Utilite d'un pare-feu sous Linux ?

Wald Sebastien wrote:

Ok, donc Linux configuré en client est invulnérable aux attaques
internet (pour le moment ?).

J'ai bien l'impression que selon votre acceptation de ce terme, tant
qu'aucune vulnerabilite' enorme n'a ete decouverte dans la pile IP d'un
OS (permettant d'executer du code tandis qu'aucun service n'ecoute sur
aucun port), celui-ci est "invulnerable aux attaques internet" tant qu'il
est configure' en client.

Il en est donc de meme pour tout OS (y compris windows) configure'
strictement en client : si windows a des ports en attente de connexion
c'est aussi qu'il a certaines fonctionnalites de serveur (pour le partage
de fichier par exemple), et on peut tres bien fermer ceux-ci.

Seuls des logiciels mal conçus externes
peuvent trahir le système s'ils ne sont pas mis à jour...

..ou des librairies comme la zlib, qui a deja ete l'objet de plusieurs
problemes, par exemple. Reste a voir ce qu'on appelle "logiciels
externes" sous un OS comme Linux. Il me semble quant a moi qu'etant
donne' l'emploi de la zlib, celle-ci meriterait d'etre comparee a une dll
de windows.

Merci. Me voilà donc rassuré.

C'est l'essentiel. Si vous n'etes pas du genre a ouvrir une
page web contenant une image .png, a lire un mail ou a
ecouter un mp3, vous ne risquez rien ;)

--
Tweakie


--
Posté via http://www.webatou.net/
Usenet dans votre navigateur !
Complaints-To: abuse@webatou.net

Voilà maintenant avec toutes ses jolies affirmations sur les logiciels
clients... Vous pouvez répondre à la première question : Mais à quoi
sert un firewall sous Linux ?

D'après ce que vous avez dit, seuls les logiciels clients peuvent trahir
l'os. Or un firewall n'y peut rien.

Un virus exécuté, le firewall n'y peut rien.

Afin, le firewall s'avére intéressant pour gérer une machine serveur
uniquement, je n'y vois pas de réelle utilité sinon...

Cordialement, Wald Sébastien.

Wald Sebastien <sebastw@free.fr> writes:

Voilà maintenant avec toutes ses jolies affirmations sur les logiciels
clients... Vous pouvez répondre à la première question : Mais à quoi
sert un firewall sous Linux ?

D'après ce que vous avez dit, seuls les logiciels clients peuvent
trahir l'os. Or un firewall n'y peut rien.

Un virus exécuté, le firewall n'y peut rien.

Afin, le firewall s'avére intéressant pour gérer une machine serveur
uniquement, je n'y vois pas de réelle utilité sinon...

Au moins pour "protéger" le serveur X, qui tourne sur une machine
cliente, ensuite pour proteger d'eventuels autres services qui peuvent
tourner legitimement (ou par inadvertence) sur une machine cliente,
enfin pour etre "furtif", c'est a dire ne jamais repondre a des
requetes externes, meme un ping.....

Et parceque ceinture *et* bretelles !!!!!


A +

VANHU.

Salut, Wald Sebastien. Tu as écrit:

Voilà maintenant avec toutes ses jolies affirmations sur les logiciels
clients... Vous pouvez répondre à la première question : Mais à quoi
sert un firewall sous Linux ?

A filtrer et logguer ce qui rentre, ce qui sort, ce qui tente de rentrer
et ce qui tente de sortir. Valà.

D'après ce que vous avez dit, seuls les logiciels clients peuvent trahir
l'os.

Non, relis les réponses qui t'ont été faites. Et d'ailleurs, sans que tu
ne précises où s'arrêtait l'os, selon toi...

Or un firewall n'y peut rien.

Un virus exécuté, le firewall n'y peut rien.

Le firewall n'est qu'une pièce de l'ensemble des mesures de protection,
qui accomplit la tâche qui lui est dévolue. Malgré la multitude des
formes qu'il peut revêtir et des fonctions qu'il peut assurer, il ne
pourra en aucune manière assurer celles pour lesquelles il n'a pas été
conçu.
Woah, que de baratin! Mais il me semble que cette approche est meilleure
que les conclusions que tu t'efforces de tirer (par les cheveux :).

Afin, le firewall s'avére intéressant pour gérer une machine serveur
uniquement, je n'y vois pas de réelle utilité sinon...

Tiens, j'ai bien envie de centraliser sur mon poste (qui n'écoute que
514/udp) l'ensemble des logs de tout le parc. Avec sauvegarde sur bande.
Quelqu'un verrait un problème à ça ? (-m limit kivabien, bien entendu)

--
tchelaviek

Wald Sebastien wrote:

Afin, le firewall s'avére intéressant pour gérer une machine serveur
uniquement, je n'y vois pas de réelle utilité sinon...

dans le cas d'une petite machine (genre un "vieux" pentium 1) qui fait
passerelle/routeur internet à la maison, ça permet aussi de faire
tourner des services sur la passerelle dont on a besoin de l'intérieur
du réseau local, et qu'on ne veut pas mettre à disposition au monde
entier. Ok, bien sur, si les logiciels sont bien congigurés, ils ne se
mettrons qu'à l'écoute des interfaces définies (par exe eth0 mais pas
eth1 ni ppp0), ou ne répondrons qu'à des sous adresses bien définies.
Mais lorsqu'un nouveau logiciel [comprendre serveur quelconque] est
installé, par défaut il écoute tout le monde, et tu peux oublier de
configurer cette écoute. Donc le firewall est utile, car il ne va pas
laisser passer les paquets "world wide" vers ce nouveau logiciel. C'est
une double sécurité.

a+

Salut, Laurent Bruder. Tu as écrit:

dans le cas d'une petite machine (genre un "vieux" pentium 1) qui fait
passerelle/routeur internet à la maison, ça permet aussi de faire
tourner des services sur la passerelle dont on a besoin de l'intérieur
du réseau local, et qu'on ne veut pas mettre à disposition au monde
entier.

Essayer d'éviter ça, même si c'est pas évident pour des questions de
coût. Ex: PJ avec sploit dhcpd, et tout il est cassé.

Ok, bien sur, si les logiciels sont bien congigurés, ils ne se
mettrons qu'à l'écoute des interfaces définies (par exe eth0 mais pas
eth1 ni ppp0), ou ne répondrons qu'à des sous adresses bien définies.
Mais lorsqu'un nouveau logiciel [comprendre serveur quelconque] est
installé, par défaut il écoute tout le monde, et tu peux oublier de
configurer cette écoute. Donc le firewall est utile, car il ne va pas
laisser passer les paquets "world wide" vers ce nouveau logiciel. C'est
une double sécurité.

Là, on est en plein dedans.
AMHA, et sans connaître tous les bidouillages possibles dans le
registre, il me semble qu'on rencontre pas mal de softs pour Ouin-ouin
qui se bindent à toutes les interfaces, et mêmes certains qui se mettent
à écouter sans qu'on ne leur ait rien demandé de tel, et sans que la
nature apparente du logiciel ne le laisse présumer.

Alors qu'il est traditionnel sur *nix de trouver dans le fichier de conf
de l'appli un paramètre du genre `interfaces= 127.0.0.1'. Qui est
d'ailleurs l'un des premiers à focaliser l'attention de l'admin.

Donc, la nécessité d'un pare-feu peut effectivement paraître plus
évidente sous Ouin-ouin que sous *nix.

--
tchelaviek

Le Mon, 02 Aug 2004 09:22:18 +0000, VANHULLEBUS Yvan a écrit :

Euh, si le gars a pris la main sur la machine, il va probablement
chercher a passer root en premier (ne serait-ce que pour pouvoir
nettoyer toute trace de son passage), et une fois qu'il est root, s'il
a besoin d'initier des sessions vers l'exterieur, il pourra facilement
binder un port privilegier, comme il pourra aussi facilement modifier
la politique de filtrage pour ne pas avoir a se preoccuper de ca !

Dans la plupart des cas, il va d'abord tenter de ramener des outils pour
passer root. Parce qu'un shell /bin/sh sans tty associée, ça restreint
fortement les possibilités de le faire. Dans ce cas, il va essayer de
ramener un démon SSH (par exemple) qui lui filera un vrai shell surun
port non privilégié pour travailler confortablement.

Ceci dit, pour en revenir à la remarque de Sébastien, elle est très
judicieuse et indispensable pour un serveur dont on sait décrire le
comportement sur le réseau, mais me semble mal adaptée à un end user.


--
Je sais les forums sont plus longs à charger à cause de ces messages,
mais comme à chaque message, vous en ajouter un voir plusieurs ça fait
encore plus long, ce qui vous ramène as vos propres responsabilités.
-+- OW in http://neuneu.mine.nu : T'avais qu'à pas répondre -+-