Introduction Jeedom 4.2 : la sécurité

Publié sur: Introduction Jeedom 4.2 : la sécurité – Jeedom – Le Blog

Cet article sert à préparer l’arrivée de Jeedom 4.2, toujours en beta à l’heure où j’écris. Hormis l’énorme changelog que vous pouvez trouver ici (au passage un grand grand merci @Kiboost, sans qui il n’y aurait sûrement pas la moitié des changements que vous voyez !!!), il y a une modification de taille : la…

18 « J'aime »

Tiers ou tierce ? :wink:
https://fr.m.wiktionary.org/wiki/tiers

Antoine

Bonjour,

Merci pour la communication.

Bonjour,

Quelle clef API faudra t’il utiliser pour l’appel d’un scenario. Aujourd’hui, je ne vois pas d’autre solution que l’utilisation de l’API key du core.

Bonjour
Pour ça rien ne change (c’est d’ailleurs pour ça que ca n’est pas abordé dans l’article)

25 messages ont été scindés en un nouveau sujet : Droits Sudo et 777

Bonjour, en 4.2 beta, pour accéder au reccords des caméras, on a un Forbidden, logique suite à la lecture de l’article.
Par contre sur le plugin caméra je ne vois pas de possibilité d’y générer une clé API.
C’est prévu à terme ?
Cordialement,

Je pense tu mélanges des trucs, le forbiden c’est surement un bug (je regarderais) par contre pas besoin de clef api

Ok merci.
Je me disais que si ce n’était pas autorisé avec la nouvelle couche sécu (une bonne démarche en passant) que c’était logique qu’un lien direct ou via un autre plugin il était nécessaire d’y passer l’api de l’autre plugin.
On est bien d’accord, un plugin tiers ou un lien accédant à un répertoire d’un plugin devrait nécessiter l’api du plugin en question.
Thx

@Loic en déplacent dans ./data c’est ok, une question de htaccess.

Ca marche pas comme ca la clef api c’est vraiment que quand tu passe par le serveur web.

J’ai fait une modification en alpha a voir si c’est mieux.

C’est ce que j’avais aussi appliqué provisoirement. Merci pour la correction.

@Loic
Il manque les sudo pour faire la copie de fichier lors des passages sécurisé ↔ non sécurisé
Message dans http.error:

cp: cannot create regular file '/etc/apache2/conf-available/security.conf': Permission denied

image

2 « J'aime »

2 messages ont été fusionnés à un sujet existant : Droits Sudo et 777

Bonjour,
Bien vu c’est corrigé en alpha et beta

1 « J'aime »

Petite question @Loic : dans la section « API » de la configuration de Jeedom, je vois que la quasi intégralité de mes clés API sont sur le status « activé », avec aucun accès restreint.
C’est aussi le cas de Accès Pro et API TTS que je n’utilise pas.

Le seul plugin qui définit un accès restreint est arlo de @Mips , je pense que c’est le plugin qui configure ça, et le plugin officiel ZWave qui semble mettre Accès API à Localhost.

Je me pose la question suivante: si la volonté est de sécuriser la plateforme, ne vaudrait-il mieux pas que tous les accès APIs soient fermés par défaut ? Et ensuite à charge de l’utilisateur de venir les ouvrir pour confirmer qu’il souhaite les utiliser ?
J’en suis de mon côté à tout fermer en me disant qu’en fait ça peut être très dangereux depuis des années, mais peut etre qu’en fait ce danger n’existe pas réellement !

Effectivement j’ai activé ça récemment; car je suis du même avis: par défaut l’accès devrait être le plus fermé possible et à charge des développeurs des plugins (ou à défaut de l’utilisateur) d’ouvrir l’accès.

Pour info, tous mes plugins sont en principe en « localhost » lorsque c’est possible (et accès restreint à présent).
Pour plugin-arlo j’ai récemment ouvert (depuis la 4.2) pour l’intégration des captures caméras dans des applications externes à jeedom (par exemple une app mobile tel que plugin-jeedomconnect mais pas limité à ça)
C’est une info que je devrais mettre dans la doc et si l’utilisateur n’utilise aucune intégration il peut sans problème mettre l’accès api en « localhost ».

2 « J'aime »

Bonjour,
Ca fait partie des piste pour la 4.3 on etudie encore l’impact que ca aura sur les jeedoms avant de se lancer la dedans.

Après le risque est faible les clef font 64 caractères et par défaut tu as 3 essai avant d’etre banni quelques temps, c’est quasi impossible que quelqu’un la trouve.

1 « J'aime »