[vz-users] Login/Absicherung von VZ Installationen

[Florian Knodt]

Nabend,

On 15.08.2016 11:36, Andreas Goetz wrote:
> 1) Basic Authentication, also Username + Password. Für ein Mindestmaß an
> Sicherheit ist SSL erforderlich- das gilt ebenso aber auch für alle
> weiteren Varianten. Das muss zusätzlich so konfiguriert werden dass
> vzlogger (aus dem internen Netz) ohne Basic Auth weiterhin seine Daten
> abliefern kann.

So fahre ich aktuell meine Installationen. Auth per Webserver gegen ein
statischen Passwort bzw. die jeweiligen Benutzerdatenbanken. Da ich
alles über die API anliefer haben die Datenquellen einfach je einen
eigenen Login. Technisch ist es auch möglich z.B. localhost oder das
lokale Subnetz ohne Passwort zuzulassen, sodass bestehende Systeme auch
ohne Änderung funktionieren und nur bei externem Zugriff ein Kennwort
nötig ist.

An einer Stelle hatte ich mal einen Public-Zugang aktiv, bei dem über
einen Reverse-Proxy die Middleware je nach Usergruppe gefiltert wurde
(aka: teils nur lesende Befehle möglich). War eine einfache
Regex-Whitelist. Hält sicher nicht lange wenn jemand mal gegenklopft,
gegen "normale" Nutzer mit Spieltrieb hatte es seinerzeit aber gereicht.

-- 
Mit freundlichen Grüßen  ||   Sincerely yours
Florian Knodt | www.adlerweb.info | @adlerweb

-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 502 bytes
Desc: OpenPGP digital signature
URL: <http://demo.volkszaehler.org/pipermail/volkszaehler-users/attachments/20160816/9b21a1fb/attachment.sig>