Je fais tourner une Ubuntu 7.04 24h/24 avec apache2, vsftpd et ssh.
Et je viens d'avoir un problème: j'ai éteint le PC pour rebrancher une
nappe dans le PC et quand j'ai relancé la machine, je n'arrivais plus à
me logguer sous KDE, car certains fichiers avaient vu leurs droits
modifiés.
/dev/null était devenu crw------- , ce qui faisait foiré des test dans
mon ~/.bashrc (j'ai remis crw-rw-rw-)
mon répertoire /home/ftp appartenait à saned (UID=116) au lieu de ftp
(UID=117)
Le problème est que je n'ai aucune idée de quoi regarder dans les logs
pour chercher ce qui a été eventuellement fait sur la machine.
J'ai juste ça dans /var/log/auth.log:
8<-----------8<---------8<----------8<----------8<----------8<----------8<----
Jun 5 12:32:30 Deborah sshd[6521]: Invalid user firebird from 69.50.198.12
Jun 5 12:32:32 Deborah sshd[6521]: Failed password for invalid user firebird
from 69.50.198.12 port 33593 ssh2
Jun 5 12:32:37 Deborah sshd[6523]: Failed password for root from 69.50.198.12
port 33824 ssh2
Jun 5 12:32:38 Deborah sshd[6526]: Invalid user user from 69.50.198.12
Jun 5 12:32:40 Deborah sshd[6526]: Failed password for invalid user user from
69.50.198.12 port 34133 ssh2
[...] essai de 'admin', 'guest', 'sales', 'oracle', ftptest' 'mysql',
'usertest', 'administrator'
Jun 5 12:33:17 Deborah sshd[6544]: Failed password for root from 69.50.198.12
port 36554 ssh2
[...] 20 lignes où seul le port change
Jun 5 12:34:39 Deborah sshd[6728]: Failed password for root from 69.50.198.12
port 42052 ssh2
8<-----------8<---------8<----------8<----------8<----------8<----------8<----
Le simple fait que ce log n'ai pas été nettoyé peut-il me laisser penser
que j'ai eu affaire à un inoffensif script-kiddie ?
L'autre problème (sans doute bien plus grave et qui va en faire hurler
certains), c'est que je ne sais pas sécuriser une machine. J'ai quand
même
PermitRootLogin no
PermitEmptyPasswords no
dans /etc/ssh/sshd.config
mais je n'ai jamais rien compris à la syntaxe d'iptables. Et si un
aimable contributeur du ng pouvait me donner une url pour newbie
complet, je lui en serais reconnaissant.
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Il me semble que pouvoir se connecter en root directement via ssh n'est pas idéal. En plus root, tout le monde connait (c'est la première chose que l'on essaye comme utilisateur), il reste à trouver le mot de passe qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!. Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le nom est peu commun est quand même une sécurité supplèmentaire.
Mais je me trompe peut-être.... Attention, je parle pour des machines accèssibles via Internet. En local, ce serait moins important.
Amitiés de Corse
On 05 Jun 2007 14:38:54 GMT, Corsica <Corsica@laposte.net>:
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la
raison.
Il me semble que pouvoir se connecter en root directement via ssh n'est
pas idéal. En plus root, tout le monde connait (c'est la première chose
que l'on essaye comme utilisateur), il reste à trouver le mot de passe
qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!.
Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le
nom est peu commun est quand même une sécurité supplèmentaire.
Mais je me trompe peut-être....
Attention, je parle pour des machines accèssibles via Internet. En
local, ce serait moins important.
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Il me semble que pouvoir se connecter en root directement via ssh n'est pas idéal. En plus root, tout le monde connait (c'est la première chose que l'on essaye comme utilisateur), il reste à trouver le mot de passe qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!. Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le nom est peu commun est quand même une sécurité supplèmentaire.
Mais je me trompe peut-être.... Attention, je parle pour des machines accèssibles via Internet. En local, ce serait moins important.
Amitiés de Corse
Corsica
On 05 Jun 2007 14:38:54 GMT, Corsica :
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Bon, disons qu'au coin du bois, un méchant trouve une disquette avec ma clé.
Disons que le vilain, dans un éclair de génie, sache qu'il faille se connecter avec l'utilisateur zebulon (exemple)
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
Le coquin n'est toujours qu'en utilisateur de base sur mon serveur, il ne peut pas faire grand chose. Il doit encore trouver le mot de passe root.
Mais à ce stade, je lui conseille le loto, vu la chance qu'il a ......
Amitiés de Corse
On 05 Jun 2007 14:38:54 GMT, Corsica <Corsica@laposte.net>:
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la
raison.
Bon, disons qu'au coin du bois, un méchant trouve une disquette avec ma clé.
Disons que le vilain, dans un éclair de génie, sache qu'il faille se
connecter avec l'utilisateur zebulon (exemple)
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma
paraphrase.
Le coquin n'est toujours qu'en utilisateur de base sur mon serveur, il
ne peut pas faire grand chose. Il doit encore trouver le mot de passe root.
Mais à ce stade, je lui conseille le loto, vu la chance qu'il a ......
Je me suis mal exprimé, je voulais dire pas de connexion possible en root.
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Bon, disons qu'au coin du bois, un méchant trouve une disquette avec ma clé.
Disons que le vilain, dans un éclair de génie, sache qu'il faille se connecter avec l'utilisateur zebulon (exemple)
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
Le coquin n'est toujours qu'en utilisateur de base sur mon serveur, il ne peut pas faire grand chose. Il doit encore trouver le mot de passe root.
Mais à ce stade, je lui conseille le loto, vu la chance qu'il a ......
Amitiés de Corse
Fabien LE LEZ
On 05 Jun 2007 16:23:33 GMT, Corsica :
Il me semble que pouvoir se connecter en root directement via ssh n'est pas idéal.
J'ai l'impression qu'il s'agit d'une idée reçue. Mais si quelqu'un a une raison sérieuse à me proposer, je suis toute ouïe.
Par contre, il est vrai qu'il ne faut se connecter en root que si on a réellement besoin des droits associés.
En plus root, tout le monde connait (c'est la première chose que l'on essaye comme utilisateur), il reste à trouver le mot de passe qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!.
Le mot de passe doit bien sûr être sérieux. Si tu mets comme mot de passe "toto" pour quelque utilisateur que ce soit, alors bien sûr c'est facile d'entrer sur ta machine.
Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le nom est peu commun est quand même une sécurité supplèmentaire.
En d'autres termes, tu suggères que le nom d'utilisateur soit une partie de la clé d'authentification (c'est-à-dire, un nom d'utilisateur difficile à trouver). Je suis franchement contre, car ce n'est pas du tout fait pour ça. D'une manière générale, la liste des noms d'utilisateurs sur une machine n'est pas une information secrète. Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et un mot de passe fort.
On 05 Jun 2007 16:23:33 GMT, Corsica <Corsica@laposte.net>:
Il me semble que pouvoir se connecter en root directement via ssh n'est
pas idéal.
J'ai l'impression qu'il s'agit d'une idée reçue. Mais si quelqu'un a
une raison sérieuse à me proposer, je suis toute ouïe.
Par contre, il est vrai qu'il ne faut se connecter en root que si on a
réellement besoin des droits associés.
En plus root, tout le monde connait (c'est la première chose
que l'on essaye comme utilisateur), il reste à trouver le mot de passe
qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!.
Le mot de passe doit bien sûr être sérieux. Si tu mets comme mot de
passe "toto" pour quelque utilisateur que ce soit, alors bien sûr
c'est facile d'entrer sur ta machine.
Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le
nom est peu commun est quand même une sécurité supplèmentaire.
En d'autres termes, tu suggères que le nom d'utilisateur soit une
partie de la clé d'authentification (c'est-à-dire, un nom
d'utilisateur difficile à trouver).
Je suis franchement contre, car ce n'est pas du tout fait pour ça.
D'une manière générale, la liste des noms d'utilisateurs sur une
machine n'est pas une information secrète.
Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et
un mot de passe fort.
Il me semble que pouvoir se connecter en root directement via ssh n'est pas idéal.
J'ai l'impression qu'il s'agit d'une idée reçue. Mais si quelqu'un a une raison sérieuse à me proposer, je suis toute ouïe.
Par contre, il est vrai qu'il ne faut se connecter en root que si on a réellement besoin des droits associés.
En plus root, tout le monde connait (c'est la première chose que l'on essaye comme utilisateur), il reste à trouver le mot de passe qui dans ce cas a vraiment intéret a être blindé, sinon c'est Carnaval !!!!.
Le mot de passe doit bien sûr être sérieux. Si tu mets comme mot de passe "toto" pour quelque utilisateur que ce soit, alors bien sûr c'est facile d'entrer sur ta machine.
Le fait de ne pouvoir se connecter en ssh que via un utilisateur dont le nom est peu commun est quand même une sécurité supplèmentaire.
En d'autres termes, tu suggères que le nom d'utilisateur soit une partie de la clé d'authentification (c'est-à-dire, un nom d'utilisateur difficile à trouver). Je suis franchement contre, car ce n'est pas du tout fait pour ça. D'une manière générale, la liste des noms d'utilisateurs sur une machine n'est pas une information secrète. Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et un mot de passe fort.
Eric Masson
Fabien LE LEZ writes:
'Lut,
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Pour passer root sur la machine, il faut d'abord casser le mot de passe d'un compte non privilégié et de là trouver un moyen de passer root, (exploit local ou cassage du mot de passe) ce qui fait une étape supplémentaire.
On adhère ou pas, mais ça se tient...
-- Lu sur linux.wine.users :
I have a bottle of Haut Medoc from 1971 and wondered if anyone on this BB could advise as to possible value and drinkability. -+- PB in Guide du linuxien pervers - "Important ça, la drinkability !" -+-
Fabien LE LEZ <gramster@gramster.com> writes:
'Lut,
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la
raison.
Pour passer root sur la machine, il faut d'abord casser le mot de passe
d'un compte non privilégié et de là trouver un moyen de passer root,
(exploit local ou cassage du mot de passe) ce qui fait une étape
supplémentaire.
On adhère ou pas, mais ça se tient...
--
Lu sur linux.wine.users :
I have a bottle of Haut Medoc from 1971 and wondered if anyone on this BB
could advise as to possible value and drinkability.
-+- PB in Guide du linuxien pervers - "Important ça, la drinkability !" -+-
J'avais bien compris. Mais ce que je n'ai pas compris, c'est la raison.
Pour passer root sur la machine, il faut d'abord casser le mot de passe d'un compte non privilégié et de là trouver un moyen de passer root, (exploit local ou cassage du mot de passe) ce qui fait une étape supplémentaire.
On adhère ou pas, mais ça se tient...
-- Lu sur linux.wine.users :
I have a bottle of Haut Medoc from 1971 and wondered if anyone on this BB could advise as to possible value and drinkability. -+- PB in Guide du linuxien pervers - "Important ça, la drinkability !" -+-
Corsica
On 05 Jun 2007 16:23:33 GMT, Corsica : Je suis franchement contre, car ce n'est pas du tout fait pour ça. D'une manière générale, la liste des noms d'utilisateurs sur une machine n'est pas une information secrète. Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et un mot de passe fort.
Sur le principe on est d'accord, mais je préfere avoir une mot de passe fort ET un nom d'utilisateur pas évident à trouver. Faut d'abord qu'il trouve l'utilisateur, puis le mot de passe Ensuite, il lui restera a recommencer avec root, qui bien évidemment aura AUSSI un mot de passe fort.
Amitiés de Corse
On 05 Jun 2007 16:23:33 GMT, Corsica <Corsica@laposte.net>:
Je suis franchement contre, car ce n'est pas du tout fait pour ça.
D'une manière générale, la liste des noms d'utilisateurs sur une
machine n'est pas une information secrète.
Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et
un mot de passe fort.
Sur le principe on est d'accord, mais je préfere avoir une mot de passe
fort ET un nom d'utilisateur pas évident à trouver.
Faut d'abord qu'il trouve l'utilisateur, puis le mot de passe
Ensuite, il lui restera a recommencer avec root, qui bien évidemment
aura AUSSI un mot de passe fort.
On 05 Jun 2007 16:23:33 GMT, Corsica : Je suis franchement contre, car ce n'est pas du tout fait pour ça. D'une manière générale, la liste des noms d'utilisateurs sur une machine n'est pas une information secrète. Mieux vaut avoir un nom d'utilisateur quelconque (y compris root), et un mot de passe fort.
Sur le principe on est d'accord, mais je préfere avoir une mot de passe fort ET un nom d'utilisateur pas évident à trouver. Faut d'abord qu'il trouve l'utilisateur, puis le mot de passe Ensuite, il lui restera a recommencer avec root, qui bien évidemment aura AUSSI un mot de passe fort.
Amitiés de Corse
Fabien LE LEZ
On 05 Jun 2007 16:30:31 GMT, Corsica :
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root, multiplie par deux le temps nécessaire à l'accès par un pirate, et par deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un chiffre) au mot de passe root multiplie par 62[*] ce temps pour un pirate, et l'augmente à peine pour l'utilisateur légitime.
On 05 Jun 2007 16:30:31 GMT, Corsica <Corsica@laposte.net>:
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma
paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver
le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root,
multiplie par deux le temps nécessaire à l'accès par un pirate, et par
deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un
chiffre) au mot de passe root multiplie par 62[*] ce temps pour un
pirate, et l'augmente à peine pour l'utilisateur légitime.
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root, multiplie par deux le temps nécessaire à l'accès par un pirate, et par deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un chiffre) au mot de passe root multiplie par 62[*] ce temps pour un pirate, et l'augmente à peine pour l'utilisateur légitime.
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root, multiplie par deux le temps nécessaire à l'accès par un pirate, et par deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un chiffre) au mot de passe root multiplie par 62[*] ce temps pour un pirate, et l'augmente à peine pour l'utilisateur légitime.
Nous n'arriverons pas à nous mettre d'accord, je continuerai à interdire l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une perte de sécurité plutôt qu'un avantage.
Mais je comprends votre raisonnement, bien que je ne partage pas.
Amitiés de Corse
On 05 Jun 2007 16:30:31 GMT, Corsica <Corsica@laposte.net>:
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma
paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver
le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root,
multiplie par deux le temps nécessaire à l'accès par un pirate, et par
deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un
chiffre) au mot de passe root multiplie par 62[*] ce temps pour un
pirate, et l'augmente à peine pour l'utilisateur légitime.
Nous n'arriverons pas à nous mettre d'accord, je continuerai à interdire
l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une
perte de sécurité plutôt qu'un avantage.
Mais je comprends votre raisonnement, bien que je ne partage pas.
Disons que le sournois a un coup de bol monstrueux et qu'il trouve ma paraphrase.
S'il est capable de la trouver, il est tout aussi capable de trouver le mot de passe root.
Avoir deux mots de passe successifs pour arriver jusqu'à root, multiplie par deux le temps nécessaire à l'accès par un pirate, et par deux le temps nécessaire à l'accès par l'utilisateur légitime.
Rajouter un caractère (mettons, pour simplifier, une lettre ou un chiffre) au mot de passe root multiplie par 62[*] ce temps pour un pirate, et l'augmente à peine pour l'utilisateur légitime.
Nous n'arriverons pas à nous mettre d'accord, je continuerai à interdire l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une perte de sécurité plutôt qu'un avantage.
Mais je comprends votre raisonnement, bien que je ne partage pas.
Amitiés de Corse
Fabien LE LEZ
On 05 Jun 2007 17:36:20 GMT, Corsica :
je continuerai à interdire l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une perte de sécurité plutôt qu'un avantage.
Je n'ai pas dit que ça constitue une perte de sécurité[*]. Je dis juste que c'est une perte de confort, pour un gain en sécurité à peu près nul.
[*] Quoique... C'est comme avoir deux firewalls l'un derrière l'autre : on a tendance à faire moins attention à leurs configurations que quand on n'en a qu'un seul.
On 05 Jun 2007 17:36:20 GMT, Corsica <Corsica@laposte.net>:
je continuerai à interdire
l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une
perte de sécurité plutôt qu'un avantage.
Je n'ai pas dit que ça constitue une perte de sécurité[*]. Je dis
juste que c'est une perte de confort, pour un gain en sécurité à peu
près nul.
[*] Quoique... C'est comme avoir deux firewalls l'un derrière
l'autre : on a tendance à faire moins attention à leurs configurations
que quand on n'en a qu'un seul.
je continuerai à interdire l'accès root tant que l'on ne m'aura pas prouvé que cela constitue une perte de sécurité plutôt qu'un avantage.
Je n'ai pas dit que ça constitue une perte de sécurité[*]. Je dis juste que c'est une perte de confort, pour un gain en sécurité à peu près nul.
[*] Quoique... C'est comme avoir deux firewalls l'un derrière l'autre : on a tendance à faire moins attention à leurs configurations que quand on n'en a qu'un seul.
Thierry B
On 2007-06-05, Eric Masson wrote:
Pour passer root sur la machine, il faut d'abord casser le mot de passe d'un compte non privilégié et de là trouver un moyen de passer root, (exploit local ou cassage du mot de passe) ce qui fait une étape supplémentaire.
On adhère ou pas, mais ça se tient...
Je pense, oui. Et ça laisse quelques secondes à un détecteur
d'intrusion pour réagir.
-- "Forty-two!" "Is that all you've got to show for seven and a half million years of work?" "I checked it very thoroughly", said the computer...
On 2007-06-05, Eric Masson <emss@free.fr> wrote:
Pour passer root sur la machine, il faut d'abord casser le mot de passe
d'un compte non privilégié et de là trouver un moyen de passer root,
(exploit local ou cassage du mot de passe) ce qui fait une étape
supplémentaire.
On adhère ou pas, mais ça se tient...
Je pense, oui. Et ça laisse quelques secondes à un détecteur
d'intrusion pour réagir.
--
"Forty-two!"
"Is that all you've got to show for seven and a half million years of work?"
"I checked it very thoroughly", said the computer...
Pour passer root sur la machine, il faut d'abord casser le mot de passe d'un compte non privilégié et de là trouver un moyen de passer root, (exploit local ou cassage du mot de passe) ce qui fait une étape supplémentaire.
On adhère ou pas, mais ça se tient...
Je pense, oui. Et ça laisse quelques secondes à un détecteur
d'intrusion pour réagir.
-- "Forty-two!" "Is that all you've got to show for seven and a half million years of work?" "I checked it very thoroughly", said the computer...
Mihamina (R12y) Rakotomandimby
Fabien LE LEZ - :
Je dis juste que c'est une perte de confort, pour un gain en sécurité à peu près nul.
Passer par deux mot de passes plutot qu'un seul est-il vraiment un gain "a peu pres nul"?
Fabien LE LEZ - <f58b63hdl01mci7ko2ahtfccceabchrd5d@4ax.com> :
Je dis
juste que c'est une perte de confort, pour un gain en sécurité à peu
près nul.
Passer par deux mot de passes plutot qu'un seul est-il vraiment un gain "a
peu pres nul"?
