Taper une commande à distance

Bonjour,

J'avoue que j'ai un peu de mal à situer : pour savoir quelle commande
taper j'avais une réponse en quelques heures, mais pour savoir où la
taper, au bout d'une semaine il n'y a toujours pas moyen ?

Est-ce que c'est un truc si rare que ça de vouloir crypter un mot de
passe sur un serveur web ?
_____________________________________
Gloops a écrit, le 02/10/2009 00:07 :

Bonjour tout le monde,

Dans le fil précédent, a été affinée la syntaxe d'une command e à taper
sur un serveur IIS.

La question que je me pose est d'ordre pratique : où pourrais-je bien
taper cette commande ? Un logiciel permet-il de se connecter à distan ce
pour taper une commande sur le serveur ?

A défaut je serais obligé de demander au personnel de support de ta per
la commande, et j'ai bien l'impression que ça ne doit pas être plus
courant que ça.

La question peut sembler naïve, mais comme outil jusque là je n'uti lise
guère que VS2005. Là-dedans il y a bien Copy Website, mais pour tap er
aspnet_regiis, c'est un peu juste.

"Gloops" <gloops@invalid.zailes.org> a écrit dans le message de
news:uo1hLO2QKHA.1372@TK2MSFTNGP02.phx.gbl...
Bonjour,

J'avoue que j'ai un peu de mal à situer : pour savoir quelle commande
taper j'avais une réponse en quelques heures, mais pour savoir où la
taper, au bout d'une semaine il n'y a toujours pas moyen ?

Est-ce que c'est un truc si rare que ça de vouloir crypter un mot de
passe sur un serveur web ?
_____________________________________
Gloops a écrit, le 02/10/2009 00:07 :

Bonjour tout le monde,

Dans le fil précédent, a été affinée la syntaxe d'une commande à taper sur
un serveur IIS.

La question que je me pose est d'ordre pratique : où pourrais-je bien
taper cette commande ? Un logiciel permet-il de se connecter à distance
pour taper une commande sur le serveur ?

A défaut je serais obligé de demander au personnel de support de taper la
commande, et j'ai bien l'impression que ça ne doit pas être plus courant
que ça.

La question peut sembler naïve, mais comme outil jusque là je n'utilise
guère que VS2005. Là-dedans il y a bien Copy Website, mais pour taper
aspnet_regiis, c'est un peu juste.

Désolé mais à la lecture de ton dernier post, j'avais cru comprendre que tu
demanderai au support de taper la commande...
Si tu est admin du serveur, tu peux utiliser psexec du ressource kit, ou
ouvrir une session TS sur le serveur, faire une page web qui appellerai la
commande (si ça ça fonctionne, il faut appeler le support, mais pas pour les
mêmes raison ;-).
Mais j'imagine que ce ne doit pas être le cas ;-(
Eh non, le cryptage à cet endroit n'est pas si courant que ça.

jbongran a écrit, le 05/10/2009 08:34 :

Désolé mais à la lecture de ton dernier post, j'avais cru compren dre que
tu demanderai au support de taper la commande...

Merci de ta réponse.
Finalement, on en arrive là, et on va voir ce qu'ils vont répondre.

J'ai fait quelques essais avec telnet, ça marche pour accéder aux
téléchargements, mais pour iis les autorisations ne sont pas ouvertes .

Si tu est admin du serveur, tu peux utiliser psexec du ressource kit, o u
ouvrir une session TS sur le serveur, faire une page web qui appellerai
la commande (si ça ça fonctionne, il faut appeler le support, mais pas
pour les mêmes raison ;-).

Oui, pour ouvrir les autorisations, j'imagine.
Là, ça suppose qu'ils réfléchissent à la question, et ça ne s 'improvise
pas, s'agirait pas que n'importe qui vienne fiche le bazar.

Mais j'imagine que ce ne doit pas être le cas ;-(
Eh non, le cryptage à cet endroit n'est pas si courant que ça.

Ah, OK. Les cours c'est bien, après il y a la pratique :)

Tu dis "à cet endroit", tu as une autre idée ?

Je n'ai pas encore la réponse définitive du support pour ce qui est d e
leur confier la tâche, donc je continue de cogiter.

Oui alors j'avais pensé à écrire un module de cryptage et le charge r
dans le répertoire App_Code, mais pour obtenir le même niveau de
sécurité ça suppose de cogiter encore un moment. Ce qu'il y a de bi en
avec la sécurité intégrée iis c'est qu'il n'y a que Microsoft -du moins
on l'espère- qui sait où se trouve la clef de cryptage (à part qu'e lle
est dans le registre), donc pour aller farfouiller là-dedans il faut
quand même arriver à un sacré niveau. Alors que si on part du princ ipe
que quelqu'un peut accéder au web.config, on ne voit pas bien pourquoi
il ne réussirait pas à télécharger le module de cryptage. Donc en suite,
il faut une certaine créativité pour trouver où placer la clef de
cryptage, et j'imagine s'adresser à un joujou du type dotfuscator pour
qu'on ne s'amuse pas à lire le code du module de cryptage.

C'est vrai que si je m'engage dans cette voie ce n'est pas forcément
utile de publier tous les détails dans un newsgroup. Si toutefois des
idées intéressantes apparaissent ...

jbongran a écrit, le 05/10/2009 08:34 :

Si tu est admin du serveur, tu peux utiliser psexec du ressource kit,

psexec ça se télécharge chez SysInternals, c'est bien ça ?
Enfin bon par curiosité, parce que non, je ne suis pas admin, et via
telnet j'ai vu que je n'avais pas accès, la question est soulevée, ç a
met du temps à redescendre ces machins-là une fois que c'est soulevé .

ou
ouvrir une session TS sur le serveur,

C'est quoi TS au fait ?

faire une page web qui appellerai
la commande (si ça ça fonctionne, il faut appeler le support, mais pas
pour les mêmes raison ;-).

Ah oui je n'avais pas percuté tout-à-l'heure. Oui c'est vrai si on pe ut
s'adresser à un passant dans la rue pour récupérer depuis l'extér ieur
son porte-monnaie qu'on a laissé tomber sous son lit, il y a peut-êtr e
des questions à poser au serrurier.

"Gloops" <gloops@invalid.zailes.org> a écrit dans le message de
news:e1jUcGdRKHA.5108@TK2MSFTNGP02.phx.gbl...
jbongran a écrit, le 05/10/2009 08:34 :

Si tu est admin du serveur, tu peux utiliser psexec du ressource kit,

psexec ça se télécharge chez SysInternals, c'est bien ça ?
[...]
Oui
[...]
C'est quoi TS au fait ?
Les services terminal serveur (souvent nommé bureau à distance)

faire une page web qui appellerai la commande (si ça ça fonctionne, il
faut appeler le support, mais pas pour les mêmes raison ;-).

Ah oui je n'avais pas percuté tout-à-l'heure. Oui c'est vrai si on peut
s'adresser à un passant dans la rue pour récupérer depuis l'extérieur
son porte-monnaie qu'on a laissé tomber sous son lit, il y a peut-être
des questions à poser au serrurier.


C'est exactement ça :-)

"Gloops" <gloops@invalid.zailes.org> a écrit dans le message de
news:ugpZR%23cRKHA.4244@TK2MSFTNGP06.phx.gbl...
jbongran a écrit, le 05/10/2009 08:34 :

Désolé mais à la lecture de ton dernier post, j'avais cru comprendre que
tu demanderai au support de taper la commande...

Merci de ta réponse.
Finalement, on en arrive là, et on va voir ce qu'ils vont répondre.

J'ai fait quelques essais avec telnet, ça marche pour accéder aux
téléchargements, mais pour iis les autorisations ne sont pas ouvertes.

Si tu est admin du serveur, tu peux utiliser psexec du ressource kit, ou
ouvrir une session TS sur le serveur, faire une page web qui appellerai la
commande (si ça ça fonctionne, il faut appeler le support, mais pas pour
les mêmes raison ;-).

Oui, pour ouvrir les autorisations, j'imagine.
Là, ça suppose qu'ils réfléchissent à la question, et ça ne s'improvise
pas, s'agirait pas que n'importe qui vienne fiche le bazar.

Mais j'imagine que ce ne doit pas être le cas ;-(
Eh non, le cryptage à cet endroit n'est pas si courant que ça.

Ah, OK. Les cours c'est bien, après il y a la pratique :)

Tu dis "à cet endroit", tu as une autre idée ?

Je n'ai pas encore la réponse définitive du support pour ce qui est de
leur confier la tâche, donc je continue de cogiter.

Oui alors j'avais pensé à écrire un module de cryptage et le charger
dans le répertoire App_Code, mais pour obtenir le même niveau de
sécurité ça suppose de cogiter encore un moment. Ce qu'il y a de bien
avec la sécurité intégrée iis c'est qu'il n'y a que Microsoft -du moins
on l'espère- qui sait où se trouve la clef de cryptage (à part qu'elle
est dans le registre), donc pour aller farfouiller là-dedans il faut
quand même arriver à un sacré niveau. Alors que si on part du principe
que quelqu'un peut accéder au web.config, on ne voit pas bien pourquoi
il ne réussirait pas à télécharger le module de cryptage. Donc ensuite,
il faut une certaine créativité pour trouver où placer la clef de
cryptage, et j'imagine s'adresser à un joujou du type dotfuscator pour
qu'on ne s'amuse pas à lire le code du module de cryptage.

C'est vrai que si je m'engage dans cette voie ce n'est pas forcément
utile de publier tous les détails dans un newsgroup. Si toutefois des
idées intéressantes apparaissent ...


Désolé du retard de la réponse.
Je dis juste que de ce que je vois, souvent seul le transport (SSPI) est
sécurisé, pas spécialement les login/mots de passe qui eux sont souvent omis
en utilisant le compte de connexion de service local network.
Un (bon) point de départ:
http://msdn.microsoft.com/en-us/library/ms978512.aspx

Houlà, heureusement que ton raisonnement est faux en ce qui concerne le
niveau de sécurité!
La sécurité par l'obscurantisme n'est PAS une solution, et MS documente très
largement, non le code source, mais les APIs et notamment celles ayant trait
à la sécurité, par exemple sur MSDN ou Technet.

jbongran a écrit, le 11/10/2009 23:45 :

Désolé du retard de la réponse.

Bah, chacun a ses obligations :)

Au fait, ton logiciel de mails ne met pas de caractère de marque de
citation ?

Je dis juste que de ce que je vois, souvent seul le transport (SSPI) es t
sécurisé, pas spécialement les login/mots de passe qui eux sont s ouvent
omis en utilisant le compte de connexion de service local network.
Un (bon) point de départ:
http://msdn.microsoft.com/en-us/library/ms978512.aspx

Ah, voilà déjà de quoi occuper les soirées d'hiver :)

Houlà, heureusement que ton raisonnement est faux en ce qui concerne le
niveau de sécurité!
La sécurité par l'obscurantisme n'est PAS une solution, et MS docum ente
très largement, non le code source, mais les APIs et notamment celles
ayant trait à la sécurité, par exemple sur MSDN ou Technet.

Hum, ce que tu dis là ressemble fort à une bonne nouvelle. Quel domma ge
que je n'aie pas compris :)

Tu dis que finalement, crypter le mot de passe dans le web.config
n'apporte pas grand-chose en matière de sécurité par rapport à é crire un
module de cryptage et le placer dans le App_Code ?

Voilà qui laisserait augurer que si on admet qu'il puisse arriver qu'un
pirate réussisse à visualiser le web.config, en revanche on est
tranquille quant au contenu du App_Code ? Est-ce que c'est un postulat
de base ou il y a un raisonnement qui y mène ?

jbongran a écrit, le 11/10/2009 23:45 :

Un (bon) point de départ:
http://msdn.microsoft.com/en-us/library/ms978512.aspx

Effectivement.
Là-dedans, on trouve
How To: Encrypt Configuration Sections in ASP.NET 2.0 Using RSA
(j'ai failli dire que ce n'était disponible qu'en Japonais, mais ça,
c'est pour la version 1)

C'est grosso modo ce que j'avais sur CD (avec une formation à C#), avec
toutefois ci-dessus l'étape supplémentaire de la création d'un ré pertoire.

Sur la ligne précédente, on trouve
How To: Encrypt Configuration Sections in ASP.NET 2.0 Using DPAPI

En voyant le titre je me suis dit, ah, je vais pouvoir me passer de
iis ? Patatras, on appelle exactement la même commande, aspnet_regiis.
Je crois que c'est l'emplacement de la clef qui est différent ? Ou le
protocole de cryptage ...

Bon, pour utiliser l'un comme l'autre, je suis condamné à attendre qu e
l'hébergeur me fournisse un moyen d'utiliser les commandes IIS (qui fon t
pourtant partie de l'offre), ou veuille bien les utiliser à ma place. A
ce qu'on me dit il faut attendre trois mois sans garantie, alors que ce
que j'ai à mettre en ligne est prêt depuis fin Septembre. Si j'avais su
j'aurais posé les bonnes questions au début du développement, comme ça
ils auraient planché là-dessus en même temps que moi sur mon module
d'inscription. Comme j'étais dessus depuis début Août, on arriverai t
bientôt à terme :)

Donc, au point où j'en suis, pas à chipoter, il va falloir que je
mouline un truc moi-même.
Non ?