Magasin de mots de passe cryptés SVN

Question

J'ai installé SVN sur une machine Ubuntu et je n'arrive pas à comprendre quelque chose.

Chaque fois que je vérifie quelque chose à partir du terminal, je reçois cette erreur concernant l'enregistrement d'un mot de passe non crypté :

-----------------------------------------------------------------------
ATTENTION!  Your password for authentication realm:

   <[...]> Subversion Repository

can only be stored to disk
unencrypted!  You are advised to
configure your system so that
Subversion can store passwords
encrypted, if possible.  See the
documentation for details.

You can avoid future appearances of
this warning by setting the value of
the 'store-plaintext-passwords' option
to either 'yes' or 'no' in
'/home/[...]/.subversion/servers'.
-----------------------------------------------------------------------

J'ai fait un peu de recherche mais je n'ai rien trouvé d'utile. J'ai trouvé un sujet où il était dit que c'était un problème de client et non de serveur, mais je ne suis toujours pas convaincu.

Il est indiqué "configurer votre système" ; qu'entend-on exactement par là ? Le serveur ou le client ? Si je suis le serveur, puis-je faire quelque chose à ce sujet ? à part cacher l'avertissement (comme il est dit)...

Merci !

Answer 1

C'est un problème de client. Il vous avertit que les informations d'identification utilisées pour les différents serveurs sont stockées en texte clair. Vous pouvez masquer cet avertissement ou utiliser un stockage crypté pour mettre en cache les mots de passe.

Voir : http://blogs.collab.net/subversion/2009/07/subversion-16-security-improvements

Answer 2

En chiffrant le mot de passe, vous ne serez pas en mesure d'obtenir la non-répudiation (d'autres utilisateurs pourraient utiliser votre hachage comme vous) en raison des permissions de fichiers du système d'exploitation. Cependant, la plupart des entreprises ont une configuration de subversion utilisant leur mot de passe de domaine ou une forme de mot de passe SSO. En chiffrant le mot de passe, vous pouvez au moins empêcher quelqu'un d'accéder aux autres comptes d'un utilisateur.

Je m'inquiéterais quand même de la force du cryptage. Si le mot de passe de subversion est lié à d'autres comptes importants, quelqu'un pourrait tester la force de cryptage pour craquer le mot de passe.

La meilleure solution est de configurer le client subversion pour désactiver les mots de passe stockés et forcer les développeurs paresseux à s'authentifier à chaque fois.

Answer 3

Je stocke les informations d'identification sur un disque crypté. (Bien que, lorsque le disque est monté, les informations d'identification sont toujours en texte clair pour mon compte).

$ ls -nl ~/.subversion/
total 20K
-rw-r--r-- 1 1000 1000 4.2K 2009-07-10 13:00 README.txt
lrwxrwxrwx 1 1000 1000   31 2009-10-14 14:31 auth -> ~/crypt/subversion/auth/
-rw-r--r-- 1 1000 1000 5.7K 2009-07-10 13:00 config
-rw-r--r-- 1 1000 1000 3.6K 2009-07-10 13:00 servers

L'utilisation de git-svn signifie que j'ai besoin des informations d'identification beaucoup moins souvent, donc ce n'est peut-être pas trop onéreux de ne pas les sauvegarder du tout.