Autentizace Coder Code Server

Autentizace Coder Code Server
« kdy: 11. 05. 2020, 22:50:55 »
Dobrý večer, momentálně instaluji VS Code Online od Coderu na mém VPS.
Odkaz na Coder: https://github.com/cdr/code-server
Jenže jejich autorizace je jaksi podivná. Musí se to spustit takto:
Kód: [Vybrat]
$ PASSWORD=heslo123 ./code-server což mi nepřijde jako moc bezpečné řešení. Ukládat heslo do ENV. Sice to po přečtení $PASSWORD záznam z ENV smaže, ale když to budu spouštět automaticky, tak budu to heslo muset někam uložit v plaintextu. Jak jsem již říkal nepřijde mi to moc bezpečné. Klidně mě vyveďte z omylu.
Jediná možnost která mě napadla udělat reverzní proxy na localhost přes nginx a přidat tam autorizaci.

Rád bych se zeptal, je to přes to nginx opravdu jediné řešení? Vím ještě o SSH proxy, mají dokonce řešení, ale to se mi moc nelíbí. Ukládání hesla to nějakého env souboru v plaintextu (moc se mi to také nelíbí).

Děkuji.


Re:Autentizace Coder Code Server
« Odpověď #1 kdy: 11. 05. 2020, 22:54:06 »
Abych dodal, pokud je NGINX jediná možnost, jde nějak udělat přihlašování (chyba 401) nějak hezky (pomocí HTML stránky) místo vyskakovacího dialogu z prohlížeče?

Re:Autentizace Coder Code Server
« Odpověď #2 kdy: 12. 05. 2020, 07:25:02 »
Očekává se, že váš server je bezpečný. Pokud není, pak je jedno, jak bezpečným způsobem tam heslo dodáváte – i kdybyste ho vždy po spuštění serveru psal ručně, útočník může prostě nahradit binárku code-server za svou, která si to heslo odchytí.

Re:Autentizace Coder Code Server
« Odpověď #3 kdy: 12. 05. 2020, 09:01:27 »
Očekává se, že váš server je bezpečný. Pokud není, pak je jedno, jak bezpečným způsobem tam heslo dodáváte – i kdybyste ho vždy po spuštění serveru psal ručně, útočník může prostě nahradit binárku code-server za svou, která si to heslo odchytí.

Jenže bych tam přidal i někoho dalšího, spustil další instance (asi dvě) tohoto programu. Ale myslím že se těm osobám a dokonce ani mě nelíbí myšlenka že někdo si může jen tak otevřít soubor a vidět jejich hesla.

Re:Autentizace Coder Code Server
« Odpověď #4 kdy: 12. 05. 2020, 09:37:22 »
Jenže bych tam přidal i někoho dalšího, spustil další instance (asi dvě) tohoto programu. Ale myslím že se těm osobám a dokonce ani mě nelíbí myšlenka že někdo si může jen tak otevřít soubor a vidět jejich hesla.
Ne někdo, ale správce toho serveru. A správce serveru může vidět hesla, bez ohledu na to, jestli se vám to líbí nebo nelíbí. Webové prohlížeče dnes neumožňují rozumné přihlášení jménem a heslem tak, aby správce serveru heslo nemohl zjistit.


Re:Autentizace Coder Code Server
« Odpověď #5 kdy: 12. 05. 2020, 10:23:11 »
Jenže bych tam přidal i někoho dalšího, spustil další instance (asi dvě) tohoto programu. Ale myslím že se těm osobám a dokonce ani mě nelíbí myšlenka že někdo si může jen tak otevřít soubor a vidět jejich hesla.
Ne někdo, ale správce toho serveru. A správce serveru může vidět hesla, bez ohledu na to, jestli se vám to líbí nebo nelíbí. Webové prohlížeče dnes neumožňují rozumné přihlášení jménem a heslem tak, aby správce serveru heslo nemohl zjistit.

Jelikož jsem správce serveru jen já tak vůči mě je to v pořádku. Vůči jim nevím jak se k tomu budou stavět.

Trošku jsem to upravil že by to mělo hashovat hesla ale pokud to nepůjde tak toho nechám (nebo to budu autentizovat přes nginx)