Jean-Yves F. Barbier wrote:Le dimanche 11 février 2007 18:19, Franck Joncourt a écrit :De Leeuw Guy wrote:Bonjour
Interdire le root login mais autoriser une connection par clefs
Guy
Je pense que autoriser le login root est beaucoup trop dangereux, meme
avec une clef publique.
Avec quelqu'un de mal intentionne sur le resau local, on est pas a
l'abris d'une "replay attack".
Faux, sinon la politique Debian n'aurait pas précédemment
changée "PermitRootLogin" de "no" vers "yes".JY
Jean-Yves F. Barbier wrote:
Le dimanche 11 février 2007 18:19, Franck Joncourt a écrit :
De Leeuw Guy wrote:
Bonjour
Interdire le root login mais autoriser une connection par clefs
Guy
Je pense que autoriser le login root est beaucoup trop dangereux, meme
avec une clef publique.
Avec quelqu'un de mal intentionne sur le resau local, on est pas a
l'abris d'une "replay attack".
Faux, sinon la politique Debian n'aurait pas précédemment
changée "PermitRootLogin" de "no" vers "yes".
JY
Jean-Yves F. Barbier wrote:Le dimanche 11 février 2007 18:19, Franck Joncourt a écrit :De Leeuw Guy wrote:Bonjour
Interdire le root login mais autoriser une connection par clefs
Guy
Je pense que autoriser le login root est beaucoup trop dangereux, meme
avec une clef publique.
Avec quelqu'un de mal intentionne sur le resau local, on est pas a
l'abris d'une "replay attack".
Faux, sinon la politique Debian n'aurait pas précédemment
changée "PermitRootLogin" de "no" vers "yes".JY
Michel Grentzinger wrote:
> [...]
> Réseau domestique...
> Donc j'interdis le login root mais je requiers une connexion par clà ©,
> c'est bien ça ?
> J'aurais accès au root directement ?
[...]
Cela devrait pouvoir te permettre de te logguer avec un mot de passe
pour les utilisateurs classiques et uniquement par clef publique pour
l'utilisateur root.
Y aurait-il quelqu'un dans l'assistance avec une telle configuration ?
[...]
Michel Grentzinger wrote:
> [...]
> Réseau domestique...
> Donc j'interdis le login root mais je requiers une connexion par clà ©,
> c'est bien ça ?
> J'aurais accès au root directement ?
[...]
Cela devrait pouvoir te permettre de te logguer avec un mot de passe
pour les utilisateurs classiques et uniquement par clef publique pour
l'utilisateur root.
Y aurait-il quelqu'un dans l'assistance avec une telle configuration ?
[...]
Michel Grentzinger wrote:
> [...]
> Réseau domestique...
> Donc j'interdis le login root mais je requiers une connexion par clà ©,
> c'est bien ça ?
> J'aurais accès au root directement ?
[...]
Cela devrait pouvoir te permettre de te logguer avec un mot de passe
pour les utilisateurs classiques et uniquement par clef publique pour
l'utilisateur root.
Y aurait-il quelqu'un dans l'assistance avec une telle configuration ?
[...]
Le dimanche 11 février 2007 20:32, Franck Joncourt a écrit :
> Michel Grentzinger wrote:
> > [...]
oui :
PermitRootLogin without-password
et configuration traditionelle pour les clefs publiques/privées.
Cela fonctionne, mais c'est « MAL » pour tous les jours.
Le dimanche 11 février 2007 20:32, Franck Joncourt a écrit :
> Michel Grentzinger wrote:
> > [...]
oui :
PermitRootLogin without-password
et configuration traditionelle pour les clefs publiques/privées.
Cela fonctionne, mais c'est « MAL » pour tous les jours.
Le dimanche 11 février 2007 20:32, Franck Joncourt a écrit :
> Michel Grentzinger wrote:
> > [...]
oui :
PermitRootLogin without-password
et configuration traditionelle pour les clefs publiques/privées.
Cela fonctionne, mais c'est « MAL » pour tous les jours.
> > > [...]
> oui :
> PermitRootLogin without-password
> et configuration traditionelle pour les clefs publiques/privées.
>
> Cela fonctionne, mais c'est « MAL » pour tous les jours.
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait q ue même
les clés ne sont pas échangées, mais seulement leurs repr ésentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal,
il-y-a énormément de chances pour qu'il finisse par se loger en root
Mais évidemment, si tu laisses sans surveillance une station logà ©e sous
root....
</mode baby Troll>
JY
> > > [...]
> oui :
> PermitRootLogin without-password
> et configuration traditionelle pour les clefs publiques/privées.
>
> Cela fonctionne, mais c'est « MAL » pour tous les jours.
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait q ue même
les clés ne sont pas échangées, mais seulement leurs repr ésentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal,
il-y-a énormément de chances pour qu'il finisse par se loger en root
Mais évidemment, si tu laisses sans surveillance une station logà ©e sous
root....
</mode baby Troll>
JY
> > > [...]
> oui :
> PermitRootLogin without-password
> et configuration traditionelle pour les clefs publiques/privées.
>
> Cela fonctionne, mais c'est « MAL » pour tous les jours.
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait q ue même
les clés ne sont pas échangées, mais seulement leurs repr ésentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal,
il-y-a énormément de chances pour qu'il finisse par se loger en root
Mais évidemment, si tu laisses sans surveillance une station logà ©e sous
root....
</mode baby Troll>
JY
Le lundi 12 février 2007 13:45, Jean-Yves F. Barbier a écrit :
> > > > [...]
Absoluement, je préfère de loin le challenge-response au plaint ext.
Je rêve même de la configuration où ta clef privée re ste sur clef USB et
est chargée/déchargée à l'insertion/suppression de ce tte dernière.
.......
Je m'explique : Ã se logguer en root on prends de mauvaise habitudes.
Plus l'habitude court, plus la « faignantise » s'installe et mo ins on
fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
glisse de la touche * vers entrée (les deux sont côte à c ôte) et que les
accidents arrivent.
...
De plus sudo consigne les actions, ce qui est judicieux dès lors que
l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
remplacé les flèches par "hjkl sont tes nouveaux amis" »</ troll>).
Le lundi 12 février 2007 13:45, Jean-Yves F. Barbier a écrit :
> > > > [...]
Absoluement, je préfère de loin le challenge-response au plaint ext.
Je rêve même de la configuration où ta clef privée re ste sur clef USB et
est chargée/déchargée à l'insertion/suppression de ce tte dernière.
.......
Je m'explique : Ã se logguer en root on prends de mauvaise habitudes.
Plus l'habitude court, plus la « faignantise » s'installe et mo ins on
fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
glisse de la touche * vers entrée (les deux sont côte à c ôte) et que les
accidents arrivent.
...
De plus sudo consigne les actions, ce qui est judicieux dès lors que
l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
remplacé les flèches par "hjkl sont tes nouveaux amis" »</ troll>).
Le lundi 12 février 2007 13:45, Jean-Yves F. Barbier a écrit :
> > > > [...]
Absoluement, je préfère de loin le challenge-response au plaint ext.
Je rêve même de la configuration où ta clef privée re ste sur clef USB et
est chargée/déchargée à l'insertion/suppression de ce tte dernière.
.......
Je m'explique : Ã se logguer en root on prends de mauvaise habitudes.
Plus l'habitude court, plus la « faignantise » s'installe et mo ins on
fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
glisse de la touche * vers entrée (les deux sont côte à c ôte) et que les
accidents arrivent.
...
De plus sudo consigne les actions, ce qui est judicieux dès lors que
l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
remplacé les flèches par "hjkl sont tes nouveaux amis" »</ troll>).
[...]
> Je m'explique : Ã se logguer en root on prends de mauvaise habitud es.
> Plus l'habitude court, plus la « faignantise » s'installe et moins on
> fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
> glisse de la touche * vers entrée (les deux sont côte à côte) et que les
> accidents arrivent.
Oui, et non...
Je m'explique: tant que ça n'est que du $user à modifier, c'est Ok;
par contre, si c'est systématiquement du system, là tu n'as pas le
choix (Ex: les modifs que je fais sur mon firewall ou sur mon serveur
sont *toujours* des modifs system (règle iptables, modifs de samba,
etc...), donc c'est plus rapide de se loger en root.)
Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
prend cette décision... et les précautions qui s'imposent.
Il m'est plus souvent arrivé de faire des conneries en me trompant
de console (console 2 en ssh sur un autre micro où tu crois êtr e,
alors que tu es en console 1, et vice-versa) que de faire des erreurs
parce que j'étais root.
>...
> De plus sudo consigne les actions, ce qui est judicieux dès lors q ue
> l'administration se fait à plusieurs (<troll>« quel est le x# !@ qui a
> remplacé les flèches par "hjkl sont tes nouveaux amis" » </troll>).
LÃ , effectivement, je suis d'accord avec toi, pas question de loger
directement en root!
Cordialement,
JY
[...]
> Je m'explique : Ã se logguer en root on prends de mauvaise habitud es.
> Plus l'habitude court, plus la « faignantise » s'installe et moins on
> fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
> glisse de la touche * vers entrée (les deux sont côte à côte) et que les
> accidents arrivent.
Oui, et non...
Je m'explique: tant que ça n'est que du $user à modifier, c'est Ok;
par contre, si c'est systématiquement du system, là tu n'as pas le
choix (Ex: les modifs que je fais sur mon firewall ou sur mon serveur
sont *toujours* des modifs system (règle iptables, modifs de samba,
etc...), donc c'est plus rapide de se loger en root.)
Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
prend cette décision... et les précautions qui s'imposent.
Il m'est plus souvent arrivé de faire des conneries en me trompant
de console (console 2 en ssh sur un autre micro où tu crois êtr e,
alors que tu es en console 1, et vice-versa) que de faire des erreurs
parce que j'étais root.
>...
> De plus sudo consigne les actions, ce qui est judicieux dès lors q ue
> l'administration se fait à plusieurs (<troll>« quel est le x# !@ qui a
> remplacé les flèches par "hjkl sont tes nouveaux amis" » </troll>).
LÃ , effectivement, je suis d'accord avec toi, pas question de loger
directement en root!
Cordialement,
JY
[...]
> Je m'explique : Ã se logguer en root on prends de mauvaise habitud es.
> Plus l'habitude court, plus la « faignantise » s'installe et moins on
> fait attention à ce que l'on fait. Et c'est à ce moment là que le doigt
> glisse de la touche * vers entrée (les deux sont côte à côte) et que les
> accidents arrivent.
Oui, et non...
Je m'explique: tant que ça n'est que du $user à modifier, c'est Ok;
par contre, si c'est systématiquement du system, là tu n'as pas le
choix (Ex: les modifs que je fais sur mon firewall ou sur mon serveur
sont *toujours* des modifs system (règle iptables, modifs de samba,
etc...), donc c'est plus rapide de se loger en root.)
Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
prend cette décision... et les précautions qui s'imposent.
Il m'est plus souvent arrivé de faire des conneries en me trompant
de console (console 2 en ssh sur un autre micro où tu crois êtr e,
alors que tu es en console 1, et vice-versa) que de faire des erreurs
parce que j'étais root.
>...
> De plus sudo consigne les actions, ce qui est judicieux dès lors q ue
> l'administration se fait à plusieurs (<troll>« quel est le x# !@ qui a
> remplacé les flèches par "hjkl sont tes nouveaux amis" » </troll>).
LÃ , effectivement, je suis d'accord avec toi, pas question de loger
directement en root!
Cordialement,
JY
Le lundi 12 février 2007 15:40, Jean-Yves F. Barbier a écrit :
> [...]
Je le concède, je suis le premier à me loguer en root dans ce c as
(il m'est arrivé de ne créer aucun compte utilisateur).
> Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
> prend cette décision... et les précautions qui s'imposent.
Je reconnais que j'y vais un peu fort en disant « c'est MAL », mais c'est
pour moi une façon de me rappeler justement ces fameuses « pr écautions
qui s'imposent »
(<flagellation>tout comme sudo qui me fait ch#@! Ã chaque fois qu'il me
demande mon mot de passe de 25 caractères</flagellation>).
Il y a d'autres méthodes comme se dire que « chaque fois qu'on se logue
en root pour rien, dieu tue un chat, pensez aux chats ».
> >...
> > De plus sudo consigne les actions, ce qui est judicieux dès lors que
> > l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
> > remplacé les flèches par "hjkl sont tes nouveaux amis"  »</troll>).
>
> LÃ , effectivement, je suis d'accord avec toi, pas question de loger
> directement en root!
Et pourtant on le fait si souvent...
En fait il faudrait assigner un shell qui consigne dans les journaux pour
les ssh par défaut ; je crois que c'est possible avec les
options du .ssh/authorized_keys mais je n'ai jamais testé.
Le lundi 12 février 2007 15:40, Jean-Yves F. Barbier a écrit :
> [...]
Je le concède, je suis le premier à me loguer en root dans ce c as
(il m'est arrivé de ne créer aucun compte utilisateur).
> Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
> prend cette décision... et les précautions qui s'imposent.
Je reconnais que j'y vais un peu fort en disant « c'est MAL », mais c'est
pour moi une façon de me rappeler justement ces fameuses « pr écautions
qui s'imposent »
(<flagellation>tout comme sudo qui me fait ch#@! Ã chaque fois qu'il me
demande mon mot de passe de 25 caractères</flagellation>).
Il y a d'autres méthodes comme se dire que « chaque fois qu'on se logue
en root pour rien, dieu tue un chat, pensez aux chats ».
> >...
> > De plus sudo consigne les actions, ce qui est judicieux dès lors que
> > l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
> > remplacé les flèches par "hjkl sont tes nouveaux amis"  »</troll>).
>
> LÃ , effectivement, je suis d'accord avec toi, pas question de loger
> directement en root!
Et pourtant on le fait si souvent...
En fait il faudrait assigner un shell qui consigne dans les journaux pour
les ssh root@xxx par défaut ; je crois que c'est possible avec les
options du .ssh/authorized_keys mais je n'ai jamais testé.
Le lundi 12 février 2007 15:40, Jean-Yves F. Barbier a écrit :
> [...]
Je le concède, je suis le premier à me loguer en root dans ce c as
(il m'est arrivé de ne créer aucun compte utilisateur).
> Pour conclure, c'est de la responsabilité de l'admin de savoir s'il
> prend cette décision... et les précautions qui s'imposent.
Je reconnais que j'y vais un peu fort en disant « c'est MAL », mais c'est
pour moi une façon de me rappeler justement ces fameuses « pr écautions
qui s'imposent »
(<flagellation>tout comme sudo qui me fait ch#@! Ã chaque fois qu'il me
demande mon mot de passe de 25 caractères</flagellation>).
Il y a d'autres méthodes comme se dire que « chaque fois qu'on se logue
en root pour rien, dieu tue un chat, pensez aux chats ».
> >...
> > De plus sudo consigne les actions, ce qui est judicieux dès lors que
> > l'administration se fait à plusieurs (<troll>« quel est le x#!@ qui a
> > remplacé les flèches par "hjkl sont tes nouveaux amis"  »</troll>).
>
> LÃ , effectivement, je suis d'accord avec toi, pas question de loger
> directement en root!
Et pourtant on le fait si souvent...
En fait il faudrait assigner un shell qui consigne dans les journaux pour
les ssh par défaut ; je crois que c'est possible avec les
options du .ssh/authorized_keys mais je n'ai jamais testé.
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait que même
les clés ne sont pas échangées, mais seulement leurs représentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal, il-y-a
énormément de chances pour qu'il finisse par se loger en root
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait que même
les clés ne sont pas échangées, mais seulement leurs représentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal, il-y-a
énormément de chances pour qu'il finisse par se loger en root
<mode baby Troll>
Pourquoi????
C'est au contraire bien plus sécurisé qu'un password, du fait que même
les clés ne sont pas échangées, mais seulement leurs représentations.
Par ailleurs les spécialistes sécurité estiment, pour une majorité, que si
un attaquant a déjà réussi à subtiliser un login pour un user normal, il-y-a
énormément de chances pour qu'il finisse par se loger en root
