На сколько безопасна защита «админки» сайта через http basic auth?

Question

[littleguga]

Вместо "админки" можно поставить любой другой узел, который хочется скрыть от посторонних глаз.

Допустим пароль большой(32 символа, например), так что брутфорс не катит(кстати, как поставить ограничение на количество попыток(ну или таймаут после нескольких неудачных, желательно nginx)).

Есть какие-то известные дыры/подводные камни?

Answer 1

[xmoonlight]

Есть какие-то известные дыры/подводные камни?

MiTM

Comments

[littleguga]

Если через https пустить и следить за протоколом(что он валиден)?

[xmoonlight]

littleguga: пока так все и делают....

[littleguga]

xmoonlight: не понял ответа :(
https спасет или нет?

[xmoonlight]

littleguga: от MiTM - спасёт, а отчего нужно чтобы спасал?)

[Fairlancer]

xmoonlight: Вопрос должен был звучать примерно так: "Подгоните мне нулевых сплоитов для обхода Basic Auth, под видом защиты своего сервера, ага")

[xmoonlight]

MrKursorik: ну зачем же сразу так жестко)

[littleguga]

MrKursorik: нет, я реально свой сервак настраиваю. Прост пишу для теста сервер на node, но хочу скрыть. Нормальную админку пока не хочу ставить. Пруфы могу скинуть в виде исходников на github(пока там пустой репозиторий, позже залью код)

Answer 2

[Dimonchik]

сертификат ставь, и логинящемуся тоже , с паролем, такое MiTM не перехватит

Answer 3

[Алексей]

Предложу в дополнение к basic auth добавить сложный для подбора url админки типа /admin747362943/
Остальное уже написали - обязательно https, с редиректом http -> https, чтобы случайно по http не зайти.
Вроде скандалов с basic auth не было, возможно потому что его глубоко никто не копал :)

В качестве дополнительных мер можно предложить что-то типа port knocking, то есть админка пустит только с того ip, с которого предварительно будет открыт специальный url или послан определенный пакет на специальный порт.

Comments

[Fairlancer]

Ну тогда уже лучше и проще: после каждого успешного входа в админку, ренеймится ее папка а на странице высвечивается новый адрес для будущего входа вида:
http://site.ru/%md5_hash%/admin.php

[Алексей]

MrKursorik: Можно, но один раз пропустил - и все.
Можно сделать адрес /admin-{md5 от ip адреса}/

[littleguga]

Спасибо. Почитаю про port knocking.

Answer 4

[Fairlancer]

Самый простой способ защиты для параноиков: после каждого успешного входа в админку, ренеймится ее папка а на странице высвечивается новый адрес для будущего входа вида:
site.ru/h5fdurgi5dvbgersfhgrc73ghi6d3b6s/admin.php

Proof of concept: [PHP]

Размещаем в файле %admin%.php (в самом верху после <?):

$admin = "%admin%"; // название главного файла админ-панели
$keyprint = file_get_contents('secretfile.txt'); // получаем значение отпечатка ключа (с БД или файла)
if(file_exists(trim($keyprint))) {
$md5_hsh = md5(rand(10000,99990)); // генерируем новый ключ
rename(trim($keyprint),$md5_hsh); // Переименовывание старой админки
file_put_contents('secretfile.txt', $md5_hsh); // перезаписываем файл или значение в БД с новым ключом
$result = "http://site.ru/'.$md5_hsh.'/'.$admin.'.php"; // выводим адрес будущей админки
} else {
$result = 'Директория не существует, что-то пошло не так.';
}

В любом удобном месте HTML кода в Админ-панели, размещаем ссылку:

<input type="text" value="<?=$result?>" style="width: 100%;" name="admin_patch">

Comments

[littleguga]

Спасибо, интересный метод.

Answer 5

[Армянское Радио]

На 0 ровно. Basic (Васик, ага) передает логин-пароль в голом виде в HTTP заголовке при каждом запросе.

Comments

[landergate]

Похоже вопрос был больше про "можно ли взломать/обойти http basic auth".

[Армянское Радио]

landergate: Да, любой болван со сниффером может перехватить логин-пароль.

[landergate]

Армянское Радио: Находящийся в сети админа или ДЦ. =)

[littleguga]

Армянское Радио: https разве не спасает от перехвата? + да, вопрос был не о перехвате, а о других способах взлома. Я сердно гуглил(и сейчас продолжаю, но пока ничего толкого не нашел). Может там можно переполнением буфера/еще чего-нибудь обойти и т.д.

[Армянское Радио]

littleguga: https-спасает. Но в таком случае, вы вопрос формулируете не совсем верно - спрашивать надо так - "есть ли в моем веб-сервере дыры, связанные с basic-auth".

[littleguga]

Армянское Радио: Вы правы, такая формулировка лучше.

Answer 6

[Влад Животнев]

От mitm правильно настроенный https спасет.

От локально висящего трояна, желающего украсть логин с паролем - нет.