Limiter les applications pour chaque utilisateur

"Alain" a écrit dans le message de news:

Je suis dans le cadre d'une utilisation professionnelle de Linux au sein
d'une grande surface.

héhé.
Je sens que tu vas bien rire.

Je voudrais remplacer des PC sous Windows par des machines sous Linux et
brider les utilisateurs en rayon afin qu'ils n'aient accès qu'au
applications installées sans pouvoir en ajouter d'autres ou en ajouter.
En fait, je voudrais qu'il soit impossible de modifier la configuration
de la machine.

Quels sont les éléments qu'il faut configurer pour installer les
applications requises et interdire toute modification ultérieure?

Et bien, tu n'as pas grand chose à faire.
En règle générale, faut être root pour installer/modifier/supprimer des
logiciels.
Avec ubuntu par exemple, chaque fois que tu veux ajouter un logiciel par
l'interface, il demande le mot de passe root.
De plus l'installation de logiciels sous linux, ne se fait pas pareil que
sous windows.
Donc ceux qui sont habitués à windows ne sauront pas à priori télécharger un
fichier pour l'installer et même si ils tentent de le faire, ça ne
s'installera pas à priori.

Toujours dans ubuntu, au moment ou tu crées le user, tu lui donnes plus ou
moins des droits, genre, l'utilisation du cdrom, de l'imprimante etc...

Bref, installe ubuntu sur un poste, passe un peu de temps dessus et tu
comprendras rapidement que ça fait ce que tu veux "par défaut".

Pour terminer, mes parents voulaient un pc, je leur ai mis windows et j'ai
passé 10h à leur expliquer sur quoi il ne faut pas cliquer, qu'il faut pas
télécharger n'importe quoi, qu'il ne faut pas installer n'importer quoi
etc...
Malgré tout cela, en 1 semaine, le pc était virusé et inutilisable.
J'ai autre chose à foutre que de faire dépanneur windows pour gens
incompétents, j'ai installé ubuntu, j'ai donné assez de droits pour faire ce
qu'ils veulent et j'ai donné aucune consigne d'utilisation.
Des mois plus tard, rien à signaler, il marche impec et ils sont bien
contents.

J'ai compris que windows fait travailler beaucoup de monde et qu'avec la
généralisation de linux, c'est tout un pont des services d'assistances qui
disparaîtrait.

On 12 fév, 12:27, Alain <a.ferr...@free.fr> wrote:

Bonjour à tous

Bonjour,

brider les utilisateurs en rayon afin qu'ils n'aient accès qu'au
applications installées sans pouvoir en ajouter d'autres ou en ajouter.

chowner/chgrouper/chmoder correctement gcc et tar devrait faire
l'affaire

En fait, je voudrais qu'il soit impossible de modifier la configuration
de la machine.

Si tu parles de la conf générale de la machine, ça devrait pas poser
de problème vu que les utilisateurs ne se connecteront pas en root (o;
Par contre si tu ne veux pas qu'ils touchent à la conf spécifique de
leur user, ça risque d'être plus coton...

Quels sont les éléments qu'il faut configurer pour installer les
applications requises et interdire toute modification ultérieure?

Des droits d'acces en lecture/ecriture/exécutions paramétrés
correcement devraient suffire (en supposant que tu n'installeras _que_
les applications nécessaires aux users).

Merci par avance

En espérant t'avoir aidé.

Arol wrote:

Et bien, tu n'as pas grand chose à faire.
En règle générale, faut être root pour installer/modifier/supprimer des
logiciels.

Oui et non.
Pour reprendre ton exemple, si un utilisateur prend les binaires fournis par
Mozilla et openoffice, il peut tout à fait les installer dans son HOME. Et
ti il lui faut les headers de quoi que ce soit, il peut les télécharger et
indiquer au compilateur que les headers se trouve dans $HOME/include par
exemple.
Et dans le scenario parano, imagine que comme ça, il installe qemu, il
arrivera a faire tourner un OS de/dans son $HOME!
Bref,...

"Rakotomandimby (R12y) Mihamina" a écrit dans le message de news:

Et bien, tu n'as pas grand chose à faire.
En règle générale, faut être root pour installer/modifier/supprimer des
logiciels.

Oui et non.
Pour reprendre ton exemple, si un utilisateur prend les binaires fournis
par

Mozilla et openoffice, il peut tout à fait les installer dans son HOME. Et
ti il lui faut les headers de quoi que ce soit, il peut les télécharger et
indiquer au compilateur que les headers se trouve dans $HOME/include par
exemple.
Et dans le scenario parano, imagine que comme ça, il installe qemu, il
arrivera a faire tourner un OS de/dans son $HOME!
Bref,...

Ah mais complètement.
D'ailleurs, je me demande ce que font des linux w4rl0rdZz dans une grande
surface entre le rayon accessoires automobiles et charcuterie des Vosges au
lieu de hacker le pentagone depuis leur bibliothèque universitaire.

On Mon, 12 Feb 2007 13:33:35 +0100, "Arol" <annie.nomat@free.fr>
wrote:

D'ailleurs, je me demande ce que font des linux w4rl0rdZz dans une grande
surface entre le rayon accessoires automobiles et charcuterie des Vosges au
lieu de hacker le pentagone depuis leur bibliothèque universitaire.

Si c'est techniquement faisable, y a un barbu qui a pondu un how-to du
fond de sa bibiothèque universitaire, et si le gars du supermarché
peut pas survivre sans passer ses journées à chatter sur MSN avec sa
copine, il le trouvera ;->

J'ai compris ça à l'époque de Napster, quand un luser infichu de
choisir une imprimante a trouvé le moyen de monter un tunnel HTTP pour
le faire passer, et sur MacOS9, en plus...
--
Nina

Dans le message <news:45d04f04$0$2207$426a74cc@news.free.fr>,
*Alain* tapota sur f.c.o.l.configuration :

brider les utilisateurs en rayon afin qu'ils n'aient accès qu'au
applications installées sans pouvoir en ajouter d'autres ou en ajouter.

Pour qu'un utilisateur ne puisse installer de nouvelles applications, il
faut tout simplement ne pas lui donner les moyens de les récupérer.
Et ce n'est pas en limitant les permissions que l'ont va empêcher un
utilisateur d'y placer les fichiers qui vont bien.

Donc, il faut empêcher l'accès aux supports et périphériques amovibles :
CD-ROM, disquette, USB, Firewire, Ethernet, ...
Et interdire l'accès réseau à des machines permettant la récupération
d'applications : Internet, machine locale non maitrisée, ...

--
Sébastien Monbrun aka TiChou

Arol wrote:

D'ailleurs, je me demande ce que font des linux w4rl0rdZz dans une grande
surface

Eh bien figure toi que dans un lointain passé, les bornes publiques d'Assas
(PAris II) étaient sous RedHat et rebootables facilement (me rappelle plus
si il fallait juste faire Ctrl-Alt-Suppr ou débrancher/rebrancher le cable
d'alim. Au boot, on avait un choix 'single user'. Ben... je te laisse
deviner la suite...
Et alors? Et alors... faut pas sous estimer certains concours de
circonstances.

On Mon, 12 Feb 2007 13:33:35 +0100, "Arol" <annie.nomat@free.fr>
wrote:

D'ailleurs, je me demande ce que font des linux w4rl0rdZz dans une grande
surface entre le rayon accessoires automobiles et charcuterie des Vosges au
lieu de hacker le pentagone depuis leur bibliothèque universitaire.

Si c'est techniquement faisable, y a un barbu qui a pondu un how-to du
fond de sa bibiothèque universitaire, et si le gars du supermarché
peut pas survivre sans passer ses journées à chatter sur MSN avec sa
copine, il le trouvera ;->

J'ai compris ça à l'époque de Napster, quand un luser infichu de
choisir une imprimante a trouvé le moyen de monter un tunnel HTTP pour
le faire passer, et sur MacOS9, en plus...

Bonjour Nina,
Honneur aux dames mais bonjour aussi aux autres :-)

Il y a déjà quelque temps que mes règles du mur de feu bloquent les IP
de msn, yahoo, hotmail etc ... :-)


Mais, quand je vois vos réponses, c'est bien là que le bas blesse.

Sous Windows, j'étais arrivé à tout bloquer, vraiment tout !
pas de click de droite,
rien dans le menu rémarrer
2 applications sur le bureau
impossible de lancer une appli autre que ce qui est prévu
pas de possibilité de modifier même son image de login !

j'espérais que sous Linux ce serait encore plus facile.
Je dispose de l'administration à distance en ssh.
Je peux bloquer les accès réseau par iptables sur chaque pc, ça c'est
relativement simple.
Je peux aussi voir leur home directory, donc c'est peut être là que je
peux agir puisque je peux en avoir une copie et en faire un tar de
sauvegarde pour le comparer et éventuellement le restaurer (même par le
crontab)

Qu'en pensez-vous, les gourous ? ;-)

Alain a commis :

Bonjour à tous

Je suis dans le cadre d'une utilisation professionnelle de Linux au
sein d'une grande surface.
Je voudrais remplacer des PC sous Windows par des machines sous Linux
et brider les utilisateurs en rayon afin qu'ils n'aient accès qu'au
applications installées sans pouvoir en ajouter d'autres ou en
ajouter. En fait, je voudrais qu'il soit impossible de modifier la
configuration de la machine.

Quels sont les éléments qu'il faut configurer pour installer les
applications requises et interdire toute modification ultérieure?

Les applications seraient :
firefox pour un intranet
ssh (si, si :-) ) pour un serveur local
openoffice dans certains cas.

Merci par avance

Amicalement
Alain

BIEN !!!! mais ça ne va pas être de la tarte aux cerises !
et pourtant .... gnu/linux permet plein de choses, et en particulier de
"fabriquer" des modèles de postes calés aux petits oignons.

le principe général : cuisiner une conf "modèle" qu'on clone sur les
postes de travail.

les bases :

matériel :
pas de floppy, pas de lecteur de CD, pas d'usb because cartes flash,
etc,
coincer le bios avec un password dément (la possibilité d'ouvrir la
bécane, retirer l'accu cmos et redémarrer sans passwd existe, elle est
quand même assez faible à côté de la disquette, du cd pirate ou de la
bootrom ethernet).

logiciel :
ne mettre dans le modèle que le strict minimum nécessaire à
l'utilisation prescrite, donc éliminer toute la partie
"développement" (gcc & co), gicler rpm, urpmi, apt, etc (pas
d'installation de nouveaux programmes), restreindre les droits au
maximum (sécurité niveau paranoïaque), pas de console (interdiction des
tty etc), serrer au max iptables/netfilter, déléguer l'authentification
à un serveur "sévère" géré en distant (login/passwords autres que
"toto" et "mirza"), coincer /home (ne laisser que des droits ultra
restreints aux fichiers de conf et interdire le reste), nettoyages
radicaux par cron à fréquence rapide (si un petit malin réussissait
quand même à faire tourner un truc à lui), user et abuser de symlinks
pointant vers /dev/null, coincer l'écriture dans les /tmp, ~ tmp
et /var/tmp (vachement efficace !), mettre tous les hosts en deny sauf
le serveur,

faire résider les applis souhaitées sur le serveur et lui seul,
démarrage avec un script NETTOYEUR (par exemple, un script firefox qui
nettoie tous bookmarks, cache, history, etc, sur le poste requérant et
ne laisse l'accès qu'à l'url de l'intranet).

je laisse à ton imagination et à ta connaissance de ton environnement
(bipèdes compris) le soin de compléter et d'appliquer.

Une indication : j'ai du faire ça chez un client qui en avait marre des
dérives, aberrations et bricolages des Win$ installés sur les postes de
travail (spécialisés magasinage).

Je n'ai installé que WindowMaker comme interface graphique, pas de Gnome
ni de KDE, j'ai éliminé les barres de tâches, applets, etc, interdit
les raccourcis claviers, consoles, bref tout ce qui aurait permis un
accès à l'OS.
je n'ai mis QUE des icônes sur le bureau pointant vers les applis
autorisées, avec un texte très explicite (genre : Lire le code-barre de
l'article, Demander à la base, etc).

On n'utilise que de petits disques de très faible capacité (au début, 10
GO ...), "fabriqués" avec un dd direction "disque" en rack mobile (tous
les postes clients sont matériellement identiques) ; maintenant, on
utilise partimage quand un disque plante, c'est arrivé 3 fois.

Good luck, have a nice trip !

Bonjour et merci pour ta réponse !

BIEN !!!! mais ça ne va pas être de la tarte aux cerises !
Je m'y attends :-)

et pourtant .... gnu/linux permet plein de choses, et en particulier de
"fabriquer" des modèles de postes calés aux petits oignons.

le principe général : cuisiner une conf "modèle" qu'on clone sur les
postes de travail.

les bases :

matériel :
pas de floppy, pas de lecteur de CD, pas d'usb because cartes flash,
etc,
coincer le bios avec un password dément (la possibilité d'ouvrir la
bécane, retirer l'accu cmos et redémarrer sans passwd existe, elle est
quand même assez faible à côté de la disquette, du cd pirate ou de la
bootrom ethernet).

Jusque là, c'est à peu près ok.

logiciel :
ne mettre dans le modèle que le strict minimum nécessaire à
l'utilisation prescrite, donc éliminer toute la partie
"développement" (gcc & co), gicler rpm, urpmi, apt, etc (pas
d'installation de nouveaux programmes),
C'est vrai qu'en éliminant tous les rpm de compile, tar, gz et autres,

on limite pas mal la casse !
Bien vu !

restreindre les droits au
maximum (sécurité niveau paranoïaque), pas de console (interdiction des
tty etc),
Si, j'en aurai besoin pour un ssh vers mon serveur central.

serrer au max iptables/netfilter,
oui, déjà les pc n'ont pas de passerelle, de plus je pourrai interdire

l'accès à tous les autres PC sauf quelques ressources partagées.

déléguer l'authentification
à un serveur "sévère" géré en distant (login/passwords autres que
"toto" et "mirza"),
root / root par exemple ? je l'ai déjà vu ! Si !

coincer /home (ne laisser que des droits ultra
restreints aux fichiers de conf et interdire le reste),
chmod 644 par ex?

nettoyages radicaux par cron à fréquence rapide (si un petit malin réussissait
quand même à faire tourner un truc à lui), user et abuser de symlinks
pointant vers /dev/null, coincer l'écriture dans les /tmp, ~ tmp
et /var/tmp (vachement efficace !), mettre tous les hosts en deny sauf
le serveur,
Oui, le crontab j'y avais pensé, merci de me conforter.

faire résider les applis souhaitées sur le serveur et lui seul,
démarrage avec un script NETTOYEUR (par exemple, un script firefox qui
nettoie tous bookmarks, cache, history, etc, sur le poste requérant et
ne laisse l'accès qu'à l'url de l'intranet).
Google va être mon ami :-)

je laisse à ton imagination et à ta connaissance de ton environnement
(bipèdes compris) le soin de compléter et d'appliquer.
On ne connaît jamais tout !

Une indication : j'ai du faire ça chez un client qui en avait marre des
dérives, aberrations et bricolages des Win$ installés sur les postes de
travail (spécialisés magasinage).

Je n'ai installé que WindowMaker comme interface graphique, pas de Gnome
ni de KDE, j'ai éliminé les barres de tâches, applets, etc, interdit
les raccourcis claviers, consoles, bref tout ce qui aurait permis un
accès à l'OS.
je n'ai mis QUE des icônes sur le bureau pointant vers les applis
autorisées, avec un texte très explicite (genre : Lire le code-barre de
l'article, Demander à la base, etc).
Oui, le click de droite aussi est à bannir et je ne sais pas comment faire.

On n'utilise que de petits disques de très faible capacité (au début, 10
GO ...), "fabriqués" avec un dd direction "disque" en rack mobile (tous
les postes clients sont matériellement identiques) ; maintenant, on
utilise partimage quand un disque plante, c'est arrivé 3 fois.

Oui, ou bien des partitions bien ajustées.

Good luck, have a nice trip !
ça promet !!!

:-)

Merci encore
Alain