Sudo et la sécurité?

korbé · Le 08/04/2009, à 14:21

Ok, très intéressant tout ça.

Mais la faille, elle est bouché?

jofab · Le 08/04/2009, à 15:32

Pour l'instant rien de nouveau. Et d'ailleurs personne n'a répondu à ma question concernant le rapport de bug (à savoir pourquoi n'est il pas public ?)

Le Farfadet Spatial · Le 08/04/2009, à 18:02

Salut à tous !

korbé a écrit :

Mais la faille, elle est bouché?

Ce qui ressort de ce fil de discussion, c'est d'abord qu'il ne s'agit bien du fonctionnement normal de Gksudo. Ce n'est pas une faille, mais une faiblesse du modèle de sécurité de la distribution. Faiblesse qui, s'il ne faut pas la minimiser, doit être relativisée : pour être exploitée, elle nécessite a minima un téléchargement volontaire et une exécution délibérée, ceci sans se soucier de ce qui va se passer, ce qui fait plusieurs erreurs de la part de l'utilisateur. De plus, elle ne fonctionne que sur des configurations utilisant Gksudo, donc elle me semble moins intéressante pour une personne malveillante que l'usage d'un paquet infecté.

A-t-elle une chance d'être bouchée ? Pas dans l'immédiat, car cela nécessite de changer en profondeur le principe même d'Ubuntu. Cependant, PolicyKit arrive --- en fait, il fait partie d'Ubuntu depuis la version 8.04 --- et change la donne. On s'oriente donc peu ou prou vers un abandon de Gksudo.

En ce qui conserve l'utilisation malveillante des fichiers .desktop et assimilé, AIDE permet de bien gérer le problème.

Donc, pas de panique, il y a de quoi s'occuper de cette faiblesse. Le plus important étant de ne jamais oublier de faire attention à ce qu'on télécharge et qu'on exécute.

jofab a écrit :

personne n'a répondu à ma question concernant le rapport de bug (à savoir pourquoi n'est il pas public ?)

Il me semble que c'est parce qu'il est présenté comme un rapport de faille de sécurité et qu'un tel rapport n'est pas public tant que la faille n'est pas comblée (ce qui nous ramène au début de mon message).

À bientôt.

Le Farfadet Spatial

Dernière modification par Le Farfadet Spatial (Le 08/04/2009, à 18:04)

lawl · Le 08/04/2009, à 19:34

Ce n'est pas une faille, mais une faiblesse du modèle de sécurité de la distribution. Faiblesse qui, s'il ne faut pas la minimiser, doit être relativisée : pour être exploitée, elle nécessite a minima un téléchargement volontaire et une exécution délibérée, ceci sans se soucier de ce qui va se passer, ce qui fait plusieurs erreurs de la part de l'utilisateur. De plus, elle ne fonctionne que sur des configurations utilisant Gksudo, donc elle me semble moins intéressante pour une personne malveillante que l'usage d'un paquet infecté..

C'est là le point de discorde la moitié des pages de ce fil débattent de faille ou pas faille...

Pas dans l'immédiat, car cela nécessite de changer en profondeur le principe même d'Ubuntu

En profondeur ! Il n'y a pas grand chose à modifier (cela peut être fait par l'utilisateur si il le veux) c'est juste que la politique d'Ubuntu est de simplifier l'administration à l'utilisateur qui a bien souvent un seul compte sur sa machine. C'est un choix politique.

fabux · Le 09/04/2009, à 22:04

Salut,

je ne sais pas si je me plante à mettre ça ici mais en cherchant comment faire ce qui est demandé ici, je suis tombé sur une option dans gconf-editor /apps/gksu. Cette option permettrai de mettre en pause toutes les appli le temps de taper son mdp.
Du coup est-ce que la "faille" serait toujours d'actualité ou pas?

philarmonie · Le 09/04/2009, à 22:14

non cette option ne résout pas le problème exposé ici
elle permet de se protéger des keylogger

fabux · Le 09/04/2009, à 22:24

autant pour moi...je viens de relire le sujet, que je suis pourtant depuis le début, et effectivement j'ai posté trop vite.

BBG44 · Le 31/01/2010, à 01:06

Bonsoir, je sais que c'est un dial ancien, mais j'ai une question sur ce sujet. Quand je rentre dans un terminal les commandes pour obliger l'ordinateur à me demander systématiquement le mot de passe sudo, je ne sais pas comment faire pour enregistrer la modification. Vous seriez donc aimables si vous pouviez m'indiquer la démarche à suivre. Merci.

Kanor · Le 31/01/2010, à 01:10

La doc c'est bien
sudo
section
Toujours demander le mot de passe

BBG44 · Le 31/01/2010, à 01:19

OK, mais après on ferme la fenêtre comment ?

valAa · Le 31/01/2010, à 01:32

Si l'éditeur utilisé par la commande visudo est vim :
- <i> pour entrer en mode édition
- on fait les modifs nécessaires
- <esc> pour sortir du mode édition (repasser en mode commande)
- :x pour enregistrer et quitter

Dernière modification par valAa (Le 31/01/2010, à 01:33)

Bybeu · Le 19/02/2010, à 20:42

Bonjour tous
Je viens m'incruster ici sur conseils de Fabux et de Chris Dener (ici, pas l'incruste)
J'ai des remarques et des questions (PS, j'ai lu les 12 pages, mais je prétends pas avoir tout compris, ni du texte, ni des conséquences)

[Je raconte...]Voilà, j'ai pris Ubuntu sur conseil d'un modérateur sur un autre forum qui me disait qu'un choix de distri, c'était juste une question de goût, et que pour lui, c'était Debian "parce que j'aime les spirales", tout ça après avoir bien innocemment déclenché un troll (c'est là que j'ai appris que c'est le nom qu'on donne aux questions sérieuses dans certains milieux )
Question goût, j'aurais déjà dû être méfiant de l'emploi du terme, mais bon, faut bien faire confiance à quelqu'un...
Bon alors voilà, je me retape une vielle CM aux capas HS, je la gave de RAM, et j'y carre KK... c'était mon karma, comme "La lettre volée" d'Edgar Poe (comme le nez au milieu de la figure, quoi). Donc je fais tout ça pour m'en faire un cht'it serveur samba de sauvegarde et plus si affinités, par exemple un tremplin pour zapper Windows...
Quelques ~menues~ galères plus tard, j'ai toujours pas configuré samba parce que j'ai vu qu'il y avait plusieurs façons de s'y authentifier, redonc je crée un compte local pour madame en me disant que ça doit être le mieux point de vue sécu en conjonction avec le cryptage des mots de passe (malgré que je sache que dans Windows c'est déconseillé de créer des comptes locaux sur un serveur, mais que d'autre part j'ai pas trop envie de monter l'équivalent d'une AD/LDAP dont mon nouveau PC serait le cœur) [/...ma vie]

... et voilà qu'en basculant d'un compte à l'autre et retour, je m'aperçois de la persistance du mot de passe gksudo après un verrouillage de session.... et même après la fermeture/réouverture de session !!! Apparemment, la session de madame n'en "bénéficie" pas, c'est toujours ça.

Alors j'y vais de mes questions/remarques
Le présupposé du PC-qui-n'est-pas-corrompu-au-préalable c'est celui sur lequel Microsoft c'est reposé en décidant que le parefeu, introduit avec le SP2 de XP si mon souvenir est bon, ne filtrerait que le trafic entrant. Ils ont fait l'impasse sur le fait que c'est le berger assis sur la chaise en face du clavier qui fait entrer un loup déguisé en smiley dans la bergerie.
J'ai l'impression que c'est ce qui risque d'arriver à Ubuntu si son succès lui apporte autant d'utilisateurs que Windows.
Question: j'ai cru comprendre qu'en passant à

timestamp_timeout=0

on réduirait le risque ("Pour ceux qui veulent profiter d'une sécurité accrue..."... c'est pas moi qui le dis, n'est-ce-pas) mais quelqu'un dit ici plus haut qu'un processus tournant en tâche de fond peut profiter furtivement de la fenêtre des 15 ou 5mn. N'en est-il pas de même si la durée du ticket est à zéro? (Là je le prouve que j'ai pas tout pigé). Je fais peut-être un lien abusif entre l'utilisation de 'per tty basis tickets - sudo option "tty_tickets" gives false sense of security due to reused pts numbers" et time-stamp,

man sudoers | grep 'tty_tickets'

alors merci de ne pas me rentrer dans le lard trop méchamment
Encore plus largué je suis: mon sudoers ne montre que

Default env_reset
root ALL=(ALL) ALL
%admin ALL=(ALL) ALL

, et en plus il s'affiche dans nano... y'a rien qui colle tout ça par défaut dans KK.
C'est compatible avec env_reset de mettre timestamp_timeout=0 ?
Il faut aussi mettre !lecture,tty_tickets,!fqdn, avant ? L'ordre compte?
Tout ceci à l'air de ne concerner que sudo, mais ça tourne autour de gksudo (et son copain de kde dont le nom m'échappe à l'instant)... y'a pas maldonne/malentendu?
Vous parlez de double clic plus haut, mais moi qui découvre Linux KK, je lance des trucx avec un simple-clic, p.e. dans la barre tâches en haut, y'a un raccourcis pour FireFox.... c'est le même problème?
J'ai une video nVidia MX4000, donc le driver propriétaire s'est installé, et j'ai trouvé malin de rajouter devant les commandes des raccourcis Système/Préférences/Affichage et Système/Administration/NVIDIA X Server Settings ....devinez quoi???, gksudo bien sûr, sinon pas moyen d'enregistrer la résolution d'écran... c'est une grosse connerie que j'ai fait là?
C'est très dérangeant cette sensation que j'ai d'arriver sur une planète où ces problèmes de sécurité somme toute assez basiques ressurgissent du fond de mes souvenirs de Windows... enfin, c'est probablement le lot de tout OS avec interface graphique, donc les questions et les réponses possibles doivent être les mêmes... donc si Ubuntu a rendez-vous avec le succès de masse, gageons que d'ici 2 ans on devra mettre un antivirus Norton .... monde cruel

Dernière modification par Bybeu (Le 20/02/2010, à 03:44)

alexduf · Le 19/02/2010, à 23:47

Pfou ! touffu le troll !

Bon, je suis pas en mesure de répondre à tout, et surtout pas aux détails techniques de la fin.
Si j'ai bien compris ton message amène deux question, la première, de surface : comment je fais pour être sûr que ma forteresse reste une forteresse ?
La seconde : Est-ce qu'Ubuntu va finir en passoire à la windows ?

La première, je sais pas, c'est pas mon fort.
La seconde : non. Je comprend que tu n'ais pas eu envie de relire les 12pages du sujet, mais en gros ubuntu est en train de migrer tous ses outils de configuration et autres outils d'administration pour utiliser le policy kit.
Le policy kit gère beaucoup plus finement les autorisation et évite ce genre de problème. (si j'ai bien compris, arrêtez mois si je fais fausse route)
Donc pour le moment il y a un problème potentiel (Si et seulement si quelqu'un utilise une autre faille, rappelons-le), mais c'est pas quelque chose qui va durer.

Là je sens qu'on est repartit pour 20 pages de débat

ilcorseronero · Le 20/02/2010, à 00:50

il suffit de désactiver sudo et de créer un compte admin.

korbé · Le 20/02/2010, à 02:09

Hello Bybeu.

Il est assez tard pour que je lise tout ton post mais j'a passerai un peut de temps demain afin de te répondre.

En attendant, je peut répondre déjà à deux questions qui semblent émaner de ce long écrit:
- Gksudo est-il dangereux? Pas grave puisqu'il est voué à disparaitre. Il sera remplacé par Policykit (c'est déjà en cours et très avancé). J'ai pas encore lut toute sa doc, mais Policykit permet de n'élever les droits au niveau de root qu'à certaines fonctions de certaines applications, à condition que le compte utilisateur qui fait cette action soit sur une liste blanche ou que le mot de passe root soit donné par l'utilisateur. Par exemple, on peut avoir un gestionnaire de paquet qui est lancé avec les droits de l'utilisateur mais qui peut élever les droit de sa fonction d'installation si l'utilisateur indique le mot de passe root. C'est plus précis et donc plus sécurisé que de donner les droit root à toute une application.

- Ubuntu va-t-il devenir comme Windows niveaux sécutié si il a du succès? Oui et non, ça dépend de sa politique dans l'avenir. Pour commencer, Windows n'est pas conçu pour être sécurisé. C'est pas moi qui le dit, mais un responsable de Microsoft. Faudrait que je retrouve son nom. Mais il faudrait couper le problème de sécurité en deux: Les Virus et les malwares.
Les virus utilisent des failles dans le système pour s'implanter. Les logiciels libres ont l'avantage d'avoir de grandes communautés très réactives qui peuvent corriger les failles très vite, chose que Windows et tout OS ou logiciel proprio n'ont pas. De plus, produire un virus c'est attirer l'attention sur une faille, et donc d'accélérer son colmatage. Serte, tout les logiciels libres n'ont pas de grandes communautés qui travaillent directement ou indirectement dessus, mais une faille n'est intéressante que si le logiciel est populaire et un logiciel libre populaire vas être amené à avoir sa communauté augmenter ou il vas être inclus dans une distrib où il y a déjà une grande communauté. Pour résumer: Plus un logiciel libre est populaire, plus il est une cible utile, mais plus sa communauté et donc sa réactivité augmente, ce qui compense les forces en faveur de la sécurité de ces logiciels. Donc si il y aura des problèmes de virus dans l'avenir, ce sera des applications propio proposé par Canonical dans les dépôt ou installé par l'utilisateur que ça viendra.
Pour les malwares, Ubuntu et les autres distib ont une protection extrêmement efficace: les dépôts. Tant que les dépôts distribuent des logiciels entièrement libres, on a la possibilité de savoir exactement, dans les moindres détails, ce qui est distribué. Et avec le nombre de personne qui bossent sur le code de ses logiciel, et ce toutes distributions confondues, un malware ne passerait pas inaperçu. Donc si il y aura des problèmes de malwares dans l'avenir, ce sera des applications propio proposé par Canonical dans les dépôt ou installé par l'utilisateur que ça viendra.
Mais il ne faut pas oublier les nombreux systèmes de sécurité mis en place au sein de GNU/LInux non plus.
En conclusion: si Ubuntu devient encore plus libre en virant tout logiciel proprio de ses dépôts et qu'aucun choix stupide n'est fait par les dév, Ubuntu devrait rester bien sécurisé même avec du succès.

Dernière modification par korbé (Le 20/02/2010, à 02:15)

Bybeu · Le 20/02/2010, à 04:44

Merci les gars, le ton de vos réponses me réconforte: j'ai le sentiment d'avoir trouvé le bon forum , pas du même tonneau que ceux où les modos te répondent "google".
Bon alors pour faire bref, rapport à mon petit niveau, la procédure dans l'ordre c'est dans l'ordre (détrompez-moi svp où je me trompe)
1) Je proscris en dehors de tout outil/contrainte informatique le login en root, c'est à dire que ça reste possible techniquement, mais ça ne sera pas utilisé de mon fait où à mon insu.
2) J'attribue un mot de passe (bien compliqué) à root.
2b) Je déplace son home dans /home (avec les copains) et je vérifie qu'il est proprio de son home
3) Je vérifie qu'il fait partie sans restriction du groupe "admin"
4) Je désinstalle sudo avec Synaptic avec l'option "suppression complète"
5) Je m'enlève du groupe admin
et hop c'est fini?

.....gulp... je viens de voir que Marie fait partie d'un groupe adm (id4) (avec moi mais sans root) et que je suis seul présent dans le groupe admin(id 115)
Qu'il y a d'autres groupes (sys, users, etc...)
Que j'ai plein de privilèges nominatifs comme Marie
Que root n'en a aucuns
Qu'il y a une notion de groupe principal dont j'ignore tout
Qu'on peut peut-être aussi imbriquer des groupes en CLI (pas avec le GUI, mais est-ce nécessaire de s'en préoccuper avant la suppression de mes propres droits en tant que premier utilisateur créé?)

Mais peut-être que la désinstallation complète de sudo remet tout dans l'ordre ???
Est-ce qu'il y a d'autres trucs sur les droits de certains fichiers/dossiers qui rendent l'abandon de sudo aléatoire au profit de l'installation d'une autre distribution, sans faire de Ubuntu-sudoless une usine à problèmes?
Quid des mises à jour ultérieures et de la release actuelle? J'ai fait assez de conneries sur des Windows pour que la question soit légitime je pense.

Merci de votre aide....
PS: en attendant vos réponses, je fait un google remove sudo

bye bye

Bybeu · Le 20/02/2010, à 10:25

Hou lalà.... ça à l'air coton... bon on va rester avec sudo... je vais plutôt me contenter de lecture sur le PolicyKit... ça me fera de la culture G

korbé · Le 20/02/2010, à 12:06

Plutôt que de le désinstaller, il est plus simple de le désactiver.

Regarde sur la page de doc de sudo, section visudo: http://doc.ubuntu-fr.org/sudo

Tu peux indiquer qui à le droit à Sudo, et qui n'y a pas le droit.

alexduf · Le 20/02/2010, à 13:04

Bybeu a écrit :

Hou lalà.... ça à l'air coton... bon on va rester avec sudo... je vais plutôt me contenter de lecture sur le PolicyKit... ça me fera de la culture G

Heu
A moins de posséder des données d'état sur ton serveur perso, sincèrement, le sudo même avec le comportement identifié sur ce forum, remplira parfaitement son rôle. Ne te prend pas la tête.

Pour que ce que nous avons vu soit exploité, il faut une AUTRE faille ! Dans ton navigateur, ton lecteur de mail, ton lecteur de musique.... et que si quelqu'un pense à utiliser une AUTRE faille, il pense aussi à utiliser ce qui est décris ici. Peu probable. Joue plutôt au loto.

Tiens simplement ton pc à jour, et tu pourra dormir sur tes deux oreilles, ne tombons pas dans la parano.

(et puis retirer le sudo d'ubuntu, c'est pas gagné, choisis plutot une ditrib sans sudo, tu t'embêtera moins si tu y tiens vraiment vraiment)

Bybeu · Le 20/02/2010, à 13:16

Merci les amis.
Je vais me la jouer pépère-standard, ça sera à mon niveau.
J'ai juste ajouté ,timestamp_timeout=0 à Defaults, mais sans mettre tty_tickets
Pas sûr que ça soit finaud, mais bon, ça marche, sudo réclame mes papier à chaque action.
Je vais essayer de régler mes pb d'affichage et de mise en veille, et je reviendrai vous soliciter plus tard au sujet d'une astuce de Link31 sur son fichier rcbash ou je sais plus quoi.... faut que je relise.

Bon week-end à tous

Le Farfadet Spatial · Le 22/02/2010, à 15:59

Salut à tous !

alexduf a écrit :

Pfou ! touffu le troll !

Meuh non !

ilcorseronero a écrit :

il suffit de désactiver sudo et de créer un compte admin.

Ha ! Ben si...

Cela dit, sans jeter la pierre à Ilcorseronero.

En tout cas, Bybeu, je salue ton courage de t'être tapé la file des douze pages de ce sujet de discussion.

Toutefois, j'ai le sentiment qu'à ce stade il est bon de rappeler certains points.

Tout d'abord, Richard STALLMAN a fondé la Free Software Foundation en 1985. Microsoft Windows 1.0 n'est sortie qu'en novembre 1985 et a été un échec retentissant : STALLMAN n'avait pas l'intention de contrecarrer Microsoft, mais de lutter contre la forte tendance à fermer les codes et notamment ceux du monde Unix, en contradiction avec l'esprit des hackers.

De même, lorsque Linus TORVALDS lance le projet Linux en 1991, Microsoft Windows en est à sa version 3.0, est encore une sur-couche de DOS et, s'il commence à connaître un certain succès, est loin d'être en position de domination. L'objectif de TORVALDS n'était là encore non pas de contrecarrer Microsoft, mais d'abord de se connecter au serveur de son université, ensuite de créer un système d'exploitation clone d'Unix.

Ceci pour dire que considérer Linux comme un anti-Windows est une vision à mon sens erronée.

Concernant la sécurité informatique, il faut bien avoir en tête que la protection parfaite n'existe pas. Partant, il importe de bien identifier ses besoins et de mettre en place une politique de sécurité cohérente. Le mot cohérent est important, parce qu'ultra-blinder une porte pour laisser une fenêtre ouverte n'a pas de sens.

Quels sont les risques qu'encourt un particulier ? Que quelqu'un s'introduisse sur son poste pour tenter de lui voler son numéro de compte en banque ou pour l'utiliser pour mener une attaque de plus grande envergure. S'il héberge un site personnel, un petit malin pourrait s'amuser à y mettre des liens vers des sites pornos -- ou, pire, dédiés à Carlos ! Rien qui ne vaille la peine d'y passer plus de quelques heures à quelques jours.

Concernant le problème des sites auto-hébergés, avant de s'embêter à trouver un accès root au serveur, on peut beaucoup jouer avec les failles de sécurités des logiciels employés à faire tourner le serveur. Donc, il faut déjà faire attention à ce qu'on installe et maintenir le système à jour. D'ailleurs, si on s'amuse à télécharger n'importe où et à exécuter n'importe quoi, même le meilleur système du monde finira par être corrompu. De toute façon, pour se prémunir des intrusions de l'extérieur, il importe, d'abord et avant tout, de bien configurer son pare-feu.

Cela dit, en plus des risques venant de l'extérieur, il faut aussi prendre en compte ceux qui viennent de l'intérieur. Or, ce sont les risques les plus importants concernant un réseau domestique. En effet, il arrive fréquemment qu'un utilisateur domestique fasse une erreur, quelque chose qu'il n'avait pas prévu de faire. Voire, ce n'est pas rare, qu'il se croit malin et qu'il fasse quelque chose de travers parce qu'il avait mal compris. Voilà qui peut mettre à mal tout un système, plus surement qu'un vil black hat hirsute et écumant.

Il est plutôt sain d'être prudent. Cela dit, on peut dire que le modèle de sécurité d'Ubuntu, concernant les risques venant de l'extérieur, est tout à fait approprié à un usage domestique et de PME-PMI classique. Ce n'est certes pas d'un niveau militaire, mais un tel niveau de sécurité au jour le jour, c'est bien lourd. Vous viendrait-il l'idée d'entourer votre maison d'un mur d'enceinte surplombé de barbelés, avec des miradors, des maîtres chiens et des contrôles rétiniens pour entrer ? Puis, au niveau de la sécurité contre les dangers venant de l'intérieur, Ubuntu est vraiment bien conçue.

Par contre, si décidément le modèle de sécurité d'Ubuntu ne vous plaît pas, plutôt que d'aller désactiver ceci pour réactiver cela et donc mettre à mal la cohérence de ce modèle, mieux vaut se diriger vers une autre distribution. Si vraiment vous y tenez, passez le délai de Sudo à zéro, ça ne va pas réduire la sécurité de votre système. Par contre, ça vous rajoutera des contraintes pour vraiment pas grand-chose. À mon avis, il est plus raisonnable de s'astreindre à ouvrir une console spécialement pour les tâches d'administration et à la refermer dès que l'on a fini.

Je rappelle que ce fil de discussion ne remet pas en cause Sudo, mais uniquement Gksudo. Justement, PolicyKit est là pour remplacer Gksudo. Plutôt que de lancer « nvidia-settings » via Gksudo, il n'est pas vraiment compliqué de taper ceci dans une console :

sudo nvidia-settings

Quant à parler de passoire de sécurité, le défaut relevé dans ce fil de discussion ne le permet pas : pour qu'elle soit exploitée, il faut déjà avoir fait plusieurs erreurs avant. De plus, le modèle Unix n'est pas vraiment adapté à la prolifération des virus, même s'il peut y avoir d'autres problèmes.

Puisque l'on parle de sécurité annexe, c'est lié : je vous encourage à installer Optimize Google, Addblock, Flashblock, voire Noscript.

À bientôt.

Le Farfadet Spatial

alexduf · Le 22/02/2010, à 16:35

Il est en forme le farfadet

Bybeu · Le 22/02/2010, à 18:02

Moi aussi j'aime le Farfadet
Un peu d'histoire ça fait du bien, on comprend mieux que les sorties de dmesg et autres lsmod ... enfin moi au moins . Y'a longtemps, j'avais lu le "Voyage à l'intérieur de l'AS/400" de Soltis, comme système à code fermé, ça se pose là, mais balaise quand même.

Le Farfadet Spatial a écrit :

...il est plus raisonnable de s'astreindre à ouvrir une console spécialement pour les tâches d'administration et à la refermer dès que l'on a fini...

... vi, mais avec moi le blème c'est que ça s'éternise: ça fait trois jours que je suis sur un pb de sortie de veille, alors là, gksudo serait mieux même avec le timestamp_timeout à 24h ... par "bonheur" y'a pas d'outils graphiques pour résoudre de genre de pb!... je crois.

kamui57 · Le 26/06/2010, à 21:58

J'ai lu toutes les pages, ça fait une bouillie dans mon cerveau là...

J'ai lu dans la doc que pour les applis graphiques il vaut mieux lancer en console "gksudo commande", si on fait ça, le terminal (ou pts ou qqch comme ça) dans lequel on peut utiliser encore sudo sans mot de passe pendant 15 minutes c'est le graphique, donc en lançant par ex synaptic en graphique il ne va pas demander de mot de passe, ou c'est le terminal dans lequel on a lancé "gksudo commande" ?

Est-ce toujours vrai qu'il vaut mieux lancer "gksudo commande" ou vaut-il mieux lancer "sudo commande" même en graphique ?

AlexandreP · Le 27/06/2010, à 02:01

kamui57 a écrit :

J'ai lu dans la doc que pour les applis graphiques il vaut mieux lancer en console "gksudo commande", si on fait ça, le terminal (ou pts ou qqch comme ça) dans lequel on peut utiliser encore sudo sans mot de passe pendant 15 minutes c'est le graphique, donc en lançant par ex synaptic en graphique il ne va pas demander de mot de passe, ou c'est le terminal dans lequel on a lancé "gksudo commande" ?

Que ce soit sudo, gksudo ou kdesudo, la demande de mot de passe est interrompue pour une durée de 15 minutes dans le terminal (tty) ou le pseudo-terminal (pts) courant. Même si ce (pseudo-)terminal est fermé puis rouvert, le délai avant la demande de saisie de mot de passe est mémorisée.

Petit exercice inoffensif en exemple :
1- J'ouvre un premier pseudo-terminal (Applications -> Accessoires ->Terminal) ; ce pesudo-terminal est identifié /dev/pts/0. Ceci peut être vérifié en exécutant la commande tty ;
2- J'exécute une commande quelconque à l'aide de sudo (ex : sudo apt-get update). Mon mot de passe est demandé. Il ne sera plus demandé pour les actions d'administration accomplies dans le pseudo-terminal /dev/pts/0 pour les 15 prochaines minutes ;
3- J'ouvre un second pseudo-terminal ; ce pesudo-terminal est identifié /dev/pts/1. Ceci peut être vérifié en exécutant la commande tty ;
4- J'exécute une commande quelconque à l'aide de sudo (ex : sudo apt-get update). Mon mot de passe est demandé, car je suis dans un nouveau pseudo-terminal. Il ne sera plus demandé pour les actions d'administration accomplies dans le pseudo-terminal /dev/pts/1 pour les 15 prochaines minutes ;
5- Je ferme le pseudo-terminal /dev/pts/0 ;
6- J'ouvre un nouveau pseudo-terminal ; ce pesudo-terminal est identifié /dev/pts/0 (puisque l'entrée a précédemment été libérée, elle est disponible pour attribution). Ceci peut être vérifié en exécutant la commande tty ;
7- J'exécute une commande quelconque à l'aide de sudo (ex : sudo apt-get update). Mon mot de passe n'est pas demandé, car je me trouve dans le pesudo-terminal /dev/pts/0 et que le délai de 15 minutes n'est pas écoulé.

Autre petit exercice inoffensif en exemple :
1- Je ferme toutes les sessions utilisateurs en cours dans mon ordinateur ;
2- J'ouvre une session avec mon compte d'utilisateur privilégié. Ceci pour m'assurer que ma session est bien ouverte sur le terminal /dev/tty7 ;
3- J'exécute une tâche administrative quelconque (ex : j'ouvre le gestionnaire de mises à jour [Système -> Administration -> Gestionnaire de mises à jour et j'actualise la liste des mises à jour disponibles]). Mon mot de passe m'est demandé. Il ne le sera plus pour les 15 prochaines minutes dans ce terminal ;
4- Je passe dans un autre terminal (par exemple, vers le terminal /dev/tty1 en appuyant sur [CTRL]+[ALT]+[F1]). J'ouvre une session utilisateur avec mon compte privilégié ;
5- Je termine le service GDM : sudo service gdm stop. Mon mot de passe est demandé, car je suis dans un autre terminal. Mon mot de passe ne sera plus demandé pour les 15 prochaines minutes dans le terminal /dev/tty1 ;
6- Je redémarre le service GDM : sudo service gdm start. Mot mot de passe n'est pas demandé, car je suis dans le terminal #1 et que le délai de 15 minutes n'est pas expiré ;
7- Je suis automatiquement renvoyé dans le terminal #7. J'ouvre une session avec mon compte d'utilisateur privilégié ;
8- J'exécute une tâche administrative quelconque (ex : j'ouvre le gestionnaire de mises à jour [Système -> Administration -> Gestionnaire de mises à jour et j'actualise la liste des mises à jour disponibles]). Mot mot de passe n'est pas demandé, car je suis dans le terminal #7 et que le délai de 15 minutes n'est pas expiré.

kamui57 a écrit :

Est-ce toujours vrai qu'il vaut mieux lancer "gksudo commande" ou vaut-il mieux lancer "sudo commande" même en graphique ?

La règle est simple :
- gksudo ou kdesudo pour une application graphique ;
- sudo pour une application en console ou pour une commande en console.

D'après la documentation anglophone, gksudo paramètre le dossier personnel (la variable d'environnement $HOME) pour l'application exécutée en mode privilégiée à /root/ plutôt qu'à /home/<identifiant>/ et copie le fichier .Xauthority dans un dossier temporaire. Ceci empêche que des fichiers du dossier personnel de l'utilisateur changent de propriétaire (et donc corrompre la session graphique en cours).

Dernière modification par AlexandreP (Le 27/06/2010, à 02:35)

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#276 Le 08/04/2009, à 14:21

Re : Sudo et la sécurité?

#277 Le 08/04/2009, à 15:32

Re : Sudo et la sécurité?

#278 Le 08/04/2009, à 18:02

Re : Sudo et la sécurité?

#279 Le 08/04/2009, à 19:34

Re : Sudo et la sécurité?

#280 Le 09/04/2009, à 22:04

Re : Sudo et la sécurité?

#281 Le 09/04/2009, à 22:14

Re : Sudo et la sécurité?

#282 Le 09/04/2009, à 22:24

Re : Sudo et la sécurité?

#283 Le 31/01/2010, à 01:06

Re : Sudo et la sécurité?

#284 Le 31/01/2010, à 01:10

Re : Sudo et la sécurité?

#285 Le 31/01/2010, à 01:19

Re : Sudo et la sécurité?

#286 Le 31/01/2010, à 01:32

Re : Sudo et la sécurité?

#287 Le 19/02/2010, à 20:42

Re : Sudo et la sécurité?

#288 Le 19/02/2010, à 23:47

Re : Sudo et la sécurité?

#289 Le 20/02/2010, à 00:50

Re : Sudo et la sécurité?

#290 Le 20/02/2010, à 02:09

Re : Sudo et la sécurité?

#291 Le 20/02/2010, à 04:44

Re : Sudo et la sécurité?

#292 Le 20/02/2010, à 10:25

Re : Sudo et la sécurité?

#293 Le 20/02/2010, à 12:06

Re : Sudo et la sécurité?

#294 Le 20/02/2010, à 13:04

Re : Sudo et la sécurité?

#295 Le 20/02/2010, à 13:16

Re : Sudo et la sécurité?

#296 Le 22/02/2010, à 15:59

Re : Sudo et la sécurité?

#297 Le 22/02/2010, à 16:35

Re : Sudo et la sécurité?

#298 Le 22/02/2010, à 18:02

Re : Sudo et la sécurité?

#299 Le 26/06/2010, à 21:58

Re : Sudo et la sécurité?

#300 Le 27/06/2010, à 02:01

Re : Sudo et la sécurité?

Pied de page des forums