[vz-dev] Zugang zum Frontend absichern

[devzero at web.de]

oh, ist das so?
Dann würd ich sagen, daß das aber aus Sicherheitsaspekten nicht ganz ideal designt ist. Es gibt ja nunmal einen GUI Zugriffspfad und einen "Zählerdaten Data-Post"-Zugriffspfad und ich würde mir wünschen, daß die gesondert/getrennt behandelt werden kann.  Lässt sich aber vermutlich auch nicht mal eben mit geringem Aufwand ändern, oder?

Der Apache kann auch noch Zugriffe auf Basis ACL`s regeln, d.h. man könnte den Zugriff z.B. nur für bestimmte IP-Adressbereiche erlauben. Auch hier wäre eine Trennung von GUI (Zugriff von überallher) und "Daten-Eingangskanal" (Datenempfang nur aus dem IP-Range in dem der Stromzähler steht) hilfreich.

Grüsse
Roland



-----Ursprüngliche Nachricht-----
Von: "Justin Otherguy" <justin at justinotherguy.org>
Gesendet: 11.01.2012 22:39:40
An: "volkszaehler.org" <volkszaehler-dev at lists.volkszaehler.org>
Betreff: Re: [vz-dev] Zugang zum Frontend absichern

>Hi,
>
>Am 11.01.2012 um 22:33 schrieb Michael Pape:
>> Am 11.01.2012 um 21:44 schrieb Justin Otherguy:
>>> 1. wenn Du kein SSL verwendest, kann die UUID bei der Übertragung der Zählerimpulse und beim Zugriff mit dem Browser abgehört werden
>>> 2. wenn Du den Zugriff auf das Frontend per Authentifizierung einschränkst, die Middleware aber weiterhin erreichbar ist, verhinderst Du nicht, dass Jemand mit einem anderen Frontend auf Deine Middleware zugreift
>>
>> falls du einen virtuellen Root-Server hast kannst du auch eine Subdomain nur fuer den Controller einrichten, die von aussen ohne Authentifizierung erreichbar ist. So kann jemand anders hoechstens neue Werte hinzufuegen aber die gespeicherten nicht auslesen.
>das ist ein Missverständnis:
>das Frontend bezieht seine Daten über die Middleware.
>
>Das Frontend liegt nur "zufällig" neben der Middleware; beim Zugriff darauf lädt der Browser die JavaScript-Applikation und führt sie auf Deinem Rechner aus. Die Daten holt sich das Frontend holt sich seine Daten dann über die Middleware.
>
>Sobald die Middleware ohne Authentifizierung erreichbar ist, lassen sich auch die Werte auslesen - über das auf dem gleichen Server installierte Frontend oder über ein anderes.
>
>Also:
>Controller -> Middleware -> Daten
>und:
>Frontend -> Middleware -> Daten
>
>Jetzt klarer?
>
>
>Gruss, J.
>
>_______________________________________________
>volkszaehler-dev mailing list
>volkszaehler-dev at lists.volkszaehler.org
>https://volkszaehler.org/mailman/listinfo/volkszaehler-dev


___________________________________________________________
SMS schreiben mit WEB.DE FreeMail - einfach, schnell und
kostenguenstig. Jetzt gleich testen! http://f.web.de/?mc=021192