Attention : vous consultez actuellement la documentation dédiée aux versions 1.x de Moodle. La documentation pour les versions 2.x de Moodle est consultable ici : Notes de mise à jour de Moodle 1.8.11, celle pour les versions 3.x de Moodle est consultable ici : Notes de mise à jour de Moodle 1.8.11 et celle pour Moodle 4.x est consultable là : Notes de mise à jour de Moodle 1.8.11.

« Notes de mise à jour de Moodle 1.8.11 » : différence entre les versions

De MoodleDocs
Aller à :navigation, rechercher
Aucun résumé des modifications
Ligne 1 : Ligne 1 :
En cours de développement : version 1.8.10+
Date de sortie : 25 novembre 2009


Voici la liste des [http://tracker.moodle.org/browse/MDL/fixforversion/10383 détails sur les évolutions et corrections de bogues] de cette version 1.8.11 (en anglais).
Voici la liste des [http://tracker.moodle.org/browse/MDL/fixforversion/10383 détails sur les évolutions et corrections de bogues] de cette version 1.8.11 (en anglais).
=== Changements fonctionnels ===
* Pour imposer l'amélioration de la qualité des mots de passe, et réduire ainsi les risques d'attaque md5, la [[Politique de mot de passe|politique de mot de passe]] est activée par défaut dans les nouvelles installations, et lors de la mise à jour vers Moodle 1.8.11.
:La politique de mot de passe est configurable dans ''Administration > Sécurité > [[Règles site]]''. Par défaut, les mots de passe doivent avoir au moins 8 caractères, parmi lesquels un chiffre, une lettre minuscule, une lettre majuscule et un caractère non-alphanumérique.
* Une fois la mise à jour à 1.8.11 effectuée, il est demandé aux administrateurs de modifier leur mot de passe, lors de la connexion suivante (seulement pour la méthode d'authentification manuelle et les comptes créés via auto-enregistrement par courriel).
* Afin de réduire considérablement le risque de vol de mot de passe, un [[Salage de mot de passe|sel de mot de passe]] est défini dans le fichier ''[[Fichier de configuration|config.php]]'' lors des nouvelles installations. Lors des mises à jour vers Moodle 1.8.11, un message de notification est envoyé aux administrateurs, leur recommandant de définir un tel sel de mot de passe.
* Les enseignants perdent la possibilité d'inclure les données des utilisateurs dans les sauvegardes de cours et de restaurer les sauvegardes contenant de telles données, suite à l'introduction des nouvelles capacités [[Capabilities/moodle/backup:userinfo|moodle/backup:userinfo]] et [[Capabilities/moodle/restore:userinfo|moodle/restore:userinfo]], qui ne sont pas autorisées par défaut pour les enseignants. Les administrateurs de sites comportant des rôles personnalisés sont encouragés à contrôler soigneusement ces permissions. Ils peuvent restaurer ces permissions et sont avertis des risques encourus dans ce cas.
* Les empreintes md5 des mots de passe des utilisateurs ne sont plus enregistrées dans les fichiers de sauvegarde contenant des données d'utilisateurs. Après restauration d'une sauvegarde sur un nouveau site Moodle, les utilisateurs de ce site devront récupérer leur mot de passe à l'aide de l'outil de récupération du mot de passe.


=== Sécurité ===
=== Sécurité ===
Cette version contient de nombreux correctifs de sécurité et de confidentialité liés à la manipulation de données et mots de passe d'utilisateur dans les sauvegardes Moodle (MDL-20851). (Notez que MDL-20851 et tous les points de sécurité suivants ont actuellement un niveau de paramètre de sécurité qui restreint l'accès).
IMPORTANT : La [[Mise à jour à Moodle 1.8|mise à jour vers Moodle 1.8.11]] est fortement recommandée !
 
* Les mots de passe et secrets ne sont plus enregistrés dans les sauvegardes.
* MDL-20838 - Hashed user passwords are no longer saved in backup files containing user data.
* Nouvelles capacités [[Capabilities/moodle/backup:userinfo|moodle/backup:userinfo]] et [[Capabilities/moodle/restore:userinfo|moodle/restore:userinfo]] pour contrôler qui peut sauvegarder/restaurer les données des utilisateurs.
:If anyone really needs passwords to be saved (in rare case of restoring a backup with user data to a different site)  <code>$CFG->includeuserpasswordsinbackups</code> may be added to ''config.php''.
* Une [[Politique de mot de passe|politique de mot de passe]] stricte est activée par défaut.
* MDL-20846 - Restore has been fixed to cope with missing user password hashes in backups containing new user data. It will set the password to a special value that prevents login. The next time that user tries to log in with their username on this new site they get an explanation and are led through the standard password recovery process.
* L'ajout d'un [[Salage de mot de passe|sel de mot de passe]] dans le fichier ''[[Fichier de configuration|config.php]]'' est encouragé.
* MDL-18807 Afin de réduire considérablement le risque de vol de mot de passe, un [[Salage de mot de passe|sel de mot de passe]] est défini dans le fichier ''config.php'' lors de l'installation de Moodle 1.9.7 ; lors des mises à jour vers cette version, un message de notification recommande fortement de définir un tel sel de mot de passe. En outre, le [[Panorama de sécurité|panorama de sécurité]] affiche un avertissement si le sel de mot de passe n'est pas défini.
* Les administrateurs sont forcés à changer leur mot de passe après la mise à jour.
* MDL-20834 - Nouvelle capacité [[Capabilities/moodle/backup:userinfo|moodle/backup:userinfo]] permet aux administrateurs de choisir si les enseignants peuvent inclure les données utilisateur dans les sauvegardes de cours. La capacité est autorisée par défaut uniquement pour le rôle administrateur. Le [[Panorama de sécurité|panorama de sécurité]] indique les rôles ayant cette capacité autorisée.
* Empreintes MD5 superflues retirées de la table « user » de la base de données.
* MDL-20849 - Nouvelle capacité [[Capabilities/moodle/restore:userinfo|moodle/restore:userinfo]] pour autoriser les enseignants à restaurer les données utilisateur (y compris la création de nouveau compte utilisateur si nécessaire). Non autorisée par défaut, comme ci-dessus.
* Contrôle d'accès invalide aux applications corrigé dans l'interface [[Réseau Moodle|MNET]].
* MDL-20853 - To protect sites from old backups that are not accessible to Moodle, after upgrading to 1.9.7, admins are prompted to change their password on next login.
* Plusieurs problèmes [http://fr.wikipedia.org/wiki/Cross-site_request_forgery CSRF] corrigés.
* MDL-9251 - L'option de [[Sauvegarde de cours|sauvegarder un cours]] avec tous les utilisateurs du site, ou de [[Restauration|restaurer un cours]] avec tous les utilisateurs du site, est disponible uniquement pour les utilisateurs ayant des droits sur la capacité [[Capabilities/moodle/site:backup|moodle/site:backup]] dans le contexte système.
* Révélation de comptes utilisateurs corrigée dans le module [[LAMS]].
* Contrôle d'accès insuffisant corrigé dans le module [[Glossaire]].
* Les informations de connexion sont toujours envoyées de façon sécurisé lors de l'utilisation de SSL pour les connexions.
* Injection SQL corrigée dans le module [[SCORM]].


<noinclude>=== Voir aussi ===
<noinclude>=== Voir aussi ===

Version du 26 novembre 2009 à 15:12

Date de sortie : 25 novembre 2009

Voici la liste des détails sur les évolutions et corrections de bogues de cette version 1.8.11 (en anglais).

Changements fonctionnels

  • Pour imposer l'amélioration de la qualité des mots de passe, et réduire ainsi les risques d'attaque md5, la politique de mot de passe est activée par défaut dans les nouvelles installations, et lors de la mise à jour vers Moodle 1.8.11.
La politique de mot de passe est configurable dans Administration > Sécurité > Règles site. Par défaut, les mots de passe doivent avoir au moins 8 caractères, parmi lesquels un chiffre, une lettre minuscule, une lettre majuscule et un caractère non-alphanumérique.
  • Une fois la mise à jour à 1.8.11 effectuée, il est demandé aux administrateurs de modifier leur mot de passe, lors de la connexion suivante (seulement pour la méthode d'authentification manuelle et les comptes créés via auto-enregistrement par courriel).
  • Afin de réduire considérablement le risque de vol de mot de passe, un sel de mot de passe est défini dans le fichier config.php lors des nouvelles installations. Lors des mises à jour vers Moodle 1.8.11, un message de notification est envoyé aux administrateurs, leur recommandant de définir un tel sel de mot de passe.
  • Les enseignants perdent la possibilité d'inclure les données des utilisateurs dans les sauvegardes de cours et de restaurer les sauvegardes contenant de telles données, suite à l'introduction des nouvelles capacités moodle/backup:userinfo et moodle/restore:userinfo, qui ne sont pas autorisées par défaut pour les enseignants. Les administrateurs de sites comportant des rôles personnalisés sont encouragés à contrôler soigneusement ces permissions. Ils peuvent restaurer ces permissions et sont avertis des risques encourus dans ce cas.
  • Les empreintes md5 des mots de passe des utilisateurs ne sont plus enregistrées dans les fichiers de sauvegarde contenant des données d'utilisateurs. Après restauration d'une sauvegarde sur un nouveau site Moodle, les utilisateurs de ce site devront récupérer leur mot de passe à l'aide de l'outil de récupération du mot de passe.

Sécurité

IMPORTANT : La mise à jour vers Moodle 1.8.11 est fortement recommandée !

  • Les mots de passe et secrets ne sont plus enregistrés dans les sauvegardes.
  • Nouvelles capacités moodle/backup:userinfo et moodle/restore:userinfo pour contrôler qui peut sauvegarder/restaurer les données des utilisateurs.
  • Une politique de mot de passe stricte est activée par défaut.
  • L'ajout d'un sel de mot de passe dans le fichier config.php est encouragé.
  • Les administrateurs sont forcés à changer leur mot de passe après la mise à jour.
  • Empreintes MD5 superflues retirées de la table « user » de la base de données.
  • Contrôle d'accès invalide aux applications corrigé dans l'interface MNET.
  • Plusieurs problèmes CSRF corrigés.
  • Révélation de comptes utilisateurs corrigée dans le module LAMS.
  • Contrôle d'accès insuffisant corrigé dans le module Glossaire.
  • Les informations de connexion sont toujours envoyées de façon sécurisé lors de l'utilisation de SSL pour les connexions.
  • Injection SQL corrigée dans le module SCORM.

Voir aussi

Récupérée de « https://docs.moodle.org/19/fr/index.php?title=Notes_de_mise_à_jour_de_Moodle_1.8.11&oldid=9463 »
Powered by MediaWiki