Tomcat Manager中的安全风险可从外部访问

Question

我打算通过这样的子域访问Tomcat（8.5）Manager：https://tomcat.mydomain.com。

正如您所看到的那样，连接是通过HTTPS进行的，但是，这是否会带来安全风险并被视为“不良做法”？

有人认为我注意到，通过查看mydomain.com的证书，您可以看到https://tomcat.mydomain.com确实存在。这意味着默默无闻的安全性不高。

当然，重要的是让tomcat帐户设置正确并受密码保护，我有。

Answer 1

让端点可公开访问本身并不存在安全风险。但是，在决定是否公开公开管理界面时，您可能还需要考虑其他因素：

1. 有多少人拥有该服务的凭据？
2. 所有这些人都可以信任好密码吗？
3. 所有这些人都可以信任不要在多个网站上重复使用密码吗？
4. 您是否启用了锁定功能（如果在Manager应用程序中使用Tomcat身份验证，则默认情况下已启用）？
5. 锁定会不堪重负？ （考虑锁定实施）
6. 管理员是否需要公开访问管理员？
7. 您可以>在公共和管理界面之间添加额外的安全层吗？

通常，我通常选择不向公众公开管理接口。我几乎总是要求管理用户在访问任何管理界面之前通过其他门，例如ssh隧道（只有公钥访问），然后他们大多数也通过该界面再次验证（即你由于您已建立隧道，因此不会自动信任。

如果我打算向公众公开一个管理界面，我想除了基于密码的身份验证之外我还想要一些东西。还应该涉及其他一些因素，无论是像TOTP或类似的常见2FA解决方案，还是TLS客户端证书（＆＃34;相互认证＆＃34;）。

关于升级凭据安全性有presentation on the Tomcat web site。其中有示例代码和配置，用于在Tomcat的现有身份验证系统中设置TOTP。您可能希望阅读该演示文稿，并考虑是否要将这样的保护添加到管理界面。