Module Apache mod_dav

Activation de WebDAV

Pour activer le module mod_dav, ajoutez la ligne suivante � un conteneur de votre fichier apache2.conf :

Dav On

Ceci active le fournisseur de syst�me de fichier DAV impl�ment� par le module mod_dav_fs. Ce dernier doit donc �tre compil� dans le serveur ou charg� au d�marrage � l'aide de la directive LoadModule.

En outre, vous devez indiquer o� se trouve la base de donn�es des verrous DAV via une directive DavLockDB dans la section globale de votre fichier apache2.conf :

DavLockDB /usr/local/apache2/var/DavLock

Le r�pertoire contenant le fichier de la base de donn�es des verrous doit avoir des droits en �criture pour l'utilisateur et le groupe sous lesquels Apache s'ex�cute et d�finis respectivement par les directives User et Group.

Si vous souhaitez limiter l'acc�s aux r�pertoires o� DAV est activ�, vous pouvez ajouter une clause <Limit> dans la section <Location> consid�r�e. Pour d�finir la quantit� maximale de donn�es en octets qu'un client DAV peut envoyer par requ�te, vous devez utiliser la directive LimitXMLRequestBody, car La directive LimitRequestBody "habituelle" n'a aucune incidence sur les requ�tes DAV.

DavLockDB /usr/local/apache2/var/DavLock

<Directory /usr/local/apache2/htdocs/foo>
    Require all granted
    Dav On

    AuthType Basic
    AuthName DAV
    AuthUserFile user.passwd

    <LimitExcept GET POST OPTIONS>
        Require user admin
    </LimitExcept>
</Directory>

Probl�mes concernant la s�curit�

Etant donn� que les m�thodes d'acc�s DAV permettent � des clients distants de manipuler des fichiers sur le serveur, vous devez vous assurer que votre serveur est bien s�curis� avant d'activer mod_dav.

Tout r�pertoire du serveur o� DAV est activ� doit �tre prot�g� par une proc�dure d'authentification. L'utilisation de l'authentification HTTP de base n'est pas recommand�e. Vous devez utiliser au moins l'authentification HTTP � base de condens�s qu'impl�mente le module mod_auth_digest. Pratiquement tous les clients WebDAV supportent cette m�thode d'authentification. Vous pouvez aussi utiliser l'authentification de base sur une connexion o� SSL est activ�.

Pour que mod_dav puisse manipuler des fichiers, il doit avoir des permissions en �criture sur les r�pertoires et les fichiers qui sont sous son contr�le ; en d'autre termes, c'est l'utilisateur et le groupe sous lesquels Apache s'ex�cute et d�finis par les directives User et Group qui doivent avoir les droits en �criture sur ces fichiers et r�pertoires. Les fichiers nouvellement cr��s appartiendront aussi � ces utilisateur et groupe. Par cons�quent, il est important de contr�ler l'acc�s � ce compte. Les r�pertoires DAV sont consid�r�s comme priv�s du point de vue d'Apache, et la modification des fichiers qu'ils contiennent autrement que par l'interm�diaire d'Apache (par exemple par FTP ou par des outils du niveau du syst�me de fichiers) ne doit pas �tre permise.

mod_dav peut faire l'objet de plusieurs sortes d'attaques par d�ni de service. La directive LimitXMLRequestBody permet de limiter la quantit� de m�moire consomm�e pour interpr�ter des requ�tes DAV de grande taille. En outre, la directive DavDepthInfinity permet d'emp�cher les requ�tes PROPFIND concernant un r�pertoire de tr�s grande taille de consommer de grandes quantit�s de m�moire. Un autre type d'attaque par d�ni de service peut aussi �tre men� par un client qui remplit simplement tout l'espace disque disponible avec des fichiers de tr�s grande taille. Etant donn� qu'il n'existe aucun moyen direct d'�viter ce genre d'attaque dans Apache, vous ne devez accorder des acc�s DAV qu'� des utilisateurs de confiance.

Configurations complexes

Les requ�tes ayant pour but de manipuler des fichiers dynamiques (scripts PHP, scripts CGI, etc...) en utilisant mod_dav sont courantes. Ce traitement n'est pas �vident car une requ�te GET va toujours tenter d'ex�cuter le script, plut�t que de t�l�charger son contenu. Pour �viter cet inconv�nient, une m�thode possible consiste � faire correspondre deux URLs diff�rentes au m�me contenu, l'une d'entre elles servant � lancer le script, alors que l'autre peut �tre utilis�e pour le t�l�charger et le manipuler avec DAV.

Alias /phparea /home/gstein/php_files
Alias /php-source /home/gstein/php_files
<Location /php-source>
Dav On
ForceType text/plain
</Location>

Avec cette configuration, on peut utiliser http://example.com/phparea pour afficher le r�sultat de l'ex�cution des scripts PHP, et http://example.com/php-source pour les manipuler avec DAV.