Ce qu'un protocole peut promettre
Les protocoles ne s’accordent pas sur la seule chose dont le contrôle d’accès a besoin : savoir si le serveur peut dire qui demande.
| SMB | NTLMv2. Le mot de passe ne traverse jamais le réseau, et le partage dit à un lecteur qu’il n’est que lecteur — dans le masque d’accès, avant qu’il n’essaie. |
| WebDAV | HTTP Basic, sur TLS : refusé en clair sur une adresse joignable, sauf si plaintext = true indique qu’un proxy termine TLS devant lui. Un partage qu’une personne ne peut pas utiliser répond 404, pas 403 : son existence n’est pas confirmée. |
| SFTP | Une clé publique, ou un certificat SSH émis par une autorité de confiance : le serveur ne détient jamais le secret, et avec un certificat, l’accès d’une personne est délivré et expire ailleurs. Pas de mot de passe : un client qui en demande un fait précisément ce que les clés existent pour éviter. |
| OIDC (sur WebDAV) | Un jeton porteur (bearer) signé par un fournisseur d’identité. Vérifié par go-authn/oidc : signature, émetteur, audience, expiration. Aucun autre protocole ici n’a d’endroit où en mettre un — S3 signe avec SigV4, qui n’a pas de champ pour un jeton porteur. En SFTP, la parole du fournisseur arrive plutôt dans un certificat. |
| S3 | SigV4, en en-tête ou présigné. Le secret se prouve en calculant un HMAC et ne traverse jamais le réseau — si bien que, comme pour NTLMv2, l’annuaire doit DÉTENIR le mot de passe et pas seulement le vérifier. Un partage est un bucket. |
| NFSv3 | Rien, à lui seul. AUTH_UNIX est une affirmation — le client dit « uid 501 » et le réseau ne peut pas le contredire. Un bloc kerberos lève cette limite, tout comme les identités issues de certificats. TLS le chiffre, et prouve la machine, pas la personne. |
La conséquence, énoncée une fois
Un partage qui nomme qui peut l’utiliser n’est pas exporté en NFS — sauf si Kerberos est configuré, ou si NFS tire les identités de certificats.
Ni un avertissement, ni une option : une configuration qui dit photos appartient à alice
et un protocole qui remet photos à quiconque se connecte ne peuvent pas être honorés tous les deux, et
élargir discrètement l’accès est le pire des deux échecs. Le refus est
affiché au démarrage et dans check, avec sa raison.
Ce que chacun attend d’un annuaire
Les protocoles qui peuvent servir une personne donnée dépendent de ce que sa source peut prouver, et pas de la seule configuration. Voir ce qu’une source peut prouver.
Ce qui est chiffré
WebDAV, S3 et NFS acceptent tls = true ; SMB 3 chiffre avec ses propres clés, et SFTP
est du SSH. Voir TLS, et certificats par ACME.
Créée le par tannevaled
Modifiée le par tannevaled