sudo et with--tty-tickets

Le
François Boisson
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.

Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiendrait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit
demandé le mot de passe.

Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile
et sensible à n'importe quel script exécuté sans faire attention comme sous
windows.

Pour résoudre ce problème il suffit de refaire les paquets sudo en activant
cette option (cf http://forum.debian-fr.org/viewtopic.php?p%2230#p252230 )

J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)

Mais pourquoi diable cette option a-t-elle été supprimée de la configuration
par défaut alors qu'elle me parait un élément basique de sécurité?

François Boisson (qui n'utilise de toute façon pas sudo mais tout de même)

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Gilles Mocellin
Le #21077761
--NzB8fVQJ5HfG6fxh
Content-Type: text/plain; charset=iso-8859-1
Content-Disposition: inline
Content-Transfer-Encoding: quoted-printable

On Thu, Jan 28, 2010 at 09:03:16PM +0100, François Boisson wrote:
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.

Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiend rait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option , seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre s e voit
demandé le mot de passe.

Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine f ragile
et sensible à n'importe quel script exécuté sans faire attention co mme sous
windows.



[...]

Mais pourquoi diable cette option a-t-elle été supprimée de la conf iguration
par défaut alors qu'elle me parait un élément basique de sécurit é?

François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)



Je ne sais pas si c'est la cause, mais il y a un (vieux) bug un peu en rapp ort et toujours ouvert :
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug06919

--NzB8fVQJ5HfG6fxh
Content-Type: application/pgp-signature; name="signature.asc"
Content-Description: Digital signature
Content-Disposition: inline

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.10 (GNU/Linux)

iEYEARECAAYFAktiEJwACgkQDltnDmLJYdAOWwCeJMZvLL2iVmUl2mrFDFGctZ2s
gc4AnjxC8DxOLSglzYB2xF0/guC1nt6J
=IBKp
-----END PGP SIGNATURE-----

--NzB8fVQJ5HfG6fxh--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Edi Stojicevic
Le #21080021
* François Boisson
Je viens de découvrir que le sudo de debian (sur squeeze) est compilé SANS
l'option --with-tty-tickets et configuré par défaut avec un timestamp de 15
minutues.

Cela signifie que si on fait un sudo sur un xterm par exemple, un script
exécuté de manière quelconque comportant un sudo silencieux obtiendrait les
droits (test fait) sans avoir à fournir de mot de passe. Avec l'option, seul
un sudo fait dans la même «console» (même tty ou même fenêtre xterm) se voit
dispensé de fournir ce mot de passe, un sudo dans une autre fenêtre se voit
demandé le mot de passe.

Cela veut dire qu'une utilisation à la Ubuntu de sudo rend la machine fragile
et sensible à n'importe quel script exécuté sans faire attention comme sous
windows.

Pour résoudre ce problème il suffit de refaire les paquets sudo en activant
cette option (cf http://forum.debian-fr.org/viewtopic.php?p%2230#p252230 )

J'ai fait des paquets pour squeeze si cela intéresse des gens (cf lien)

Mais pourquoi diable cette option a-t-elle été supprimée de la configuration
par défaut alors qu'elle me parait un élément basique de sécurité?

François Boisson (qui n'utilise de toute façon pas sudo mais tout de même...)



reportbug ? ou voir avec les la liste "dev" ?

--
.''`. Edi Stojicevic
: :' : Debian GNU/Linux user, admin & developer - http://www.debian.org
`. `~' French speaking Debian website founder - http://www.debianworld.org
`- GPG Key Id : 0x1237B032

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
François Boisson
Le #21096631
Le Fri, 29 Jan 2010 10:25:29 +0100
Edi Stojicevic

reportbug ? ou voir avec les la liste "dev" ?




Fait pour les deux cas.

Pour le reportbug, ça n'a pas été simple à classifier, à mon sens c'est
soit une faille de sécurité, soit rien du tout...). La réponse est que, en
gros, sudo réalise sa fonction, que tout va bien et que personnellement,
l'empaqueteur trouve ce réglage (un timestamp global et non par tty) parfait.

Pour la liste devel, quelques remarques notant effectivement le problème
dont une suggérant de mettre au moins un avertissement dans /etc/sudoers mais
surtout l'avis qu'il faut être un gros nul pour configurer sudo par simple
ajout de user: ALL=(ALL) ALL
dans /etc/sudoers, (même si c'est ce que suggère le manuel de référence de
Debian:

http://www.debian.org/doc/manuals/debian-reference/ch01.fr.html#_sudo_configuration

) et que si on flingue sa machine à cause de cela, c'est bien fait pour sa
tronche (ce que j'ai trouvé très pédagogique et très constructif).

Donc je laisse tomber. En tout état de cause donc, je trouve impératif soit
de refaire le paquet, soit de rajouter

Defaults:user tty_tickets

dans /etc/sudoers (ce qui a le même effet). Le mieux restant de n'utiliser
sudo que pour faire des commandes très précises et délimitées.

François Boisson


François Boisson

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Publicité
Poster une réponse
Anonyme