'authentification en passant par ceci ?
http://192.168.1.208/live/cam1/


Merci de votre aide.