Ce qu'il ya de bien avec les confs c'est qu'on apprend plein de choses.
Là par exemple c'est tenu la Linuxconfeurope...
Ben figurez vous que la sécurité du kernel dépend d'un module codé à la fin
des années 60 !!! Non ne riez pas APParmor est là..
/goret qotage
“
The first fact to face is that UNIX was not
developed with security, in any realistic
sense, in mind; this fact alone
guarantees a
vast number of holes
.”
Dennis Ritchie, “On the Security of UNIX”,
1979
/end goret qotage
Et du coup root en prend plein la racine :
/start garet qotage
“
It must be recognized that the mere
notion of a super-user is a theoretical,
and usually practical, blemish on any
protection scheme.”
(also from Ritchie 1979)
/end goret qotage
lol...
Bon au moins vers 2005 ils se sont rendus compte que le DAC était obsolète..
A contrario, le mécanisme de sécurité de base d'Unix est très limité, mais il est assez simple pour que la plupart des administrateurs et développeurs le comprennent entièrement. Il fonctionne exactement comme il est censé fonctionner et laisse assez de contrôle pour implémenter les restrictions nécessaires à une sécurité raisonnable sans gêner l'utilisation courante.
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
On 2016-10-09, Nicolas George wrote:
A contrario, le mécanisme de sécurité de base d'Unix est très limité, mais
il est assez simple pour que la plupart des administrateurs et développeurs
le comprennent entièrement. Il fonctionne exactement comme il est censé
fonctionner et laisse assez de contrôle pour implémenter les restrictions
nécessaires à une sécurité raisonnable sans gêner l'utilisation courante.
Je serais probablement millionaire si l'on m'accordait une prime de
un euro pour chaque fichier régulier en mode 777 que je débusque sur
les serveurs web de prod depuis que je bosse.
A contrario, le mécanisme de sécurité de base d'Unix est très limité, mais il est assez simple pour que la plupart des administrateurs et développeurs le comprennent entièrement. Il fonctionne exactement comme il est censé fonctionner et laisse assez de contrôle pour implémenter les restrictions nécessaires à une sécurité raisonnable sans gêner l'utilisation courante.
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
Nicolas George
Bruno Ducrot , dans le message , a écrit :
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient pas être autorisés à toucher un ordinateur même seulement avec un chiffon. Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Bruno Ducrot , dans le message
<slrnnvk2ml.20o1.ducrot@poup.poupinou.org>, a écrit :
Je serais probablement millionaire si l'on m'accordait une prime de
un euro pour chaque fichier régulier en mode 777 que je débusque sur
les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient
pas être autorisés à toucher un ordinateur même seulement avec un chiffon.
Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient pas être autorisés à toucher un ordinateur même seulement avec un chiffon. Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Bruno Ducrot
On 2016-10-09, Nicolas George wrote:
Bruno Ducrot , dans le message , a écrit :
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient pas être autorisés à toucher un ordinateur même seulement avec un chiffon. Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était pas un contre-argument, du moins ce n'était pas mon intention première. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
On 2016-10-09, Nicolas George wrote:
Bruno Ducrot , dans le message
<slrnnvk2ml.20o1.ducrot@poup.poupinou.org>, a écrit :
Je serais probablement millionaire si l'on m'accordait une prime de
un euro pour chaque fichier régulier en mode 777 que je débusque sur
les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient
pas être autorisés à toucher un ordinateur même seulement avec un chiffon.
Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était
pas un contre-argument, du moins ce n'était pas mon intention première.
Je serais probablement millionaire si l'on m'accordait une prime de un euro pour chaque fichier régulier en mode 777 que je débusque sur les serveurs web de prod depuis que je bosse.
Bon, d'accord, il y a aussi des soi-disant administrateurs qui ne devraient pas être autorisés à toucher un ordinateur même seulement avec un chiffon. Mais ça n'a rien à voir avec les mécanismes de sécurité du système.
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était pas un contre-argument, du moins ce n'était pas mon intention première. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
Nicolas George
Bruno Ducrot , dans le message , a écrit :
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était pas un contre-argument, du moins ce n'était pas mon intention première.
Ok. Ce n'était pas évident en première lecture, mais en effet.
Bruno Ducrot , dans le message
<slrnnvk407.20o1.ducrot@poup.poupinou.org>, a écrit :
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était
pas un contre-argument, du moins ce n'était pas mon intention première.
Ok. Ce n'était pas évident en première lecture, mais en effet.
Je ne faisais qu'apporter de l'eau à ton moulin, remarque. Ce n'était pas un contre-argument, du moins ce n'était pas mon intention première.
Ok. Ce n'était pas évident en première lecture, mais en effet.
Bruno Ducrot
On 2016-10-08, The Mover wrote:
Bruno Ducrot a écrit :
Je pense qu'il prêche le faux pour savoir le vrai.
Je poste en charte c'est tout
J'ai essayé de lancer un triple troll AppArmor vs grsec vs DAC. Ca n'a pas marché. Tant pis. J'essairai avec systemd. C'est à la mode en ce moment. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
On 2016-10-08, The Mover wrote:
Bruno Ducrot a écrit :
Je pense qu'il prêche le faux pour savoir le vrai.
Je poste en charte c'est tout
J'ai essayé de lancer un triple troll AppArmor vs grsec vs DAC.
Ca n'a pas marché.
Tant pis. J'essairai avec systemd. C'est à la mode en ce moment.
Je pense qu'il prêche le faux pour savoir le vrai.
Je poste en charte c'est tout
J'ai essayé de lancer un triple troll AppArmor vs grsec vs DAC. Ca n'a pas marché. Tant pis. J'essairai avec systemd. C'est à la mode en ce moment. -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
JKB
Le Sat, 8 Oct 2016 19:51:54 +0000 (UTC), Doug713705 écrivait :
Le 08-10-2016, S.T. nous expliquait dans fr.comp.os.linux.debats () :
Seulement voilà, Linux, et Unix, a réussi s'imposer parce qu'il est élégant, simple, performant, raisonnablement sécurisé (quand les mainteneurs de Debian viennent pas foutre leurs gros doigts dans le code)
OMG, mon Prumpleffer tout juste sorti de révision saigne par tous les ports !
Ah... Le tien aussi ?... Quand est-ce que le fabricant implantera des règles de sécurité sur les trolls récursifs ? JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
Le Sat, 8 Oct 2016 19:51:54 +0000 (UTC),
Doug713705 <doug.letough@free.fr> écrivait :
Le 08-10-2016, S.T. nous expliquait dans
fr.comp.os.linux.debats
(<p0uncd-33p.ln1@touteunehistoire.org>) :
Seulement voilà, Linux, et Unix, a réussi s'imposer parce qu'il est
élégant, simple, performant, raisonnablement sécurisé (quand les
mainteneurs de Debian viennent pas foutre leurs gros doigts dans le
code)
OMG, mon Prumpleffer tout juste sorti de révision saigne par tous les
ports !
Ah... Le tien aussi ?... Quand est-ce que le fabricant implantera
des règles de sécurité sur les trolls récursifs ?
JKB
--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr
=> http://loubardes.de-charybde-en-scylla.fr
Le Sat, 8 Oct 2016 19:51:54 +0000 (UTC), Doug713705 écrivait :
Le 08-10-2016, S.T. nous expliquait dans fr.comp.os.linux.debats () :
Seulement voilà, Linux, et Unix, a réussi s'imposer parce qu'il est élégant, simple, performant, raisonnablement sécurisé (quand les mainteneurs de Debian viennent pas foutre leurs gros doigts dans le code)
OMG, mon Prumpleffer tout juste sorti de révision saigne par tous les ports !
Ah... Le tien aussi ?... Quand est-ce que le fabricant implantera des règles de sécurité sur les trolls récursifs ? JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
JKB
Le Sat, 8 Oct 2016 18:32:02 +0000 (UTC), The Mover écrivait :
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais.. "la sécurité était le cadet de nos soucis en créant unix"
Et pour cause. Va un peu regarder l'architecture de la machine qui a permis le développement de ce qui s'appelait alors UNICS. JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
Le Sat, 8 Oct 2016 18:32:02 +0000 (UTC),
The Mover <the.mover@bsdmail.invalid> écrivait :
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le
méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa
réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais..
"la sécurité était le cadet de nos soucis en créant unix"
Et pour cause. Va un peu regarder l'architecture de la machine qui a
permis le développement de ce qui s'appelait alors UNICS.
JKB
--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr
=> http://loubardes.de-charybde-en-scylla.fr
Le Sat, 8 Oct 2016 18:32:02 +0000 (UTC), The Mover écrivait :
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais.. "la sécurité était le cadet de nos soucis en créant unix"
Et pour cause. Va un peu regarder l'architecture de la machine qui a permis le développement de ce qui s'appelait alors UNICS. JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
JKB
Le Sun, 9 Oct 2016 08:36:27 +0000 (UTC), Bruno Ducrot écrivait :
On 2016-10-08, The Mover wrote:
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais.. "la sécurité était le cadet de nos soucis en créant unix" "le super-user inviolable est un mythe" (trad cppn friendly). Sinon vous avez lu les slides et le reste sur le site ? C'est pas mal. Ou vous vous êtes étranglé en lisant Dennis ?
Je connaissais déjà les propos de Dennis. Je ne me souviens pas de m'ếtre étranglé à l'époque.
"Non ne riez pas APParmor est là" c'était trop serieux, désolé, promis je le ferai plus.
Le problème avec AppArmor est qu'il ne permet pas de finement contrôler root, un peu à la manière de GRsec ou de SELinux. Pour être plus précis, il ne permet pas d'implémenter une politique de séparation des rôles pour la gestion du système : on reste contraint de donner à root les possibilités de mise-à-jour des logiciels, la configuration du réseau, du firewall, des divers daemons assurant les services, etc. Par exemple, imaginons une équipe dédiée qui soit en charge de surveiller les divers services. Ils ont le droit de se connecter en root sur tous les seveurs. Idéalement, ils ne devraient pas avoir le droit de consulter les logs apache, par exemple, ou bien d'accéder aux fichiers d'une base de données, ou d'accéder aux spools des smtp.
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS. JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
Le Sun, 9 Oct 2016 08:36:27 +0000 (UTC),
Bruno Ducrot <ducrot@echo.fr> écrivait :
On 2016-10-08, The Mover wrote:
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le
méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa
réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais..
"la sécurité était le cadet de nos soucis en créant unix"
"le super-user inviolable est un mythe" (trad cppn friendly).
Sinon vous avez lu les slides et le reste sur le site ? C'est pas mal.
Ou vous vous êtes étranglé en lisant Dennis ?
Je connaissais déjà les propos de Dennis. Je ne me souviens pas de
m'ếtre étranglé à l'époque.
"Non ne riez pas APParmor est là" c'était trop serieux, désolé, promis je
le ferai plus.
Le problème avec AppArmor est qu'il ne permet pas de finement contrôler
root, un peu à la manière de GRsec ou de SELinux. Pour être plus précis,
il ne permet pas d'implémenter une politique de séparation des rôles
pour la gestion du système : on reste contraint de donner à root les
possibilités de mise-à-jour des logiciels, la configuration du réseau,
du firewall, des divers daemons assurant les services, etc.
Par exemple, imaginons une équipe dédiée qui soit en charge de surveiller
les divers services. Ils ont le droit de se connecter en root sur tous les
seveurs. Idéalement, ils ne devraient pas avoir le droit de consulter
les logs apache, par exemple, ou bien d'accéder aux fichiers d'une base de
données, ou d'accéder aux spools des smtp.
Toi, tu es mûr pour OpenVMS :-P
La question de base de l'unixien béotien est toujours : quelle est
la commande équivalente à 'su -'... qui n'a strictement aucun sens
sous cet OS.
JKB
--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr
=> http://loubardes.de-charybde-en-scylla.fr
Le Sun, 9 Oct 2016 08:36:27 +0000 (UTC), Bruno Ducrot écrivait :
On 2016-10-08, The Mover wrote:
Bruno Ducrot a écrit :
Sans rire, citer AppArmor comme étant un truc trop bien pour contrer le méchant DAC, de mon point de vue (et peut-être celui de NG, d'où sa réponse), ca ne fait pas vraiment sérieux.
Non le but était de rappeler ces belles phrases de Dennis que j'ignorais.. "la sécurité était le cadet de nos soucis en créant unix" "le super-user inviolable est un mythe" (trad cppn friendly). Sinon vous avez lu les slides et le reste sur le site ? C'est pas mal. Ou vous vous êtes étranglé en lisant Dennis ?
Je connaissais déjà les propos de Dennis. Je ne me souviens pas de m'ếtre étranglé à l'époque.
"Non ne riez pas APParmor est là" c'était trop serieux, désolé, promis je le ferai plus.
Le problème avec AppArmor est qu'il ne permet pas de finement contrôler root, un peu à la manière de GRsec ou de SELinux. Pour être plus précis, il ne permet pas d'implémenter une politique de séparation des rôles pour la gestion du système : on reste contraint de donner à root les possibilités de mise-à-jour des logiciels, la configuration du réseau, du firewall, des divers daemons assurant les services, etc. Par exemple, imaginons une équipe dédiée qui soit en charge de surveiller les divers services. Ils ont le droit de se connecter en root sur tous les seveurs. Idéalement, ils ne devraient pas avoir le droit de consulter les logs apache, par exemple, ou bien d'accéder aux fichiers d'une base de données, ou d'accéder aux spools des smtp.
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS. JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
Bruno Ducrot
On 2016-10-10, JKB wrote:
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS.
Est-ce qu'il y a sudo ? Ok, je sors. Vite. Très vite, même... -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
On 2016-10-10, JKB wrote:
Toi, tu es mûr pour OpenVMS :-P
La question de base de l'unixien béotien est toujours : quelle est
la commande équivalente à 'su -'... qui n'a strictement aucun sens
sous cet OS.
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS.
Est-ce qu'il y a sudo ? Ok, je sors. Vite. Très vite, même... -- Bruno Ducrot A quoi ca sert que Ducrot hisse des carcasses ?
JKB
Le Mon, 10 Oct 2016 13:59:27 +0000 (UTC), Bruno Ducrot écrivait :
On 2016-10-10, JKB wrote:
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS.
Est-ce qu'il y a sudo ?
Non.
Ok, je sors. Vite. Très vite, même...
Tu as intérêt :-P JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
Le Mon, 10 Oct 2016 13:59:27 +0000 (UTC),
Bruno Ducrot <ducrot@echo.fr> écrivait :
On 2016-10-10, JKB wrote:
Toi, tu es mûr pour OpenVMS :-P
La question de base de l'unixien béotien est toujours : quelle est
la commande équivalente à 'su -'... qui n'a strictement aucun sens
sous cet OS.
Est-ce qu'il y a sudo ?
Non.
Ok, je sors. Vite. Très vite, même...
Tu as intérêt :-P
JKB
--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr
=> http://loubardes.de-charybde-en-scylla.fr
Le Mon, 10 Oct 2016 13:59:27 +0000 (UTC), Bruno Ducrot écrivait :
On 2016-10-10, JKB wrote:
Toi, tu es mûr pour OpenVMS :-P La question de base de l'unixien béotien est toujours : quelle est la commande équivalente à 'su -'... qui n'a strictement aucun sens sous cet OS.
Est-ce qu'il y a sudo ?
Non.
Ok, je sors. Vite. Très vite, même...
Tu as intérêt :-P JKB -- Si votre demande me parvient sur carte perforée, je titiouaillerai très volontiers une réponse... => http://grincheux.de-charybde-en-scylla.fr => http://loubardes.de-charybde-en-scylla.fr
