Des serveurs supportés par Canonical 'piratés'

Plonk · Le 15/08/2007, à 17:24

Je viens de tomber sur ça, sur slashdot.org. Je ne vois pas exactement de quels serveurs il peut s'agir ("production servers" ce sont ceux de apt? Ceux qui servent pour envoyer les contributions des programmeurs ?).

Mais en tout cas, c'est presque surprenant que ça ne soit pas arrivé plus tôt. Il ne reste plus qu'à voir comment la communauté et Canonical vont gérer le problème.

Edit : titre

Dernière modification par Plonk (Le 15/08/2007, à 18:29)

HymnToLife · Le 15/08/2007, à 18:05

Si tu lisais plus attentivement, tu verrais que ces serveurs étaient sponsorisés par Canonical mais gérés par des LoCos, ils ne devaient donc rien contenir de bien important. Les données importantes sont hébergées au data center de Canonical.

Quand on lit une news, mieux vaut ne pas s'arrêter à la première ligne...

Dernière modification par HymnToLife (Le 15/08/2007, à 18:06)

Plonk · Le 15/08/2007, à 18:28

Ah okay, désolé.
Ca n'est pas faute d'avoir lu je t'assure, j'ai juste tout compris de travers

Yann · Le 15/08/2007, à 20:13

C'est plus compliqué que ca. C'était des serveurs dédiés (de merde) payés par canonical pour héberger les sites des LoCoTeams (comme nous) ainsi que d'autres projets connexes (Ubuntu video, ce genre de trucs).

Donc ca n'était pas SUPPORTE par canonical mais PAYE par canonical et administré par la communauté.

Après, rien de bien important, ca dépend, je te laisse juger ce qui se passerait si tout Ubuntu-fr disparaitrait, moi jtrouverais ca craignos

effraie · Le 15/08/2007, à 20:14

en réalité, il s'agit de 5 des serveurs qui hébergent les sites (comme le notre) des locoteam (ubuntu-{br,pt,en,*} par exemple.
Faisant partis des (rares) locoteams auto-organisée de ce point de vue, nous avaons été épargnés. Mais c'est un sacré mauvais coup qui vient d'arriver là!

EDIT: *argh* en même temps!

Dernière modification par effraie (Le 15/08/2007, à 20:15)

HymnToLife · Le 15/08/2007, à 20:59

Bah en même, les locos qui se sont fait avoir ne peuvent s'en prendre qu'à elles-mêmes. Quand on n'est pas fichu de sécuriser son serveur, on n'essaie pas de gérer le site d'une loco Ubuntu soi-même, surtout quand on sait que plus un truc est populaire, plus il attire les crackers.

brakbabord · Le 15/08/2007, à 21:01

Peut-être un coup des utilisateurs de BSD... ou de Debian

Yann · Le 16/08/2007, à 01:17

HymnToLife > c est un peu plus complique que ca. De 1/, je sais pas ce que tu connais de la securite d'un serveur, mais en général un serveur n'est jamais 100% secure; de 2/ il semblerait qu'il y avait des incompatibilites entre leurs serveurs (notammen les cartes reseaux) et les versions de Ubuntu superieures a Breezy, les empechant d'upgrader.

Enfin dire "ils avaient qu'a securiser leur serveurs" c'est facile a dire, personne n'est totalement a l'abris...

HymnToLife · Le 16/08/2007, à 01:22

Yann a écrit :

HymnToLife > c est un peu plus complique que ca. De 1/, je sais pas ce que tu connais de la securite d'un serveur, mais en général un serveur n'est jamais 100% secure; de 2/ il semblerait qu'il y avait des incompatibilites entre leurs serveurs (notammen les cartes reseaux) et les versions de Ubuntu superieures a Breezy, les empechant d'upgrader.
Enfin dire "ils avaient qu'a securiser leur serveurs" c'est facile a dire, personne n'est totalement a l'abris...

Ouais enfin quand même, utiliser FTP pour se logger sur un serveur qui contient des données sensibles, c'est gros... Et puis une carte réseau, ça se change.

cattzy · Le 16/08/2007, à 05:59

Apparemment le problème c'est que Canonical leur avait payé du matos de merde donc ils ne pouvaient pas faire les màj de sécurité (However, kernel upgrades couldn't be done because of poor backwards compatibility with the very hardware that Canonical had sponsored!).
Effectivement utiliser du FTP en clair pour se logguer c'est du suicide, mais je plussoie aussi à la remarque de Yann, en informatique des données c'est jamais sécurisé, c'est plus ou moins sécurisé

LeSmurf · Le 16/08/2007, à 18:13

Les commentaires vont aller bon train :
- Le Windowsien : "Ah ah! la sécurité sous Linux n'est donc qu'une légende!"
- Le Fedoriste : "Ah ah! La sécurité sous Ubuntu n'est donc qu'une légende! C'est normal, ils n'ont pas SELinux!" (j'ai lu quelque chose de ce type)

Dernière modification par LeSmurf (Le 16/08/2007, à 18:45)

matigol · Le 16/08/2007, à 18:19

Bah, ça arrive à tout le monde..non ?

Sauf à HymnToLife...

mangoo · Le 16/08/2007, à 21:23

Bref, doit on s'inquiéter hormis le fait que notre site préféré a eu chaud au miche?
Cela ne touche donc aucun dépots officielle ou pièce sensible des mise a jour?

mirmidon · Le 17/08/2007, à 10:39

Je viens de lire toutes les informations de Canonical et des intervenants directs :

Conclusion :
- Ce ne sont pas des serveurs de mises-à-jour.
- Ces serveurs n'appartiennent pas à Canonical mais sont financés par eux.
- Ces serveurs étaient sous une version Breezy d'Ubuntu qui n'est plus mise à jour.
- Il y a eu des erreurs humaines et techniques qui ont conduit à cet évènement. On peut citer l'utilisation d'outils non sécurisés (FTP non-crypté) et aussi la non-possibilité d'effectuer la migration vers une version plus récente due à un matériel non compatible.
- Les serveurs ont été très vite arrêtés.
- Une conférence a été mis en place le lendemain de l'affaire afin de trouver des solutions pour corriger les problèmes.
- Problèmes corrigés à la suite de la conférence.

NB : Toutes les informations sont disponibles sur le site d'Ubuntu
https://wiki.ubuntu.com/UbuntuWeeklyNew … 995d0ee280

Bonne journée

LeSmurf · Le 17/08/2007, à 11:45

C'est tout de même rassurant. Si le même problème avait eu lieu sur du Dapper ou du Feisty mis à jour et utilisé correctement...

alinov · Le 17/08/2007, à 15:13

salut à a tous

c'est vrai que les serveurs seront une cible du plus haut intérêt pour les défis de hack en tous genre ,au fur et à mesure de la popularisation des distrib.

Je me demandais si à l'heure actuelle les outils de MAJ ou d'install pouvaient avoir une vérification automatique (special neewb) de la somme MD5 ou SHA .Ce serait tres interessant au niveau sécu,une difficulté de plus à passer pour qui veut diffuser du fichier vérolé.

Bzh · Le 18/08/2007, à 15:32

C'est deja le cas !

Apt gère les signatures numériques des dépots !

brico · Le 19/08/2007, à 09:43

alinov a écrit :

Je me demandais si à l'heure actuelle les outils de MAJ ou d'install pouvaient avoir une vérification automatique (special neewb) de la somme MD5 ou SHA .Ce serait tres interessant au niveau sécu,une difficulté de plus à passer pour qui veut diffuser du fichier vérolé.

Comme dit Bzh c'est déjà le cas, les dépôts sont signés. D'autre part (et ça m'étonne que les teams n'y aient pas pensé) il existe des soft comme Bastille qui prennent les empreintes de tous les fichiers système. Au moindre doute, il suffit de comparer le hash des fichiers système avec celui de la base créée par Bastille (ou autre) et conservée ailleurs (évidemment) pour savoir quels fichiers sont compromis. Et il existe beaucoup d'autres outils à croiser entre eux.
En 2007, une phrase du style "tous les exécutables doivent être considérés comme compromis et remplacés" fait vraiment preuve de la négligence des adims qui ne sont pas fichus de se tenir au courant.

@ HymnToLife : pas forcément évident de changer les pièces. Moi je tourne avec des serveurs HP. Il faut déjà 15 bonnes minutes pour ouvrir la carcasse du serveur, puis changer la pièce veut dire aussi qu'elle est dispo dans le commerce (plus généralement en commande chez le fournisseur, quand il la fabrique encore -cas vécu de pièces indisponibles pour un serveur de 2002), et en plus, changer une pièce fout le boxon dans le contrôleur physique. Pour exemple, le manuel du modèle de serveur que j'utilise compte plus de 150 pages. Et il ne concerne que le serveur éteint avec des disques durs vierges (et sans blabla inutile) !

Si Canonical leur a fourni des machines trop complexe à faire tourner, je vois mal comment jeter la pierre aux admins. A ce niveau-là, on s'éloigne radicalement du pc de maison utilisé pour faire son serveur perso et c'est dur de faire ça en autodidacte (j'en sais quelque chose )
Après, il revient peut-être aux admins la faute de s'être surestimer. Se logguer en ftp est déjà grave, mais persister à continuer d'utiliser une machine alors qu'on sait parfaitement qu'on ne peut pas mettre son système à jour est tout de même sacrément étrange ! Un stagiaire d'été volontaire pour endosser la responsabilité ?

compte supprimé · Le 19/08/2007, à 10:31

Tain la haine, toutes ces données parties en fumée. Dîtes pas qu'ils avaient tout de même des backups ?

brakbabord · Le 19/08/2007, à 14:23

Ils tourneront sur un OpenBSD mis à jour et sécurisé la prochaine fois

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 15/08/2007, à 17:24

Des serveurs supportés par Canonical 'piratés'

#2 Le 15/08/2007, à 18:05

Re : Des serveurs supportés par Canonical 'piratés'

#3 Le 15/08/2007, à 18:28

Re : Des serveurs supportés par Canonical 'piratés'

#4 Le 15/08/2007, à 20:13

Re : Des serveurs supportés par Canonical 'piratés'

#5 Le 15/08/2007, à 20:14

Re : Des serveurs supportés par Canonical 'piratés'

#6 Le 15/08/2007, à 20:59

Re : Des serveurs supportés par Canonical 'piratés'

#7 Le 15/08/2007, à 21:01

Re : Des serveurs supportés par Canonical 'piratés'

#8 Le 16/08/2007, à 01:17

Re : Des serveurs supportés par Canonical 'piratés'

#9 Le 16/08/2007, à 01:22

Re : Des serveurs supportés par Canonical 'piratés'

#10 Le 16/08/2007, à 05:59

Re : Des serveurs supportés par Canonical 'piratés'

#11 Le 16/08/2007, à 18:13

Re : Des serveurs supportés par Canonical 'piratés'

#12 Le 16/08/2007, à 18:19

Re : Des serveurs supportés par Canonical 'piratés'

#13 Le 16/08/2007, à 21:23

Re : Des serveurs supportés par Canonical 'piratés'

#14 Le 17/08/2007, à 10:39

Re : Des serveurs supportés par Canonical 'piratés'

#15 Le 17/08/2007, à 11:45

Re : Des serveurs supportés par Canonical 'piratés'

#16 Le 17/08/2007, à 15:13

Re : Des serveurs supportés par Canonical 'piratés'

#17 Le 18/08/2007, à 15:32

Re : Des serveurs supportés par Canonical 'piratés'

#18 Le 19/08/2007, à 09:43

Re : Des serveurs supportés par Canonical 'piratés'

#19 Le 19/08/2007, à 10:31

Re : Des serveurs supportés par Canonical 'piratés'

#20 Le 19/08/2007, à 14:23

Re : Des serveurs supportés par Canonical 'piratés'

Pied de page des forums