Authentification NGINX plus sécurisée que auth_basic
J'ai essayé de trouver la méthode d'authentification la plus sécurisée avec mon proxy inverse dans NGINX. J'utilise ngx_http_auth_basic_module jusqu'à présent sans aucun problème, mais il y a apparemment des implications de sécurité flagrantes avec cette configuration . La plupart de ces problèmes de sécurité ne sont pas un gros problème car mon site fonctionne strictement avec SSL. Je voudrais toujours le sécuriser autant que possible.
Existe-t-il d'autres mécanismes d'authentification supérieurs pour NGINX?
Je suis ouvert à tout. ce n'est pas un service public.
NGINX a un module d'authentification Digest: https://www.nginx.com/resources/wiki/modules/auth_digest/
Contrairement à l'authentification de base, l'authentification Digest n'envoie pas les noms d'utilisateur et les mots de passe en texte brut sur Internet.
Si votre site est SSL uniquement , l'authentification de base convient probablement. Le SSL chiffre toute la session, y compris les noms d'utilisateur et les mots de passe.
Bien que la question ait 2 ans, j'aimerais continuer à y répondre.
La page liée par la réponse acceptée ( https://www.nginx.com/resources/wiki/modules/auth_digest/ ) a 11 ans et indique elle-même que "... (it) est besoin d’essais plus larges avant de pouvoir être considéré comme suffisamment sûr pour une utilisation en production. "
Une page GitHub ( https://github.com/atomx/nginx-http-auth-digest ) est également liée et des conseils plus récents (avril 2017) des auteurs peuvent y être trouvés: "Le Le module est actuellement fonctionnel mais n’a été testé et revu que par son auteur. Et comme il s’agit d’un code de sécurité, un seul œil est presque certainement insuffisant pour garantir son exactitude à 100%. "
Ma conclusion est donc que la réponse acceptée donne un module très intéressant qui, malheureusement, n’est pas conseillé pour la sécurisation des données sensibles.