OVH Cloud OVH Cloud

Sécurité ?

7 réponses
Avatar
Denis Beauregard
Bonjour,

Je me pose des questions sur la sécurité Linux. Je précise
que j'ai une Debian Sarge et que je suis relativement nouveau
dans Linux mais branché à Internet depuis 1991 et utilisateur
de Windows depuis 1984.

Tout d'abord, si j'ai un routeur qui sert de mur (pas de zone
démilitarisée/DMZ) entre le PC et le réseau et que les autres
PC du LAN sont à moi et avec Win 95 ou 98, même avec un compte
root sans mot de passe, y a-t-il du danger réel ? Je veux dire
que si quelqu'un examinait mes ports un par un, il n'en verrait
aucun puisque ce sont ceux du routeur. Alors, comment pourrait-on
m'attaquer ?

Ensuite, si je n'utilise le compte root (j'ai un mot de passe, je
le précise) que pour les mises à jour de Linux, donc avec un site
connu, des attaques sont-elles possibles ? Quelqu'un pourrait-il
intercepter un paquet (puisque TCP-IP fonctionne en envoyant des
paquets), le remplacer et en envoyer un autre contenant un virus ?
Ou bien est-ce que apt-get fait un crc de tout ce qui est envoyé
et reçu pour s'assurer que ce qui arrive est ce qui doit arriver
et pas autre chose ?

Autrement, je n'ai que le compte d'usager en fonction continue,
Là, je peux aller sur n'importe quel site, ouvrir mes messages
au hasard (même si en fait le panneau utilisé n'affiche que le
texte), faire du IRC ou n'importe quoi d'autre. Chaque logiciel
Linux vient d'un miroir officiel de Debian (mais je finirai bien
par utiliser quelque chose d'une autre origine, en recompilant
au début, mais à la longue, j'utiliserai des binaires). J'ai vu
que certains jeux pouvaient se relier à des réseaux externes, que
des logiciels peuvent envoyer automatiquement des rapports de bugs,
donc il y a une certaine liberté d'action de ce côté.

Est-ce que je me sentir en sécurité dans ce contexte ? root pour
les mises à jour seulement, autre compte pour l'usage normal,
aucune donnée critique sur le PC (pour le moment, c'est une
machine pour aller à l'extérieur, mais je finirai par avoir
Linux sur mon PC principal), mot de passe rigoureux (ce n'est pas
un mot du dictionnaire ni le nom d'un ancêtre), et routeur pour
accéder à Internet.


Denis

--
Denis Beauregard en direct sur Linux ;-)
www.francogene.com/denis.beauregard pour me connaître

7 réponses

Avatar
Emmanuel Florac
Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

Bonjour,


Bonjour, d'abord tu t'es trompé de groupe : fr.com.securité, ou
fr.comp.os.linux.configuration auraient été beaucoup plus adaptés.


Je me pose des questions sur la sécurité Linux. Je précise
que j'ai une Debian Sarge et que je suis relativement nouveau
dans Linux mais branché à Internet depuis 1991 et utilisateur
de Windows depuis 1984.



T'es drôlement précoce, windows 1.0 est sorti en 1985 :) T'étais
alpha-testeur chez Microsoft ou quoi?

Tout d'abord, si j'ai un routeur qui sert de mur (pas de zone
démilitarisée/DMZ) entre le PC et le réseau et que les autres
PC du LAN sont à moi et avec Win 95 ou 98, même avec un compte
root sans mot de passe, y a-t-il du danger réel ? Je veux dire
que si quelqu'un examinait mes ports un par un, il n'en verrait
aucun puisque ce sont ceux du routeur. Alors, comment pourrait-on
m'attaquer ?


Par rebond de l'intérieur, en corrompant une machine win95 ou autre. Par
exemple en exploitant une faille de sécurité d'un navigateur (win95 ne
supporte que des navigateurs dépassés et peu sûrs pleins de failles
genre IE 5.5), un pirate pourrait installer un outil de prise de contrôle
de ta machine win95 (genre backorifice ou autre), et à partir de celle ci
(puisque je suppose que le réseau interne n'est pas sécurisé) attaquer
toutes les autres.



Ensuite, si je n'utilise le compte root (j'ai un mot de passe, je
le précise) que pour les mises à jour de Linux, donc avec un site
connu, des attaques sont-elles possibles ?


Oui, par DNS spoofing et IP spoofing si tu ne contrôles pas les
signatures de tes mises à jour, par exemple. Et puis le serveur de mise
à jour peut-être conpromis : l'année dernière les serveurs Debian et
d'autres ont été compromis à cause d'une faille apache en conjonction
avec une faille du noyau...

Quelqu'un pourrait-il
intercepter un paquet (puisque TCP-IP fonctionne en envoyant des
paquets), le remplacer et en envoyer un autre contenant un virus ?


Oui, c'est ce qu'on appelle les attaques "man in the middle". C'est
difficile à mener sur internet, cependant, mais pas impossible (arp
poisoning, arp spoofing...)

Ou bien est-ce que apt-get fait un crc de tout ce qui est envoyé
et reçu pour s'assurer que ce qui arrive est ce qui doit arriver
et pas autre chose ?


Un crc, oui, par contre apt-get n'a pas de système de contrôle de
signature cryptographique, c'est d'ailleurs listé comme un bug dans la
documentation...


Autrement, je n'ai que le compte d'usager en fonction continue, Là, je
peux aller sur n'importe quel site, ouvrir mes messages au hasard (même
si en fait le panneau utilisé n'affiche que le texte), faire du IRC ou
n'importe quoi d'autre. Chaque logiciel Linux vient d'un miroir
officiel de Debian (mais je finirai bien par utiliser quelque chose
d'une autre origine, en recompilant au début, mais à la longue,
j'utiliserai des binaires). J'ai vu que certains jeux pouvaient se
relier à des réseaux externes, que des logiciels peuvent envoyer
automatiquement des rapports de bugs, donc il y a une certaine liberté
d'action de ce côté.


Pense que Sarge n'est pas mise à jour côté sécurité. Il n'y a des
mises à jour de sécu que pour Woody et Sid. Si une faille est
découverte sur un logiciel, elle est corrigée dans WOody et SId, mais
pas dans Sarge : il faut attendre que la version Sid du paquet "descende"
dans Sarge, ce qui prend 15 jours à 3 semaines, largement assez longtemps
pour se faire trouer le cul...

Est-ce que je me sentir en sécurité dans ce contexte ? root pour les
mises à jour seulement, autre compte pour l'usage normal, aucune
donnée critique sur le PC (pour le moment, c'est une machine pour aller
à l'extérieur, mais je finirai par avoir Linux sur mon PC principal),
mot de passe rigoureux (ce n'est pas un mot du dictionnaire ni le nom
d'un ancêtre), et routeur pour accéder à Internet.



Si ton compte root n'a pas de mot de passe, il est préférable de le
désactiver (interdire le login en root). Assure toi surtout que ton
serveur ssh n'autorise pas la connexion sans mot de passe, et qu'il
n'autorise pas la connexion en tant que root. Enfin tu n'as pas besoin
d'utiliser le compte root pour les mises à jour, la commande sudo doit
suffire pour tout.

--
De longs désirs, une longue admiration sans espérance, voilà le moyen
d'adorer les femmes, et de rendre l'amour une passion délicieuse!
N. Rétif de la Bretonne.

Avatar
Denis Beauregard
Le Mon, 29 Nov 2004 10:20:08 +0100, Emmanuel Florac
écrivait dans fr.comp.os.linux.debats:

Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

Bonjour,


Bonjour, d'abord tu t'es trompé de groupe : fr.com.securité, ou
fr.comp.os.linux.configuration auraient été beaucoup plus adaptés.


Je me pose des questions sur la sécurité Linux. Je précise
que j'ai une Debian Sarge et que je suis relativement nouveau
dans Linux mais branché à Internet depuis 1991 et utilisateur
de Windows depuis 1984.



T'es drôlement précoce, windows 1.0 est sorti en 1985 :) T'étais
alpha-testeur chez Microsoft ou quoi?


Je voulais dire MS-DOS.

Tout d'abord, si j'ai un routeur qui sert de mur (pas de zone
démilitarisée/DMZ) entre le PC et le réseau et que les autres
PC du LAN sont à moi et avec Win 95 ou 98, même avec un compte
root sans mot de passe, y a-t-il du danger réel ? Je veux dire
que si quelqu'un examinait mes ports un par un, il n'en verrait
aucun puisque ce sont ceux du routeur. Alors, comment pourrait-on
m'attaquer ?


Par rebond de l'intérieur, en corrompant une machine win95 ou autre. Par
exemple en exploitant une faille de sécurité d'un navigateur (win95 ne
supporte que des navigateurs dépassés et peu sûrs pleins de failles


Ce PC utilise Netscape depuis longtemps. L'autre PC Win aussi,
ainsi que Mozilla. Par contre, je m'en sers parfois sur un autre
réseau LAN (qui est aussi à base de Win 98).

genre IE 5.5), un pirate pourrait installer un outil de prise de contrôle
de ta machine win95 (genre backorifice ou autre), et à partir de celle ci
(puisque je suppose que le réseau interne n'est pas sécurisé) attaquer
toutes les autres.



Ensuite, si je n'utilise le compte root (j'ai un mot de passe, je
le précise) que pour les mises à jour de Linux, donc avec un site
connu, des attaques sont-elles possibles ?


Oui, par DNS spoofing et IP spoofing si tu ne contrôles pas les
signatures de tes mises à jour, par exemple. Et puis le serveur de mise
à jour peut-être conpromis : l'année dernière les serveurs Debian et
d'autres ont été compromis à cause d'une faille apache en conjonction
avec une faille du noyau...

Quelqu'un pourrait-il
intercepter un paquet (puisque TCP-IP fonctionne en envoyant des
paquets), le remplacer et en envoyer un autre contenant un virus ?


Oui, c'est ce qu'on appelle les attaques "man in the middle". C'est
difficile à mener sur internet, cependant, mais pas impossible (arp
poisoning, arp spoofing...)

Ou bien est-ce que apt-get fait un crc de tout ce qui est envoyé
et reçu pour s'assurer que ce qui arrive est ce qui doit arriver
et pas autre chose ?


Un crc, oui, par contre apt-get n'a pas de système de contrôle de
signature cryptographique, c'est d'ailleurs listé comme un bug dans la
documentation...


Autrement, je n'ai que le compte d'usager en fonction continue, Là, je
peux aller sur n'importe quel site, ouvrir mes messages au hasard (même
si en fait le panneau utilisé n'affiche que le texte), faire du IRC ou
n'importe quoi d'autre. Chaque logiciel Linux vient d'un miroir
officiel de Debian (mais je finirai bien par utiliser quelque chose
d'une autre origine, en recompilant au début, mais à la longue,
j'utiliserai des binaires). J'ai vu que certains jeux pouvaient se
relier à des réseaux externes, que des logiciels peuvent envoyer
automatiquement des rapports de bugs, donc il y a une certaine liberté
d'action de ce côté.


Pense que Sarge n'est pas mise à jour côté sécurité. Il n'y a des
mises à jour de sécu que pour Woody et Sid. Si une faille est
découverte sur un logiciel, elle est corrigée dans WOody et SId, mais
pas dans Sarge : il faut attendre que la version Sid du paquet "descende"
dans Sarge, ce qui prend 15 jours à 3 semaines, largement assez longtemps
pour se faire trouer le cul...


Je devrais remplacer sarge par woody ? Est-ce tecniquement faisable
sans tout ré-installer ? Quelqu'un disait que le système
d'installation automatique était nouveau dans la Sarge.

Est-ce que je me sentir en sécurité dans ce contexte ? root pour les
mises à jour seulement, autre compte pour l'usage normal, aucune
donnée critique sur le PC (pour le moment, c'est une machine pour aller
à l'extérieur, mais je finirai par avoir Linux sur mon PC principal),
mot de passe rigoureux (ce n'est pas un mot du dictionnaire ni le nom
d'un ancêtre), et routeur pour accéder à Internet.



Si ton compte root n'a pas de mot de passe, il est préférable de le
désactiver (interdire le login en root). Assure toi surtout que ton
serveur ssh n'autorise pas la connexion sans mot de passe, et qu'il
n'autorise pas la connexion en tant que root. Enfin tu n'as pas besoin
d'utiliser le compte root pour les mises à jour, la commande sudo doit
suffire pour tout.


Mon root a un mot de passe (qui n'est pas un mot du dictionnaire).
Par contre, je dois avouer que je n'ai aucune idée de ce qui est
installé. Une fois, j'ai découvert qu'il y avait Apache par défaut
(mais comme j'en avais besoin...). Pour le SSH, je ne sais pas où
regarder.

Par ailleurs, il arrive qu'une installation par kpackage ne passe pas
(je suppose que cela tient le même rôle que sudo) et que je doive
passer en root pour faire un apt-get ou un kpng-configure.


Denis


Avatar
Mike Massonnet
Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

utilisateur
de Windows depuis 1984.


Windows 1.0 est sorti en 1985

Avatar
Web Dreamer
Denis Beauregard () à écrit le Dimanche 28 Novembre
2004 23:21 dans sur
fr.comp.os.linux.debats:

Bonjour,

Je me pose des questions sur la sécurité Linux. Je précise
que j'ai une Debian Sarge et que je suis relativement nouveau
dans Linux mais branché à Internet depuis 1991 et utilisateur
de Windows depuis 1984.

Tout d'abord, si j'ai un routeur qui sert de mur (pas de zone
démilitarisée/DMZ) entre le PC et le réseau et que les autres
PC du LAN sont à moi et avec Win 95 ou 98, même avec un compte
root sans mot de passe, y a-t-il du danger réel ? Je veux dire
que si quelqu'un examinait mes ports un par un, il n'en verrait
aucun puisque ce sont ceux du routeur. Alors, comment pourrait-on
m'attaquer ?


J'ai un routeur firewall, et un windows 98 + un Linux.
Le windows a zone alarme en plus, et le linux shorewall.

Sous shorewall, la doc en ligne est super bien faite, et si tu utilise
samba, n'ouvre que les ports concernés pour l'IP uniquement du windows.
sous zone alarme, attribue l'adresse IP du linux dans la zone "sure".

Bref sous linux j'ouvre uniquement les ports du service concernées,
uniquement aux IP des PC de mon LAN, mais pas à l'IP du routeur (des fois
qu'il ait été attaqué). Si le windows est attaqué, il n'a accès qu'aux
ports que j'ai ouvert sous Linux (donc seuls ces services doivent être à
jour). Si le Linux est attaqué, la zone "sure" de zone alarme est en mode
moyen (le reste en "stealth mode"), donc il reste une (légère) protection.

Malgrès les doubles firewalls, mon windows (pourtant à jour) a été prix en
contrôle à distance. Donc j'ai réinstallé, mis FireFox, et dans zone alarme
ie n'a le droit d'aller que sur les serveurs de windows update (mis en zone
sure). Et depuis plus de problème. ie avait surement chopé une salopperie,
car windows update ne comble pas toutes les failles.

Donc malgrès ton routeur firewall, mets zone alarme (ou autre) sous windows,
+ shorewall (ou Ip tables ou ce que tu préfères) sous Linux.
N'ouvre _que_ les ports des services concernés aux _seules_ IP concernées de
ton LAN, et interdit toit formellement l'utilisation de ie sous win donc
installe FireFox.

La moralité est que avec tout de mis le plus à jour sous windows (ZA,
antivirus, windows update, ad-aware) si tu utilise ie la sécurité sert à
rien, ie est une passoire. donc interdit ie à tout sauf à windows update,
et installe Firefox.
Car le moyen le plus facile de compromettre ton linux est d'abord de
compromettre ton windows pour accéder ensuite aux ports ouverts sous linux
(et à conditions que les services concernés sous linux aient une faille).

PS.: mets un mot de passe à ton compte root _et_ utilisateur. c'est
IMPORTANT car sans mot de pass pour ton compte root, si il y a une faille
dans un navigateur ou quoi que ce soit et que ton compte utilisateur est
compromis, un su sans mot de passe est facile pour accéder à tout. Met
aussi un mot de passe aux ouvertures de session de win (possible sous 98).
Sous win le mot de passe ne protège de rien, mais empèche une ouverture
auto de session et certains virus passent par là en faisant rebooter, si ça
reboot tout seul, ça coince à l'ouverture de session, et tu sais que tu
peut enlever ton win du LAN pour le décontaminer.
Depuis que j'ai interdit ie et n'utilise que FireFox, je n'ai plus de
problèmes. J'utilise même Thunderbird au lieu de oe pour les mails sous
win, puis comme j'ai les mêmes softs sous linux, y'a pas de dépaysement ;-)

J'ai du choper ma cochonerie sous win par un des fameux pop-up, une fenêtre
m'a ouvert un lien non demandé, puis un autre, puis... une quinzaine de
fenêtres se sont ouvertes. Et après j'ai eu le problème de prise de
contrôle. Un pop-up a du ouvrir un site pas très net! (en fermant les
fenêtres il y en avait avec de jolies images que la morale réprouve ;-),
alors qu'au départ je cherchait simplement des cheats et soluces sur un
site de jeux GameBoy et playstation).

--
Web Dreamer, Linux Registered User #313652 at http://counter.li.org/
Remplacer *nospam* par *tiscali* dans l'adresse,
et ajouter *NewsGroupPrivateAnswer* dans le corps du message pour répondre.

Depuis que les toles ondulaient, les vaches n'en ont plus.

Avatar
Franck Yvonnet
Ainsi Parlait Mike Massonnet
Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

utilisateur
de Windows depuis 1984.


Windows 1.0 est sorti en 1985


Linux 1.0 est sorti en 1994, en pourtant il y avait des utilisateurs
depuis 1991 :-)

--
Franck Yvonnet
"Reality is that which, when you stop believing in it, doesn't go away."
- Philip K. Dick


Avatar
Mike Massonnet
Le Wed, 01 Dec 2004 07:50:54 +0000, Franck Yvonnet a écrit :

Ainsi Parlait Mike Massonnet
Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

utilisateur
de Windows depuis 1984.


Windows 1.0 est sorti en 1985


Linux 1.0 est sorti en 1994, en pourtant il y avait des utilisateurs
depuis 1991 :-)


Et Windows 0.01 ?

Oops... j'ai dit une connerie ?



Avatar
Fred
Le 01-12-2004, Mike Massonnet a écrit:
Le Wed, 01 Dec 2004 07:50:54 +0000, Franck Yvonnet a écrit :

Ainsi Parlait Mike Massonnet
Le Sun, 28 Nov 2004 17:21:12 -0500, Denis Beauregard a écrit :

utilisateur
de Windows depuis 1984.


Windows 1.0 est sorti en 1985


Linux 1.0 est sorti en 1994, en pourtant il y avait des utilisateurs
depuis 1991 :-)


Et Windows 0.01 ?

Oops... j'ai dit une connerie ?



Oui, tu voulais dire Gem Desktop.