Re: Клиентские SSL-сертификаты + ngx_http_auth_basic_module

[Vladislav Zhivotnev]

попробуй сделать map от $ssl_client_verify, в котором для success будет значение off. для остальных значений - путь до файла htpasswd. потом в нужном месте напиши auth_basic $var_from_map От: vlad.shaba...@gmail.com Отправл.: 1 января 2021 г. 20:47 Кому: nginx-ru@nginx.org Кому: nginx-ru@nginx.org Тема: Клиентские SSL-сертификаты + ngx_http_auth_basic_module Добрый день! Хочу посоветоваться. Есть сервер, где зона «для сотрудников» закрыта двумя слоями авторизации: auth_basic + проверка на уровне приложения, с куками, сессиями и прочим. Отказываться от auth_basic не хочется:  В коде приложения запросто могут быть ошибки. Забыли, например, завернуть какую-нибудь функцию приложения в декоратор и получили дырку в защите. Сессионную куку могут угнать. XSS, «мутные» плагины для браузеров и т. д. Есть «интимная» статика, которую проверять через auth_request не хочется, т.к. замедляет. Проблема в том, что большинство браузеров неудобно работают с basic_auth: Сафари под iPhone спрашивает пароль каждые несколько часов и даже не заморачивается, чтобы его запомнить. FireFox после рестарта показывает модальный диалог со вводом пароля в одном из окон и блокирует все остальные окна с тем же сайтом. Неудобно, короче. Настроил клиентские сертификаты. Есть сотни мануалов, ничего интересного. Но вот раздача сертификатов сотрудникам и установка их в браузеры – дело муторное. У каждого браузера свои тараканы, сложно объяснить сотруднику по телефону, как поставить сертификат в его браузер и т. д. А если сертификат устареет или придётся его отозвать, совсем беда. Поэтому решил сделать вот какую логику: Если браузер предъявил сертификат, то auth_basic не требуем. Если не предъявил, то пусть вводит логин+пароль через auth_basic. Проверка доступа на уровне приложения никуда не девается, работаем по старому. Я не нашёл способа, как настроить конфиг nginx, чтобы эту логику реализовать. Конструкции с if $ssl_client_verify == "SUCCESS" {} несовместимы с auth_basic. Пока придумал только одно: отпатчил ngx_http_auth_basic_module.c, сделал в нём директиву auth_basic_skip_if_client_cert    on/off по которой проверка пароля выключается, если предъявлен валидный клиентский сертификат. Вопросы: Может быть, кто-то решал аналогичную задачу? Чтоб и два слоя защиты для страховки и удобство в повседневной работе? Существует ли решение без патча ngx_http_auth_basic_module.c? Интересен ли кому-нибудь этот патч? Может, на моём велосипеде ещё кто-нибудь хочет покататься? :)  С уважением, Владислав

_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://mailman.nginx.org/mailman/listinfo/nginx-ru