Securite : Windows ou Linux ?

Marwan Burelle nous disait récement dans fr.comp.securite
<news:20040302125556.336a9fbd@pc5-164.lri.fr> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

La question n'est pas de savoir si l'OS est répandue ou non, la
question et de savoir si un attaquant "évolué" (du genre à avoir
sous la main des exploits non publiés) va perdre son temps à
attaquer des machines en ADSL pas toujours allumées, alors qu'il
pourrait très bien atteindre des machines plus intéressantes, même
juste pour du rebond.

Tout dépend de ce que tu fais de ta machine. Avec Nerim et Free qui
porpose à leurs abonnés d'avoir une adresse IP fixe[1] et les systèmes
comme DynDNS qui ne nécessitent même pas d'adresse IP fixe, il y a de
plus en plus de power users ou d'utilisateurs lambda qui se prennent
pour des power users. Ca donne des machines connectées en permanence[2]
et trouvables à coup sûr. De plus ...

Personnellement, pour ma connexion maison, je ne prend pas autant
la tête, [...] Par contre, je suis beaucoup plus attentif à ce qui se
passe avec mes serveurs sur le réseau du campus.

[Je passe volontairement sur le fait que ta machine n'est pas connectée
en permanence et n'a pas de serveur, puisque ce n'est pas le cas de
figure retenu.]
Voilà ce qui représente le réel intérêt des machines situées chez des
particuliers, qu'il s'agisse d'utilisateurs lambda ou non. C'est "à la
maison", alors on y va plus gentiment. La sécurité y est moins élevée
que celle que l'on devrait trouver sur un réseau d'entreprise et
surtout, la machine est surveillée moins attentivement. De plus, ça
donne un léger droit à l'erreur. Une machine située sur un réseau
d'entreprise qui laisse une trace, c'est suspect. La même machine,
laissant les mêmes traces, mais située chez un particulier, c'est "un
jeune con qui s'amuse".

Même chose aussi, dans une moindre mesure, pour FreeBSD, dont
l'interface d'installation propose, entre autre, de faire de son
ordinateur un client et/ou un serveur NFS. [...]

Oui, mais non, tu as déjà vu ce qu'il te propose ?

J'avoue que non, pas assez de machines à disposition pour avoir la
possibilité de vraiment faire mumuse avec FreeBSD. Et puis, c'était
surtout pour éviter de tomber dans un banal débat Windows/Linux, que
j'avais cité de point, qui est bien le seul reproche (relatif) qui
puisse être fait à FreeBSD de ce point de vue.


[Snip]

Tout dépend de la simplification.
Je trouve assez normal qu'il soit facile de configurer une interface
réseau et éventuellement le démarrage de 2 ou 3 daemons, mais dès
lors que l'on rentre dans le cadre de serveurs plus évolués (HTTP,
SMTP ... ), les outils d'administrations doivent laisser
l'utilisateur face à "la dure réalité" [...]

Sauf qu'en général ils ne le font pas. L'objectif ultime est (pour
simplifier, donc évitons les trolls trop gras) de faire "aussi simple
que Windows", ce qui inclura (lorsque ce n'est pas déjà fait) des
interfaces de configuration userfriendly.

Et puis rajouter de l'eau à tout ça, par expérience je sais que la
majorité des outils de configuration "userfriendly" sont exclusifs,
et ne supporte pas la modification à la main des fichiers de
conf [...]

C'est d'ailleurs la raison pour laquelle je n'arrive pas à me faire à
la Mandrake de ma chère et tendre. Pour elle c'est parfait, mais
habitué à FreeBSD, j'ai tendance à vouloir mettre les mains dans le
cambouis, et à mettre le bazar un peu partout.


[Snip]

Ah, quand même dans le débat *n*x vs windows, il y a tous les
problèmes liés aux superbes features d'outlook, d'ie et d'office.

Justement, pour une fois que l'on dépasse un peu ce cadre, ça ne fait
pas de mal.


[1]
Free allant jusqu'à permettre la personnalisation des DNS.
[2]
Excepté la coupure hebdomadaire de FT, mais bon même avec un DNS
dynamique et beaucoup de lenteur, elle ne dure pas plus de cinq
minutes.
--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.

On 03 Mar 2004 17:27:56 GMT
Stephane Catteau <steph.nospam@sc4x.net> wrote:

Tout dépend de ce que tu fais de ta machine. Avec Nerim et Free qui
porpose à leurs abonnés d'avoir une adresse IP fixe[1] et les systèmes
comme DynDNS qui ne nécessitent même pas d'adresse IP fixe, il y a de
plus en plus de power users ou d'utilisateurs lambda qui se prennent
pour des power users. Ca donne des machines connectées en permanence[2]
et trouvables à coup sûr. De plus ...

Oui, je sais, mais d'un autre côté, jusqu'à présent, même avec une ip fixe
je n'ai pas vu grand chose de sérieux de tenter contre ma machine (je
surveille un minimum quand même.)

[Je passe volontairement sur le fait que ta machine n'est pas connectée
en permanence et n'a pas de serveur, puisque ce n'est pas le cas de
figure retenu.]
Voilà ce qui représente le réel intérêt des machines situées chez des
particuliers, qu'il s'agisse d'utilisateurs lambda ou non. C'est "à la
maison", alors on y va plus gentiment. La sécurité y est moins élevée
que celle que l'on devrait trouver sur un réseau d'entreprise et
surtout, la machine est surveillée moins attentivement. De plus, ça
donne un léger droit à l'erreur. Une machine située sur un réseau
d'entreprise qui laisse une trace, c'est suspect. La même machine,
laissant les mêmes traces, mais située chez un particulier, c'est "un
jeune con qui s'amuse".

Oui, mais le probème reste que les machines "maisons" ne sont pas des
machines "stables". Elles coupent un peu n'importe quand (même si certains
pseudo-powerusers veulent faire péter l'uptime ... ), elles peuvent être
réinstaller à tout moment, même si l'attaque/intrusion n'a pas été
détectée ...

J'aurais plutôt tendance à dire qu'une machine "à la maison" sera la cible
de gens voulant se faire la main (donc pas des personnes qui disposent
d'exploits non publiques) ou des nombreux virus/vers qui trainnent (mes
logs apache sont pleins de tentatives de nimba à chaque fois que je lance
apache ;)

Mais tout ça, c'est mon avis. Dans tous les cas, on est jamais tranquil
avec une connexion au net, même en rtc. Le seul truc, c'est que l'on sera
la cible d'attaque plus ou moins forte en fonction de l'intéret que l'on
peut représenter. Pour en revenir au rôle de rebond, je penses que si une
machine resiste à plus de 5 min de tentatives, l'attaquant en essayera une
autre, il ne va pas perdre son temps pour une machine comme ça, surtout
qu'il a probablement l'embaras du choix. Ce n'est pas la même chose pour
une machine qui pourrait servir "plus efficacement" (donc avec beaucoup de
bp et souvent beaucoup d'espace disque ;)

C'est d'ailleurs la raison pour laquelle je n'arrive pas à me faire à
la Mandrake de ma chère et tendre. Pour elle c'est parfait, mais
habitué à FreeBSD, j'ai tendance à vouloir mettre les mains dans le
cambouis, et à mettre le bazar un peu partout.

Ah, tu es comme moi, les mandrakes et compagnies font parties des distribs
où tu passes plus de temps à casser ce que la distrib a fait ...

[je rappelle qu'il s'agissait de la part du débat *n*x vs windows qui
concerne les "features" des applis MS.]

Justement, pour une fois que l'on dépasse un peu ce cadre, ça ne fait
pas de mal.

Oui, c'est bien de dépasser ce cadre, malheureusement, je penses que pour
une machine maison, la plus part des problèmes "de sécu" se situent à ce
niveau, c'est lamentable, mais c'est comme ça.


--
Marwan Burelle,
http://www.lri.fr/~burelle
( burelle@lri.fr | Marwan.Burelle@ens.fr )
http://www.cduce.org

On Sun, 07 Mar 2004 15:58:57 +0000, Marwan Burelle wrote:

J'aurais plutôt tendance à dire qu'une machine "à la maison" sera la cible
de gens voulant se faire la main (donc pas des personnes qui disposent
d'exploits non publiques) ou des nombreux virus/vers qui trainnent (mes
logs apache sont pleins de tentatives de nimba à chaque fois que je lance
apache ;)

Sauf si on a en face un "vraiment méchant" qui veut compromettre cette
machine là précisément, soit parceque des données sensibles sont
présentes sur un portable du LAN situé derrière (le big boss qui
relève ses mails de chez lui), soit parcequ'il espère à partir de là
rebondir via un VPN au coeur d'un réseau d'entreprise (cas du
télé-travailleur), soit parceque cette machine a des droits spécifiques
(par exemple liés à son IP) pour accéder au CVS d'un gros projet
open-source ...


Nicob

Marwan Burelle nous disait récement dans fr.comp.securite
<news:20040307100120.4cf32a40.burelle@lri.fr> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

Oui, je sais, mais d'un autre côté, jusqu'à présent, même avec une
ip fixe je n'ai pas vu grand chose de sérieux de tenter contre ma
machine (je surveille un minimum quand même.)

Peut-être un peu de chance, ou de malchance pour moi. Je dois avoir
deux ou trois traces bien suspecte par mois, mais bon Wanadoo n'est pas
le meilleur réseau pour être tranquille.


[Snip]

Oui, mais le probème reste que les machines "maisons" ne sont pas
des machines "stables". Elles coupent un peu n'importe quand (même
si certains pseudo-powerusers veulent faire péter l'uptime ... ),
elles peuvent être réinstaller à tout moment, même si
l'attaque/intrusion n'a pas été détectée ...

C'est une question d'équilibre des risques/problèmes. D'un côté
(entreprise) les risques d'être repérés sont plus importants, de
l'autre (maison) ce sont ceux de tout perdre du jour au lendemain.
Amha tout dépend du temps que le pirate sera prêt à prendre pour
préparer l'attaque. S'il est pressé il préfèrera la machine d'un
particulier, sur laquelle il pourra se montrer un peu plus goret. A
l'inverse s'il à le temps il préfèrera un machine d'entreprise, qui
demandera plus de minutie mais sera peut-être plus stable.

J'aurais plutôt tendance à dire qu'une machine "à la maison" sera
la cible de gens voulant se faire la main (donc pas des personnes
qui disposent d'exploits non publiques) ou des nombreux virus/vers
qui trainnent (mes logs apache sont pleins de tentatives de nimba
à chaque fois que je lance apache ;)

Je ne suis pas forcément d'accord avec toi pour ce qui concerne les
exploits non publiques. Imagine que tu sois un cracker débutant. Tu as
les connaissances et les capacités et tu découvres une faille,
peut-être un peu par hasard. Tu t'entraines à la maison, sur ton propre
LAN, te fais un magnifique exploit, et après ? Dans la mesure où tu es
débutant, tu dois probablement douter un peu, n'aurais-tu pas envie de
l'essayer en "vrai", sur une machine dont tu ne connais rien, si ce
n'est qu'à première vue ton exploit devrait fonctionner ? Juste pour
t'assurer que tu ne t'es pas laissé influencer par ta connaissance de
la machine cible, t'appuyant par exemple sur la présence d'une commande
qui n'est pas présente par défaut, mais que tu as l'habitude
d'installer sur tes propres ordinateur.

[...] Pour en revenir au rôle de rebond, je penses que si une machine
resiste à plus de 5 min de tentatives, l'attaquant en essayera une
autre, il ne va pas perdre son temps pour une machine comme ça,
surtout qu'il a probablement l'embaras du choix.

Ca, c'est clair. Même en étant généreux et en considérant qu'une
machine sur deux est protégée, ce ne sont pas les machines ouvertes qui
manquent.

Ce n'est pas la même chose pour une machine qui pourrait servir "plus
efficacement" (donc avec beaucoup de bp et souvent beaucoup d'espace
disque ;)

Ca dépend. J'étais parti dans l'optique d'une machine rebond, mais les
risques se sont quand même bien diversifiés. A l'époque où les facho de
fsp étaient au plus fort de leur forme, ils passaient leur temps à
installer des proxy sur les machines (certes ouvertes) des clients de
Wanadoo. Plus récement ce sont les serveurs HTTP qui fleurissent sur de
banales connexions ADSL/Cable, par des spammeurs qui en ont eu marre
d'être baladé d'hébergeurs en hébergeurs. D'ici quelques mois, on
devrait voir apparaitre la même chose avec les logiciels de partages de
fichiers en P2P, à l'image des serveurs FTP piratés.
Ces exemples ont en commun de ne pas nécessité réellement d'une large
bande passante, puisque la qualité de service n'est pas une priorité.
Cependant, ils augmentent le débit montant, ce qui pourrait être repéré
au sein d'un réseau d'entreprise. De plus, comme ce n'est pas pour une
utilisation personnelle, le "pirate" s'en fout un peu si la machine
n'est pas toujours connectées ou si elle change d'adresse IP.

[je rappelle qu'il s'agissait de la part du débat *n*x vs windows qui
concerne les "features" des applis MS.]

Justement, pour une fois que l'on dépasse un peu ce cadre, ça ne
fait pas de mal.

Oui, c'est bien de dépasser ce cadre, malheureusement, je penses
que pour une machine maison, la plus part des problèmes "de sécu"
se situent à ce niveau, c'est lamentable, mais c'est comme ça.

Il y a aussi une part d'éducation des utilisateurs, et là on peut
arriver à faire un petit quelque chose. Ne perdons pas espoir ;-)


--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.