Sécuriser WMS contre les accès non autorisés?

21

Dans un projet, le client souhaite que les images du WMS soient protégées contre tout accès non autorisé.

Quelles sont les solutions communes pour réaliser cela?

Sont-ils compatibles avec les normes OGC?

wms authentication

— Mnementh
source

17

La spécification OGC ne requiert que l'utilisation de http. S'il est conforme http, cela devrait aller.

Quelques méthodes possibles:

Authentification HTTP de base (mot de passe envoyé en texte brut, peut avoir un support client limité)
Authentification HTTP Digest (plus sécurisée, peut avoir un support client limité)
Filtrez l'adresse IP du client (facile à mettre en œuvre mais pas particulièrement sécurisé).
URL secrète. Utilisez un GUID pour générer une URL imprévisible. Suppose que les clients garderont l'URL secrète. Beaucoup plus simple à utiliser pour l'utilisateur que la saisie d'un mot de passe. Support client garanti.

— Matthew Snape
source

11

Ce message de l' OGC de 2005 dit:

Aucun aspect de sécurité spécifique ne fait partie des spécifications de l'interface OGC WMS / WFS / WCS. Au lieu de cela, la sécurité et l'authentification sont mieux gérées au niveau d'une autre couche de la pile de traitement.

— Kirk Kuykendall
source

4

Si la sécurité par l'obscurité est suffisante pour vos besoins, vous pouvez configurer une fausse extension pour la couche:

Utilisez simplement les coordonnées de l'autre côté de la Terre. La couche apparaîtra toujours dans la liste des couches, les demandes seront toujours possibles mais si un utilisateur la sélectionne simplement dans un logiciel SIG et choisit "zoomer sur la couche" il ne verra rien et pourrait penser que cette couche est simplement vide ou ne le fait pas travail. Une application connaissant l'étendue correcte de la couche doit toujours pouvoir y accéder.

J'ai déjà vu cette solution appliquée sur certains sites WMS, mais elle n'est probablement pas complètement conforme aux normes OGC car le serveur renvoie une extension incorrecte.

— Nom
source

3

Vous pouvez exiger que les utilisateurs se connectent au WMS via HTTP sécurisé par un VPN. Il place la couche de sécurité au niveau du réseau IP, mais ajoute certainement de la complexité.

— mwalker
source

3

Il existe également des cadres spécialisés comme SecureOWS by CampToCamp: http://www.secureows.org/trac/secureows

— Laurent Jégou
source

2

En supposant que vous disposez des éléments suivants:

Mapserver restitue des données via une base de données Postgis
Vous disposez d'une application distincte qui peut authentifier les utilisateurs et mettre à jour ladite base de données.
Votre WMS LAYER utilise un index de tuile WFS comme indiqué dans Exemple de WMS-T avec l'index de tuiles PostGIS pour l'imagerie raster

Vous pouvez créer un api_keystableau avec access_tokenet expires_atcolonnes. Ajoutez ensuite un paramètre de chaîne de requête &api_key=my_unique_key. Votre Mapfile pour le tileindex ( voir l'exemple ) serait configuré quelque chose comme ceci:

DATA "geom FROM (
  SELECT
   my_table.geom,
   my_table.gid,
  api_keys.access_token
  FROM my_table
  CROSS JOIN api_keys
  WHERE ST_Intersects(geom, !BOX!) and api_keys.expires_at > now()
) AS subquery USING UNIQUE gid USING SRID=4326"
FILTER "access_token = '%api_key%'
VALIDATION
  'api_key' '^[a-zA-Z0-9\_\-]{33}$'
  'default_api_key' ''
END

L'idée est que votre application distincte qui authentifie les utilisateurs dans la base de données mettrait à jour la api_keystable, définissant access_tokenun hachage md5 et gardant la expires_atcolonne mise à jour à un moment donné dans le futur.

Alternativement, vous pouvez proxy le trafic vers une infrastructure distincte qui gère l'authentification WMS / OWS et proxy les utilisateurs autorisés au Mapserver interne. Voici une liste obtenue d' un message à la liste de diffusion des utilisateurs de mapserver , qui est une liste développée / résumée de ce que les autres ont répondu à cette question.

Mapbender - existe depuis très longtemps et possède une merveilleuse quantité de fonctionnalités OWS
Géoprisme
secureOWS
GeoShield

Si jamais vous décidez d'utiliser Geoserver, jetez un œil au module AuthKey .

— Pete
source

1

http://52north.org/communities/security/general/user_guide.html http://geoprisma.org/site/index.php

http://www.opengeospatial.org/projects/groups/geormwg

src: http: //www.delicious.com/based2/bundle: comp.infosystems.gis

— user2036
source