Все работает по защищенному https. Какие шаги я должен предпринять, помимо настройки аутентификации пользователя, чтобы быть в безопасности?
Subversion как демон скорее доверяет себе и передает большую часть детализированных пользовательских разрешений обратно в сферу apache. Не могли бы вы рассказать нам подробнее о вашем конкретном сценарии, предлагаете ли вы этот сервер подрывной деятельности для публичного использования?
Когда вы говорите «самозащищенный» https, вы имеете в виду самозаверяющий сертификат? Если да, посмотрите, как вы распространяете сертификат или CA, и убедитесь, что этот путь безопасен сам по себе.
Самоподписанный - это не безопасность; злоумышленник может сгенерировать свои собственные учетные данные и MiTM на реальном сервере. Это оставляет пользователя неуверенным в том, с кем он на самом деле разговаривает, если вы заранее не поделитесь открытым ключом.
Один конкретный шаг, который нужно предпринять в SVN + WebDAV: убедитесь, что файлы авторизации и аутентификации не находятся в дереве корневых документов. Вы же не хотите раздавать что-то подобное людям, особенно если вы используете md5 для htaccess или что-то такое же сломанное.