La sécurité par l'obscurité

Gloops wrote:

ça pourrait être pas mal de passer un peu de temps dessus pour améliorer
encore la sécurité.

Faut pas croire que tu améliores la sécurité en ajoutant le plus de lignes
possibles. Plus c'est simple et moins il y a de lignes, plus tu maîtrises ce
que tu fais.

Stephane CARPENTIER a écrit, le 02/10/2011 21:21 :

Gloops wrote:

ça pourrait être pas mal de passer un peu de temps dessus pour amé liorer
encore la sécurité.

Faut pas croire que tu améliores la sécurité en ajoutant le plus de lignes
possibles. Plus c'est simple et moins il y a de lignes, plus tu maîtr ises ce
que tu fais.

Cela étant, si on veut s'écarter des valeurs par défaut, il faut sa voir
pourquoi. C'est ça, qui peut prendre du temps.

Gloops wrote:

Stephane CARPENTIER a écrit, le 02/10/2011 21:21 :

Gloops wrote:

ça pourrait être pas mal de passer un peu de temps dessus pour améliorer
encore la sécurité.

Faut pas croire que tu améliores la sécurité en ajoutant le plus de
lignes possibles. Plus c'est simple et moins il y a de lignes, plus tu
maîtrises ce que tu fais.

Cela étant, si on veut s'écarter des valeurs par défaut, il faut savoir
pourquoi. C'est ça, qui peut prendre du temps.

Il ne faut pas s'écarter des valeurs par défaut. Il faut virer les valeurs
par défaut et mettre les tiennes à la place :

1 : tu interdis toute connexion depuis l'extérieur.
2 : tu ouvres les connexions juste pour les serveurs dont je disposes.
3 : tu interdis toute connexion vers l'extérieur
4 : tu autorises les connexions vers l'extérieur qui t'intéressent. De façon
intelligente. Par exemple, tu ne sais pas sur quels sites Internet tu
surferas, donc tu ouvres le http et le https pour le monde entier. Par
contre, si tu as un fournisseurs pour tes mails et que tu n'utilises pas le
webmail, tu peux n'autoriser les connexions que vers le serveur web de ton
fournisseur.

Bien sûr, ça, c'est seulement la partie firewall, il faut aussi lire les
modes d'emploi des serveurs que tu ouvres au monde entier et des logiciels
que tu utilises pour aller sur Internet.

Stephane CARPENTIER a écrit :

Gloops wrote:

Stephane CARPENTIER a écrit, le 02/10/2011 21:21 :

Gloops wrote:

ça pourrait être pas mal de passer un peu de temps dessus pour améliorer
encore la sécurité.

Faut pas croire que tu améliores la sécurité en ajoutant le plus de
lignes possibles. Plus c'est simple et moins il y a de lignes, plus tu
maîtrises ce que tu fais.

Cela étant, si on veut s'écarter des valeurs par défaut, il faut savoir
pourquoi. C'est ça, qui peut prendre du temps.

Il ne faut pas s'écarter des valeurs par défaut. Il faut virer les valeurs
par défaut et mettre les tiennes à la place :

1 : tu interdis toute connexion depuis l'extérieur.

Si c'est pas une valeur par défaut ça, je m'inquiéterais du produit ...

2 : tu ouvres les connexions juste pour les serveurs dont je disposes.

Plutot ceux dont il dispose ? non ?

3 : tu interdis toute connexion vers l'extérieur

4 : tu autorises les connexions vers l'extérieur qui t'intéressent. De façon
intelligente. Par exemple, tu ne sais pas sur quels sites Internet tu
surferas, donc tu ouvres le http et le https pour le monde entier.

Mouaip ... et si il n'a pas pensé à ouvrir un p'tit accés DNS qqpart
... ça risque de marchre un peu moins bien ...

Par
contre, si tu as un fournisseurs pour tes mails et que tu n'utilises pas le
webmail, tu peux n'autoriser les connexions que vers le serveur web de ton
fournisseur.

Là, moi j'autoriserais plutot le SMTP/POP (éventuellement IMAP) vers ce
serveur du FAI, parceque le client mail qui passe pas en webmail, il
passe donc plutot par SMTP/POP que par HTTP ...

Bien sûr, ça, c'est seulement la partie firewall, il faut aussi lire les
modes d'emploi des serveurs que tu ouvres au monde entier et des logiciels
que tu utilises pour aller sur Internet.

Mouaip ...

--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça
arrive.

Ascadix a écrit, le 03/10/2011 12:52 :

2 : tu ouvres les connexions juste pour les serveurs dont je disposes.

Plutot ceux dont il dispose ? non ?

Eh eh, peut-être présumes-tu des objectifs de Stéphane :)

Stephane CARPENTIER a écrit, le 03/10/2011 11:05 :

Il ne faut pas s'écarter des valeurs par défaut. Il faut virer les valeurs
par défaut et mettre les tiennes à la place :

Oui, enfin c'était un peu ce que je voulais dire.
Bon, alors pour reformuler ce que je disais avant en fonction de cette
objection :
ce qui prend du temps, c'est avoir des valeurs propres à mettre à la
place des valeurs par défaut.

Je trouve ça pas mal quand un pare-feu gratuit autorise les logiciels
que j'utilise habituellement, et que de temps à autre j'ai un dialogue
du style
- Bidule.exe cherche à se connecter à Internet
Autorisez-vous ? Oui/Non
- Comment ça Bidule.exe cherche à se connecter à Internet ? Envoie- le
bouler, il n'a rien à fiche sur Internet.

C'est valable même pour un programme de mon cru, là on pourrait presq ue
se dire que c'est pousser un peu loin le caractère tatillon, mais ...
n'est pas présager qu'on ne va pas laisser trop de trous ?

Ascadix wrote:

Stephane CARPENTIER a écrit :

2 : tu ouvres les connexions juste pour les serveurs dont je disposes.

Plutot ceux dont il dispose ? non ?

Yep, une erreur de frappe.

3 : tu interdis toute connexion vers l'extérieur

4 : tu autorises les connexions vers l'extérieur qui t'intéressent. De
façon intelligente. Par exemple, tu ne sais pas sur quels sites Internet
tu surferas, donc tu ouvres le http et le https pour le monde entier.

Mouaip ... et si il n'a pas pensé à ouvrir un p'tit accés DNS qqpart
... ça risque de marchre un peu moins bien ...

Ça fait parti des trucs qu'il doit ouvrir.

Par
contre, si tu as un fournisseurs pour tes mails et que tu n'utilises pas
le webmail, tu peux n'autoriser les connexions que vers le serveur web de
ton fournisseur.

Là, moi j'autoriserais plutot le SMTP/POP (éventuellement IMAP) vers ce
serveur du FAI, parceque le client mail qui passe pas en webmail, il
passe donc plutot par SMTP/POP que par HTTP ...

Oui,, c'est vers le serveur mail qu'il faut autoriser les connexions, pas
mail, encore une erreur de frappe. Ça fait beaucoup dans un seul message.

Gloops wrote:

Stephane CARPENTIER a écrit, le 03/10/2011 11:05 :

Il ne faut pas s'écarter des valeurs par défaut. Il faut virer les
valeurs par défaut et mettre les tiennes à la place :

Oui, enfin c'était un peu ce que je voulais dire.

Ce que je veux dire, c'est que de regarder les valeurs par défaut une par
une pour voir si tu la gardes ou pas peut être plus long que de mettre tes
valeurs sans s'occuper de ce qui existait.

Bon, alors pour reformuler ce que je disais avant en fonction de cette
objection :
ce qui prend du temps, c'est avoir des valeurs propres à mettre à la
place des valeurs par défaut.

Ce qui prend du temps est de définir sa politique de sécurité. De se
demander qui a accès à quoi et pourquoi. La mise à jour des valeurs, une
fois la politique de sécurité bien définie, est assez rapide.

C'est important de se demander si tu pourrais avoir besoin d'accéder à ton
ordinateur depuis l'extérieur. Ou de savoir si une personne qui se connecte
à ton ordinateur chez toi peut accéder à Internet par exemple.

Mais si tu ne te poses jamais la question de l'utilisation de ton
ordinateur, il ne pourra jamais être sécurisé.

Je trouve ça pas mal quand un pare-feu gratuit autorise les logiciels
que j'utilise habituellement, et que de temps à autre j'ai un dialogue
du style
- Bidule.exe cherche à se connecter à Internet
Autorisez-vous ? Oui/Non
- Comment ça Bidule.exe cherche à se connecter à Internet ? Envoie-le
bouler, il n'a rien à fiche sur Internet.

Je ne sais pas comment ça fonctionne, mais si le programme peut détecter la
boîte de dialogue pour s'autoriser l'accès à Internet, ça me semble faible.
Si le bouton demande le mot de passe de l'administrateur pour modifier les
paramètres du firewall, pourquoi pas, ça dépend comment c'est utilisé.

Ascadix a écrit, le 03/10/2011 12:52 :

Là, moi j'autoriserais plutot le SMTP/POP (éventuellement IMAP) ver s ce
serveur du FAI, parceque le client mail qui passe pas en webmail, il
passe donc plutot par SMTP/POP que par HTTP ...

Il faut bien autoriser SMTP et POP pour Thunderbird ou Outlook, mais
pour le webmail, j'ai quand même un doute.
Il a vraiment une architecture trois tiers votre serveur mail ?

Gloops a écrit, le 03/10/2011 23:49 :

Il a vraiment une architecture trois tiers votre serveur mail ?

Oops, c'est de celui qui porte l'interface webmail, que je parlais,
surtout, bien entendu.