1. Entretien et sécurité
d'un site TYPO3

2. Christian Ricard
Directeur informatique

3. 
Créée en 2002 – 10 ans cette année

20 employés

Nouvelle division de Libéo

Spécialiste TYPO3

4. Département Web

Équipe hautement qualifiée et efficace

6 ressources “Certified TYPO3 Integrator”

Accessibilité – Ergonomie – Services conseils

Implication international

Développement PHP, TYPO3, Magento, ...

Informatique décisionnelle (BI) avec Pentaho

5. Sommaire
- Mise en contexte
- Environnement de développement
- Développement Web
- Mise en production
- Récupération et sécurité serveur
- Outils de surveillance post-production

6. Aucune solution
sécuritaire à 100%

7. Entretien et sécurité
La sécurité d'un système d'information peut être comparée à une chaîne
de maillons plus ou moins résistants. Elle est alors caractérisée par le
niveau de sécurité du maillon le plus faible.
Ainsi, la sécurité du système d'information doit être abordée dans un
contexte global.
Wikipédia « Sécurité des systèmes d'information »

8. Cas vécus
Attaque robotisée &
Piratage informatique

9. TYPO3 moins vulnérable ?

10. Open source vs Solution fermée
Sécurité par l'obscurité

11. Surveillance permanente
Moins de failles de sécurité

12. Processus efficace
Intervention rapide

13. Veille
TYPO3-announce
http://lists.typo3.org

14. Veille
Bulletin de sécurité

15. Bulletins de
sécurité
Niveaux de sévérité
- Critique
- Haut
- Moyen
- Bas

16. Statistique 2011
31 alertes de sécurité
5 alertes pour le noyau
(1 critique, 1 haut, 3 moyens)

17. Extensions
Responsabilité des développeurs

18. Documentation

19. Mises à jour
Mineur
Majeur
4.5.16
4.7.1
LTS

20. LTS

21. Mineur

22. Majeur

23. Veille
TYPO3-announce
http://lists.typo3.org

24. 2011
Deux mises à jour majeures
4.5 lts et 4.6

25. Environnement de
développement
Là où tout commence

26. Environnement sécuritaire
Inaccessible de l'externe
Mots de passe
(Différents, complexes et modifiés régulièrement)

27. Développement sécuritaire

28. Une question de connaissance

29. Informations confidentielles
Vol d'identité
Injection SQL

30. Injection de code
Contournement d'autorisation

31. Cross Site Scripting (XSS)
Cross site Request Forgery (XSRF)

32. Méthodes TYPO3
API TYPO3
Intval
FullQuoteStr
Prepared statment

33. Production
Enlever les extensions
(PHPMyAdmin, QuixPlorer, KickStarter, …)

34. Mots de passe sécuritaire
(Différents, complexes et modifiés régulièrement)
Compte admin, Install Tool, compte édimestre

36. Authentification
et sécurité
TYPO3 supporte de nombreux protocoles et de multiples
mécanismes d'authentification
– https / SSL
– Active Directory / LDAP
– OpenID
– RSA Auth
– Salted Password

37. Gestion des droits
Édimestre
Administration contrôlée

38. Récupération
Historique TYPO3
GIT
Sauvegarde

39. Serveur sécuritaire

40. Système d'exploitation
Apache
MySQL
PHP
Autres librairies

41. Veille technologique
IMPORTANTE

42. Outils de
surveillance
Serveur
&
TYPO3

43. Serveur
Cacti
Outil de performance réseau et serveur

44. Serveur
Solution de surveillance

45. Serveur
Nessus
Audit de sécurité

46. TYPO3
Surveillance sécurité automatisée

47. TYPO3
Rapport d'état
Username

48. TYPO3
Alerte instantanée

49. Merci !
http://typo3.org/
http://typo3-fr.org/
@C_Ricard
@Infoglobe
blogue.infoglobe.ca

50. Questions ?