Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiendrait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit
demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile
et sensible à n'importe quel script exécuté sans faire attention comme sous
windows.
Pour résoudre ce problème il suffit de refaire les paquets sudo en activant
cette option (cf http://forum.debian-fr.org/viewtopic.php?p=252230#p252230 )
J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)
Mais pourquoi diable cette option a-t-elle été supprimée de la configuration
par défaut alors qu'elle me parait un élément basique de sécurité?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
On Thu, Jan 28, 2010 at 09:03:16PM +0100, François Boisson wrote:
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15 minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script exécuté de manière quelconque comportant un sudo silencieux obtiend rait les droits (test fait) sans avoir à fournir de mot de passe. Avec l'option , seul un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre s e voit demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine f ragile et sensible à n'importe quel script exécuté sans faire attention co mme sous windows.
[...]
Mais pourquoi diable cette option a-t-elle été supprimée de la conf iguration par défaut alors qu'elle me parait un élément basique de sécurit é?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
Je ne sais pas si c'est la cause, mais il y a un (vieux) bug un peu en rapp ort et toujours ouvert : http://bugs.debian.org/cgi-bin/bugreport.cgi?bug06919
--NzB8fVQJ5HfG6fxh Content-Type: application/pgp-signature; name="signature.asc" Content-Description: Digital signature Content-Disposition: inline
On Thu, Jan 28, 2010 at 09:03:16PM +0100, François Boisson wrote:
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiend rait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option , seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre s e voit
demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine f ragile
et sensible à n'importe quel script exécuté sans faire attention co mme sous
windows.
[...]
Mais pourquoi diable cette option a-t-elle été supprimée de la conf iguration
par défaut alors qu'elle me parait un élément basique de sécurit é?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
Je ne sais pas si c'est la cause, mais il y a un (vieux) bug un peu en rapp ort et toujours ouvert :
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=306919
--NzB8fVQJ5HfG6fxh
Content-Type: application/pgp-signature; name="signature.asc"
Content-Description: Digital signature
Content-Disposition: inline
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
On Thu, Jan 28, 2010 at 09:03:16PM +0100, François Boisson wrote:
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15 minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script exécuté de manière quelconque comportant un sudo silencieux obtiend rait les droits (test fait) sans avoir à fournir de mot de passe. Avec l'option , seul un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre s e voit demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine f ragile et sensible à n'importe quel script exécuté sans faire attention co mme sous windows.
[...]
Mais pourquoi diable cette option a-t-elle été supprimée de la conf iguration par défaut alors qu'elle me parait un élément basique de sécurit é?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
Je ne sais pas si c'est la cause, mais il y a un (vieux) bug un peu en rapp ort et toujours ouvert : http://bugs.debian.org/cgi-bin/bugreport.cgi?bug06919
--NzB8fVQJ5HfG6fxh Content-Type: application/pgp-signature; name="signature.asc" Content-Description: Digital signature Content-Disposition: inline
-- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers En cas de soucis, contactez EN ANGLAIS
Edi Stojicevic
* François Boisson [2010-01-28 21:03:16 +0100] wrote :
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15 minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script exécuté de manière quelconque comportant un sudo silencieux obtiendrait les droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile et sensible à n'importe quel script exécuté sans faire attention comme sous windows.
Pour résoudre ce problème il suffit de refaire les paquets sudo en activant cette option (cf http://forum.debian-fr.org/viewtopic.php?p%2230#p252230 )
J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)
Mais pourquoi diable cette option a-t-elle été supprimée de la configuration par défaut alors qu'elle me parait un élément basique de sécurité?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
reportbug ? ou voir avec les la liste "dev" ?
-- .''`. Edi Stojicevic : :' : Debian GNU/Linux user, admin & developer - http://www.debian.org `. `~' French speaking Debian website founder - http://www.debianworld.org `- GPG Key Id : 0x1237B032
-- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers En cas de soucis, contactez EN ANGLAIS
* François Boisson <user.anti-spam@maison.homelinux.net> [2010-01-28 21:03:16 +0100] wrote :
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiendrait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit
demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile
et sensible à n'importe quel script exécuté sans faire attention comme sous
windows.
Pour résoudre ce problème il suffit de refaire les paquets sudo en activant
cette option (cf http://forum.debian-fr.org/viewtopic.php?p%2230#p252230 )
J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)
Mais pourquoi diable cette option a-t-elle été supprimée de la configuration
par défaut alors qu'elle me parait un élément basique de sécurité?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
reportbug ? ou voir avec les la liste "dev" ?
--
.''`. Edi Stojicevic
: :' : Debian GNU/Linux user, admin & developer - http://www.debian.org
`. `~' French speaking Debian website founder - http://www.debianworld.org
`- GPG Key Id : 0x1237B032
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
* François Boisson [2010-01-28 21:03:16 +0100] wrote :
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15 minutues.
Cela signifie que si on fait un sudo sur un xterm par exemple, un script exécuté de manière quelconque comportant un sudo silencieux obtiendrait les droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit demandé le mot de passe.
Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile et sensible à n'importe quel script exécuté sans faire attention comme sous windows.
Pour résoudre ce problème il suffit de refaire les paquets sudo en activant cette option (cf http://forum.debian-fr.org/viewtopic.php?p%2230#p252230 )
J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)
Mais pourquoi diable cette option a-t-elle été supprimée de la configuration par défaut alors qu'elle me parait un élément basique de sécurité?
François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)
reportbug ? ou voir avec les la liste "dev" ?
-- .''`. Edi Stojicevic : :' : Debian GNU/Linux user, admin & developer - http://www.debian.org `. `~' French speaking Debian website founder - http://www.debianworld.org `- GPG Key Id : 0x1237B032
-- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers En cas de soucis, contactez EN ANGLAIS
François Boisson
Le Fri, 29 Jan 2010 10:25:29 +0100 Edi Stojicevic a écrit:
reportbug ? ou voir avec les la liste "dev" ?
Fait pour les deux cas.
Pour le reportbug, ça n'a pas été simple à classifier, à mon sens c'est soit une faille de sécurité, soit rien du tout...). La réponse est que, en gros, sudo réalise sa fonction, que tout va bien et que personnellement, l'empaqueteur trouve ce réglage (un timestamp global et non par tty) parfait.
Pour la liste devel, quelques remarques notant effectivement le problème dont une suggérant de mettre au moins un avertissement dans /etc/sudoers mais surtout l'avis qu'il faut être un gros nul pour configurer sudo par simple ajout de user: ALL=(ALL) ALL dans /etc/sudoers, (même si c'est ce que suggère le manuel de référence de Debian:
) et que si on flingue sa machine à cause de cela, c'est bien fait pour sa tronche (ce que j'ai trouvé très pédagogique et très constructif).
Donc je laisse tomber. En tout état de cause donc, je trouve impératif soit de refaire le paquet, soit de rajouter
Defaults:user tty_tickets
dans /etc/sudoers (ce qui a le même effet). Le mieux restant de n'utiliser sudo que pour faire des commandes très précises et délimitées.
François Boisson
François Boisson
-- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers En cas de soucis, contactez EN ANGLAIS
Le Fri, 29 Jan 2010 10:25:29 +0100
Edi Stojicevic <estojicevic@debianworld.org> a écrit:
reportbug ? ou voir avec les la liste "dev" ?
Fait pour les deux cas.
Pour le reportbug, ça n'a pas été simple à classifier, à mon sens c'est
soit une faille de sécurité, soit rien du tout...). La réponse est que, en
gros, sudo réalise sa fonction, que tout va bien et que personnellement,
l'empaqueteur trouve ce réglage (un timestamp global et non par tty) parfait.
Pour la liste devel, quelques remarques notant effectivement le problème
dont une suggérant de mettre au moins un avertissement dans /etc/sudoers mais
surtout l'avis qu'il faut être un gros nul pour configurer sudo par simple
ajout de user: ALL=(ALL) ALL
dans /etc/sudoers, (même si c'est ce que suggère le manuel de référence de
Debian:
) et que si on flingue sa machine à cause de cela, c'est bien fait pour sa
tronche (ce que j'ai trouvé très pédagogique et très constructif).
Donc je laisse tomber. En tout état de cause donc, je trouve impératif soit
de refaire le paquet, soit de rajouter
Defaults:user tty_tickets
dans /etc/sudoers (ce qui a le même effet). Le mieux restant de n'utiliser
sudo que pour faire des commandes très précises et délimitées.
François Boisson
François Boisson
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists
Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Le Fri, 29 Jan 2010 10:25:29 +0100 Edi Stojicevic a écrit:
reportbug ? ou voir avec les la liste "dev" ?
Fait pour les deux cas.
Pour le reportbug, ça n'a pas été simple à classifier, à mon sens c'est soit une faille de sécurité, soit rien du tout...). La réponse est que, en gros, sudo réalise sa fonction, que tout va bien et que personnellement, l'empaqueteur trouve ce réglage (un timestamp global et non par tty) parfait.
Pour la liste devel, quelques remarques notant effectivement le problème dont une suggérant de mettre au moins un avertissement dans /etc/sudoers mais surtout l'avis qu'il faut être un gros nul pour configurer sudo par simple ajout de user: ALL=(ALL) ALL dans /etc/sudoers, (même si c'est ce que suggère le manuel de référence de Debian:
