Sécurité: Debian vs Mandrake

Il y a un livre de Bruce Schneier qui parle de tes problèmes, mais comme
ils sont entre ton écran et ton clavier, je doute que tu comprennes.

Quels problèmes? Aucun problème avec Mandriva! T'es bien sûr que tu ne
veux pas tenter de faire ce que Potty Potard n'a pu faire faute de
preuves et m'expliquer comment Etch a été sécurisé?

Tu as configuré Kerberos, toi ? Tu veux faire croire çà qui ?

Mets-en! Un lein symbolique et AppArmor est foutu. (Et s'il est pas
symbolique?) N'empêche, j'ai fait 15 minutes sur le net avec Debian et
Ubuntu, une deuxième fois 2 heures avec Ubuntu après avoir créé une
partition /tmp, et là, mine rien, ça fait des semaines que je navigue
avec Mandriva. Tout d'un coup, plus aucun problème entre la chaise et le
clavier!

C'est à se taper le cul par terre...

Ceci dit, les distributions qui arrivent à limiter l'accès à l'Internet
à "Yugo" - et seulement à lui - méritent largement la palme des
distributions les mieux sécurisées... pour les autres.

Doug713705 wrote:

Dos à l'écran avec le clavier sur les genoux ou assis sur le clavier ?
Ca pourrait expliquer les problèmes rencontrés à l'installation de debian.

La fameux problème du mot de passe? :-)

--
Huile Essentielle de Camphre http://www.huile-camphre.fr
Infogerance http://www.infogerance.us
(Serveurs, Postes de travail, Développement logiciel)

Yugo wrote:

Je me demande comment tu peux arriver à ce genre de conclusion en te
basant sur un document qui prétend être vieux de 2 ans et qui est
visiblement plein d'imprécisions (par exemple, il prétend que la dernière
version de Debian est la 3.1, et que les amd64 ne sont pas encore
supportés...)
Tiré du document:

"Actuellement, la version `stable' est un lien symbolique vers `etch'
(c.-à-d. Debian GNU/Linux 3.1)"

À ce que je sache, Etch est toujours la version stable.

Oui, mais Etch est la version 4.0. Je ne vois pas comment un document qui ne
connaît même pas les versions de la distribution qu'il est censé décrire
peut te paraître pertinent au niveau de la politique de sécurité de la dite
distribution.

Non, non, mais, vas-y! Tu me cites le passage où il est clairement
expliqué que lesdits paquets:

Ou alors tu vas voir dans la liste des paquets de stables :
sepol-utils
libsepol1
paxctl
gradm2
libkrb53
sont installés par défaut. Autrement, pour el newbie, la configuration

risque d'être longuette.

Le newbie n'a aucun besoin de ces choses là. Dans tous les cas, pour mettre
en oeuvre ces choses là de façon efficace, la configuration est longuette ;
l'installation en elle-même prend un temps négligeable.

Oui, oui, supporte, mais ce n'est pas installé. Pourquoi
n'installent-ils pas quelque chose, si c'est si simple? Apparmor, est
installé sur Mandrake et, à ce que j'ai pu constater, ça fonctionne fort
bien. Tu n'as même pas à te casser la tête pendant cinq minutes. Idem
pour Suse, idem pour Red Hat avec SeLinux.

Et ? Ça fait autre chose que te donner un faux sentiment de sécurité ? Il me
semble que le comportement par défaut est justement de ne pas troubler le
newbie, ce qui bien sûr veut dire : 0 sécurité. Un système qui est mis par
défaut en déroute par un simple lien symbolique m'apparaît au mieux comme
une sinistre plaisanterie.

Mais, vu que Debian, «est un système sérieux», rien n'est installé par
défaut. Or, Mandrake, Suse et Red Hat ont passé un temps considérable à
intégrer des mesures de sécurité. Si Debian ne l'a pas fait, ce n'est
pas parce que c'est des professionnels, c'est parce que c'est des trous
de culs dépassés qui font chier avec leur soi-disant sécurité par défaut.

Debian, par défaut, ne suppose rien de son utilisateur. A quoi sert d'avoir
des trucs comme Apparmor sur une machine individuelle ? A rien du tout.

Bon, après un bon souper et un bon bol d'air à vélo, je me sens plus en
forme pour répondre à la dernière idiotie d'un grand expert. Ainsi,
AppArmor ne servirait à rien sur les ordinateurs individuels?

Pourtant, comme l'indique l'article de TidBits, Quicktime était sensible
aux buffer overflows, et cela, même si OS X utilise l'Address Space
Layout Randomization (ASLR), ce que ne fait que faiblement Linux par
défaut à partir du noyau 2.6.12. Donc, Debian n'est donc certainement
pas plus à l'abri des overflows avec Xine, MPlayer... et VLC de ton bon
ami Hocevar :) que ne l'est OS X avec QuickTime.

Alors, que vient faire AppArmor là-dedans? Peut-il prévenir les
overflows? Apparemment, non, mais il peut les empêcher d'accéder aux
fonctions vitales du kernel.

«if an attacker can induce arbitrary code execution in a confined
application (e.g. *buffer overflow*) then they can cause the program to
call the kernel directly instead of through the library, thus bypassing
the mediation. Moreover, such mediation is best done deep inside the
kernel, rather than by intercepting system calls.

(...)

So instead of system call mediation, LSM (Linux Security Modules
interface) inserts hooks deep into the kernel. Wherever a request by a
user level process leads to access to an important deep kernel data
structure, such as task descriptors or inodes, the LSM hook makes an
up-call to whatever LSM module is loaded, asking "is this ok?" The LSM
module considers the situation, makes its access control decision, and
sends back a "yes" or "no" answer to the kernel, which then either
performs the access or returns an error to the requestor. Thus access
control technologies like SELinux and AppArmor can do their work as
loadable modules, without requiring constant patching of the kernel.»

http://en.opensuse.org/AppArmor_Detail

En somme, cela signifie que Debian n'a pas encore fait le développement
pour intégrer les logiciels de sécurité qui font appel au LSM, et cela,
malgré qu'ils soient disponibles depuis fort longtemps. C'est pourquoi
je dis que Debian tourne en rond, et est devenu une passoire.

À mon avis, Shorewall, le firewall stateful installé par défaut par
Mandrake est aussi supérieur à Firestarter, le firewall stateless
installé le plus souvent par les usagers d'Ubuntu.

Mais alors, pourquoi n'entend pas parler d'exploits à tous les jours sur
les distributions Debian? Exactement pour la raison que TidBits, une
fois encore, donne ici:

«It's not that Mac OS X is inherently more secure against viruses than
current versions of Windows (although it was clearly more secure than
Windows prior to XP SP2); the numerous vulnerabilities reported and
patched in recent years are just as exploitable as their Windows
equivalents. But most security experts agree that malicious software
these days is driven by financial incentives, and it's far more
profitable to target the dominant platform.»

http://db.tidbits.com/article/9511

Alors, comment se fait-il que je me sois fais attaquer et cracker tant
et plus avec les installations par défaut de Debian et Ubuntu(1). Y
avait-il quelque chance que j'aie copié des informations sensibles ou
exploitables commercialement sur mes premières installations? Aucune,
évidemment.

---------------

(1) À noter que AppArmor est installé par défaut sur Ubuntu 7.10 (Gutsy)

AppArmor is installed and loaded by default in Gutsy. Some packages will
install their own profiles. Additional profiles can be found in the
package apparmor-profiles from the Universe repository. When filing bugs
against an installed apparmor profile, please see: [WWW]
https://wiki.ubuntu.com/DebuggingApparmor

https://help.ubuntu.com/community/AppArmor

Le problème, c'est qu'il n'est pas configuré par défaut. Il faut
télécharger un fichier profil, ce que je ne savais pas. Et si le fichier
profil n'est pas installé avec des valeurs par défaut, c'est qu'il y a
apparemment des bugs. (Mandriva en est à développer une interface pour
une configuration plus fine.)

----------------

J'ai donc eu affaire à des crackers très habiles qui ont du temps à
perdre, qui n'évaluent pas trop la valeur économique de leur démarche.
Il y a peut-être des gens qui n'apprécient pas que je pointe leurs
imbécilités du doigt...

Yugo wrote:

Je me demande comment tu peux arriver à ce genre de conclusion en te
basant sur un document qui prétend être vieux de 2 ans et qui est
visiblement plein d'imprécisions (par exemple, il prétend que la dernière
version de Debian est la 3.1, et que les amd64 ne sont pas encore
supportés...)
Tiré du document:

"Actuellement, la version `stable' est un lien symbolique vers `etch'
(c.-à-d. Debian GNU/Linux 3.1)"

À ce que je sache, Etch est toujours la version stable.

Oui, mais Etch est la version 4.0. Je ne vois pas comment un document qui ne
connaît même pas les versions de la distribution qu'il est censé décrire
peut te paraître pertinent au niveau de la politique de sécurité de la dite
distribution.

Non, non, mais, vas-y! Tu me cites le passage où il est clairement
expliqué que lesdits paquets:

Ou alors tu vas voir dans la liste des paquets de stables :
sepol-utils
libsepol1
paxctl
gradm2
libkrb53
sont installés par défaut. Autrement, pour el newbie, la configuration

risque d'être longuette.

Le newbie n'a aucun besoin de ces choses là. Dans tous les cas, pour mettre
en oeuvre ces choses là de façon efficace, la configuration est longuette ;
l'installation en elle-même prend un temps négligeable.

Oui, oui, supporte, mais ce n'est pas installé. Pourquoi
n'installent-ils pas quelque chose, si c'est si simple? Apparmor, est
installé sur Mandrake et, à ce que j'ai pu constater, ça fonctionne fort
bien. Tu n'as même pas à te casser la tête pendant cinq minutes. Idem
pour Suse, idem pour Red Hat avec SeLinux.

Et ? Ça fait autre chose que te donner un faux sentiment de sécurité ? Il me
semble que le comportement par défaut est justement de ne pas troubler le
newbie, ce qui bien sûr veut dire : 0 sécurité. Un système qui est mis par
défaut en déroute par un simple lien symbolique m'apparaît au mieux comme
une sinistre plaisanterie.

Mais, vu que Debian, «est un système sérieux», rien n'est installé par
défaut. Or, Mandrake, Suse et Red Hat ont passé un temps considérable à
intégrer des mesures de sécurité. Si Debian ne l'a pas fait, ce n'est
pas parce que c'est des professionnels, c'est parce que c'est des trous
de culs dépassés qui font chier avec leur soi-disant sécurité par défaut.

Debian, par défaut, ne suppose rien de son utilisateur. A quoi sert d'avoir
des trucs comme Apparmor sur une machine individuelle ? A rien du tout.

Bon, après un bon souper et un bon bol d'air à vélo, je me sens plus en
forme pour répondre à la dernière idiotie d'un grand expert. Ainsi,
AppArmor ne servirait à rien sur les ordinateurs individuels?

Pourtant, comme l'indique l'article de TidBits, Quicktime était sensible
aux buffer overflows, et cela, même si OS X utilise l'Address Space
Layout Randomization (ASLR), ce que ne fait que faiblement Linux par
défaut à partir du noyau 2.6.12. Donc, Debian n'est donc certainement
pas plus à l'abri des overflows avec Xine, MPlayer... et VLC de ton bon
ami Hocevar :) que ne l'est OS X avec QuickTime.

Alors, que vient faire AppArmor là-dedans? Peut-il prévenir les
overflows? Apparemment, non, mais il peut les empêcher d'accéder aux
fonctions vitales du kernel.

«if an attacker can induce arbitrary code execution in a confined
application (e.g. *buffer overflow*) then they can cause the program to
call the kernel directly instead of through the library, thus bypassing
the mediation. Moreover, such mediation is best done deep inside the
kernel, rather than by intercepting system calls.

(...)

So instead of system call mediation, LSM (Linux Security Modules
interface) inserts hooks deep into the kernel. Wherever a request by a
user level process leads to access to an important deep kernel data
structure, such as task descriptors or inodes, the LSM hook makes an
up-call to whatever LSM module is loaded, asking "is this ok?" The LSM
module considers the situation, makes its access control decision, and
sends back a "yes" or "no" answer to the kernel, which then either
performs the access or returns an error to the requestor. Thus access
control technologies like SELinux and AppArmor can do their work as
loadable modules, without requiring constant patching of the kernel.»

http://en.opensuse.org/AppArmor_Detail

En somme, cela signifie que Debian n'a pas encore fait le développement
pour intégrer les logiciels de sécurité qui font appel au LSM, et cela,
malgré qu'ils soient disponibles depuis fort longtemps. C'est pourquoi
je dis que Debian tourne en rond, et est devenu une passoire.

À mon avis, Shorewall, le firewall stateful installé par défaut par
Mandrake est aussi supérieur à Firestarter, le firewall stateless
installé le plus souvent par les usagers d'Ubuntu.

Mais alors, pourquoi n'entend pas parler d'exploits à tous les jours sur
les distributions Debian? Exactement pour la raison que TidBits, une
fois encore, donne ici:

«It's not that Mac OS X is inherently more secure against viruses than
current versions of Windows (although it was clearly more secure than
Windows prior to XP SP2); the numerous vulnerabilities reported and
patched in recent years are just as exploitable as their Windows
equivalents. But most security experts agree that malicious software
these days is driven by financial incentives, and it's far more
profitable to target the dominant platform.»

http://db.tidbits.com/article/9511

Alors, comment se fait-il que je me sois fais attaquer et cracker tant
et plus avec les installations par défaut de Debian et Ubuntu(1). Y
avait-il quelque chance que j'aie copié des informations sensibles ou
exploitables commercialement sur mes premières installations? Aucune,
évidemment.

---------------

(1) À noter que AppArmor est installé par défaut sur Ubuntu 7.10 (Gutsy)

AppArmor is installed and loaded by default in Gutsy. Some packages will
install their own profiles. Additional profiles can be found in the
package apparmor-profiles from the Universe repository. When filing bugs
against an installed apparmor profile, please see: [WWW]
https://wiki.ubuntu.com/DebuggingApparmor

https://help.ubuntu.com/community/AppArmor

Le problème, c'est qu'il n'est pas configuré par défaut. Il faut
télécharger un fichier profil, ce que je ne savais pas. Et si le fichier
profil n'est pas installé avec des valeurs par défaut, c'est qu'il y a
apparemment des bugs. (Mandriva en est à développer une interface pour
une configuration plus fine.)

----------------

J'ai donc eu affaire à des crackers très habiles qui ont du temps à
perdre, qui n'évaluent pas trop la valeur économique de leur démarche.
Il y a peut-être des gens qui n'apprécient pas que je pointe leurs
imbécilités du doigt...

Yugo wrote:

C'est apparemment que Debian ne sait plus compter ses versions puisque
le documetn cité provient du site de Debian. Mais j'attends toujours
qu'un expert comme toi m'explique, preuves à l'appui, comment Etch est
sécurisé.

Par les compétences de son administrateur, par exemple.

--
Huile Essentielle de Camphre http://www.huile-camphre.fr
Infogerance http://www.infogerance.us
(Serveurs, Postes de travail, Développement logiciel)

YBM wrote:

Ceci dit, les distributions qui arrivent à limiter l'accès à l'Internet
à "Yugo" - et seulement à lui - méritent largement la palme des
distributions les mieux sécurisées...

En configurant bien AppArmor... (oui mais il faut lire la doc qui est
sur debian.org)

--
Huile Essentielle de Camphre http://www.huile-camphre.fr
Infogerance http://www.infogerance.us
(Serveurs, Postes de travail, Développement logiciel)

Le 25-04-2008, à propos de
Re: Sécurité: Debian vs Mandrake,
Yugo écrivait dans fr.comp.os.linux.debats :

Ça, mon vieux, pas de problème. Si tu veux kerberiser, paxer,
apparmorer Debian, ça peut se faire. Un newbie y mettra six mois, mais
peu imnporte, c'est Debian.

C'est sûr ça, un newbie qui met en place Kerberos ça se voit tous les
jours...

C'est justement ce que je disais, le newbie ne passera pas six mois,
mais c'est ce sur quoi les développeurs de Debian, le système nul oh
combien professionnel, semblent compter.

Lorsque tu ne connais rien à rien, ce qui semble être ton cas, tu
n'attaquerais pas un Tru64, un OpenVMS ou un Solaris face à face en
le regardant dans les yeux. Pour debian, c'est pareil. Donc reste
avec tes Mandriva à la turc et ne viens pas nous les briser (et je
reste poli).

Il y a un livre de Bruce Schneier qui parle de tes problèmes, mais comme
ils sont entre ton écran et ton clavier, je doute que tu comprennes.

Quels problèmes? Aucun problème avec Mandriva!

Preuves ? Personnellement, j'ai un ou deux postes clients avec des
Mandriva, et c'est largement plus le bordel que les clients avec
debian, mais c'est une affaire de goût. Et justement, les debian ont
des patches de sécurité lorsqu'il y en a besoin, et ces patches sont
suivis et _documentés_.

T'es bien sûr que tu ne
veux pas tenter de faire ce que Potty Potard n'a pu faire faute de
preuves et m'expliquer comment Etch a été sécurisé?

Commence par apprendre à lire, et une fois que tu as fait ça, tu
pourras comme un grand aller sur www.debian.org.

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Alors, comment se fait-il que je me sois fais attaquer et cracker tant
et plus avec les installations par défaut de Debian et Ubuntu(1). Y
avait-il quelque chance que j'aie copié des informations sensibles ou
exploitables commercialement sur mes premières installations? Aucune,
évidemment.
...

J'ai donc eu affaire à des crackers très habiles qui ont du temps à
perdre, qui n'évaluent pas trop la valeur économique de leur démarche.
Il y a peut-être des gens qui n'apprécient pas que je pointe leurs
imbécilités du doigt...

Allez, on va dire qu'on y croit, hein ?

P.S. Tu as un morceau de salade collé sur une dent. Non pas là, de
l'autre côté.

Yugo wrote:

Bon, après un bon souper et un bon bol d'air à vélo, je me sens plus en
forme pour répondre à la dernière idiotie d'un grand expert. Ainsi,
AppArmor ne servirait à rien sur les ordinateurs individuels?

Souvent, le temps à consacrer pour avoir un système qui marche
correctement avec selinux (fedora) ne vaut pas la sécurité apportée.
Un exemple, hier, j'ai du troubleshooter une fedora fraîchement
installée : l'utilisateur ne pouvait pas se logguer. Hé oui ! SeLinux,
configuré par fedora, interdisait à gdm, configuré par fedora, et login,
configuré lui aussi par fedora, d'accéder au NIS...

J'attends d'une distribution que l'installation par défaut *fonctionne*.

Autre chose, dans la vraie vie, des fois tu dois faire tourner des softs
codés avec les pieds, genre Matlab (et ce n'est qu'un exemple). Matlab
ne fonctionne pas avec selinux. Tu as 2 solutions : soit tu considères
que cette machine doit être en tank, et tu passes des heures à faire un
selinux aux petits oignons, qui laisse fonctionner le NIS, Matlab, etc,
soit tu désactives selinux. Souvent, c'est le deuxième choix qui est
fait. La bonne vieille histoire de compromis entre simplicité et
sécurité. Bien sûr, pour un serveur, c'est différent... mais Mandriva en
serveur, j'ai déjà subi, merci...

Bien sûr, tout ceci retire tout intérêt à avoir SeLinux par défaut,
puisqu'il faut soit le désactiver soit le modifier.

Ce que je dit pour selinux est certainement valable pour apparmor, même
si je ne l'ai pas testé. Les outils LSM sont trop intrusifs pour qu'une
configuration générique soit réellement satisfaisante. Soit tu laisses
plein de trous, soit l'utilisateur va se sentir limité. Seule une
configuration aux petits oignons fonctionne réellement.