[ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

bruno · Le 14/02/2014, à 08:17

La Freebox n'a pas de pare-feu. C'est un simple routeur (ou non si elle est configurée en pont réseau).

tiramiseb · Le 14/02/2014, à 08:28

bruno a écrit :

La Freebox n'a pas de pare-feu. C'est un simple routeur (ou non si elle est configurée en pont réseau).

Dans la mesure où derrière la Freebox le réseau est NATé, les adresses privées ne sont pas joignables à partir d'Internet.
Elle fait donc, par la force des choses, office de pare-feu de réseau.
Ce n'est pas un "vrai" pare-feu mais pour un réseau domestique c'est très bien.
L'important c'est que les machines internes ne soient pas joignables, ce qui est le cas.

(je parle bien sûr du fonctionnement en IPv4 ; en IPv6, ce n'est plus pareil vu que chaque machine a une adresse publique)

bruno · Le 14/02/2014, à 09:23

Oui je comprends ce que tu veux dire, mais un routeur n'est pas un pare-feu au sens strict.
Il agit comme un pare-feu « entrant » en isolant le réseau local. Mais il ne permet pas de filtrer les connexions ou les paquets sortants, un pare-feu au sens strict permet d'agir sur les paquets entrants et sortants. De plus, un routeur ne permet pas d'examiner les paquets qu'il transmet afin de s'assurer qu'ils sont bien à l'origine ou à destination d'une des machines du réseau local.

tiramiseb · Le 14/02/2014, à 09:42

De plus, un routeur ne permet pas d'examiner les paquets qu'il transmet afin de s'assurer qu'ils sont bien à l'origine ou à destination d'une des machines du réseau local.

En l'occurrence, vu qu'il y a du NAT, la box examine (au moins un peu, dirons-nous) les paquets entrants car elle doit bien faire une correspondance avec une machine interne à laquelle retransmettre une réponse d'un équipement distant.

Mais on est bien d'accord, les box ne sont pas des pare-feux au sens strict du terme.

nam1962 · Le 14/02/2014, à 10:20

Pour moi, la sécurité a été la raison de conversion de mes installés.

Dans 90% des cas, des proches m'ont appelé à cause d'un ordi sous W$ en vrac (ultra lent ou bloqué par un ransomware).
Les 10% restants étaient directement installés sur un ordi neuf.

Leur ai installé Xubuntu.
UFW simplement activé.
Réglé leur box en WPA avec mdp fort.
Demandé de faire leurs maj (réglées à quotidien) et de ne charger des paquets que par la logithèque.
J'utilise les PPA indiques dans mon tuto de finalisation.
Noscript en réglage minimal, betterprivacy, adblock et wot sur leur Firefox
Qupzilla en navigateur de secours.

Certains venaient auparavant 1 fois par mois me voir avec un ordinateur tout vérolé - ils n'ont sûrement pas changé leur usage du net (à l'effet wot près).

Pas eu un seul problème de sécurité sur les 40 installations Xubuntu depuis 2011. (Donc 2013 a été une année tranquille ! )

tiramiseb · Le 14/02/2014, à 10:35

UFW simplement activé.

Je ne suis pas sûr que ça apporte quelque chose.

Réglé leur box en WPA avec mdp fort.

Très bonne idée, je n'en parle même pas tellement c'est une évidence pour moi

Demandé de faire leurs maj (réglées à quotidien) et de ne charger des paquets que par la logithèque.

C'est les points les plus importants à mon avis.

nam1962 · Le 14/02/2014, à 10:55

tiramiseb a écrit :

UFW simplement activé.
Je ne suis pas sûr que ça apporte quelque chose.
(...)

Constatation perso : en général quand j'ai utilisé mon qbittorrent, pendant les deux jours suivants, mes démarrages sont plus lents.
Quand je regarde mon

dmesg

je constate que la lenteur est due au blocage de tentatives de connexion à mon port torrent (provenant d'IP russes, chinoises ou africaines)

agensbur · Le 14/02/2014, à 11:03

J'ai effectivement re-contrôlé un peu cette année donc en bilan
1-) Les navigateurs noscript sur firefox, mais maintenant aussi notsript pour chrome/chromium
2-) La box (mot de passe - contrôle de la désactivation de divers services de 'partages' gérable directement depuis la box - fixation des accès wifi sur identtifiant mac - fixation générale des IP locales (voir pourquoi ci-dessous).
3-) Suivi des mises à jour courante sur dépôt distrib - chasse aux softs inutilsés - quelques dépôts amis bien sélectionnés.
Théoriquement j'aurai du m'arréter là, pour mon cas.
-----
Mais vu le vent d'inquiétude qui a régné ces derniers temps j'ai recontrôlé la sécurité globale depuis les service externe dédiés.
Il y a eu quelque sorties violentes et polémiques sur le forum j'ai regardé de plus près le fonctionnement des parefeu linux (ce qui est manipulables à mon niveau donc ufw).
Résultat, comme exercice d'école, je me suis amusé à plomber les accès aux services locaux depuis le réseau local. Seules les machines effectivement inventoriées de façon fixe sur mon réseau accèdent aux services locaux (les partages samba - le réseau multimedia - ce qui peut tourner en localhost - les prises en main via ssh en local).
J'aurai pu encore plus spécialiser les accès/services autorisés machine par machine, et j'ai arrété là ma petite parano domestique.
Toujours en curieux j'ai regardé les histoire d'antivirus, ceux proposés à l'essai par les éditeurs windows (soft à installation malsaine sous linux et vraiment à fuir).
Ce qui tourne autour de clamav qui n'est ni dangereux ni pénalisant, juste inutile dans une utilisation comme la mienne.
----
Coté privacy : xubuntu mais c'est d'abors parce que je préfère cette interface. J'ai pris des mesures limitatives coté google, mais n'ai pas totalement coupé le cordon.

Dernière modification par agensbur (Le 14/02/2014, à 11:07)

compte supprimé · Le 14/02/2014, à 11:52

agensbur a écrit :

J'ai effectivement re-contrôlé un peu cette année donc en bilan
1-) Les navigateurs noscript sur firefox, mais maintenant aussi notsript pour chrome/chromium
2-) La box (mot de passe - contrôle de la désactivation de divers services de 'partages' gérable directement depuis la box - fixation des accès wifi sur identtifiant mac - fixation générale des IP locales (voir pourquoi ci-dessous).
3-) Suivi des mises à jour courante sur dépôt distrib - chasse aux softs inutilsés - quelques dépôts amis bien sélectionnés.
Théoriquement j'aurai du m'arréter là, pour mon cas.
-----
Mais vu le vent d'inquiétude qui a régné ces derniers temps j'ai recontrôlé la sécurité globale depuis les service externe dédiés.
Il y a eu quelque sorties violentes et polémiques sur le forum j'ai regardé de plus près le fonctionnement des parefeu linux (ce qui est manipulables à mon niveau donc ufw).
Résultat, comme exercice d'école, je me suis amusé à plomber les accès aux services locaux depuis le réseau local. Seules les machines effectivement inventoriées de façon fixe sur mon réseau accèdent aux services locaux (les partages samba - le réseau multimedia - ce qui peut tourner en localhost - les prises en main via ssh en local).
J'aurai pu encore plus spécialiser les accès/services autorisés machine par machine, et j'ai arrété là ma petite parano domestique.
Toujours en curieux j'ai regardé les histoire d'antivirus, ceux proposés à l'essai par les éditeurs windows (soft à installation malsaine sous linux et vraiment à fuir).
Ce qui tourne autour de clamav qui n'est ni dangereux ni pénalisant, juste inutile dans une utilisation comme la mienne.
----
Coté privacy : xubuntu mais c'est d'abors parce que je préfère cette interface. J'ai pris des mesures limitatives coté google, mais n'ai pas totalement coupé le cordon.

Merci pour le témoignage, ça fait plaisir de voir que comme toi, d'autres personnes ont essayé (et y sont arrivés !), d'appréhender d'une meilleure façon les règles concernant la sécurité informatique, et tout ce qui gravite un peu autour, tu es donc devenu un peu plus "acteur" pour la sécurité de ton environnement informatique, ce qui pour beaucoup est une attitude, intelligente et responsable !

Dernière modification par -pascal34- (Le 16/02/2014, à 14:17)

pires57 · Le 14/02/2014, à 13:17

nam a écrit :

UFW simplement activé.

Les régles par defaut sont ACCEPT si tu te contente de l'activé ... donc il faut le configurer...

nam1962 · Le 14/02/2014, à 14:03

Nononon.
Les règles par défaut sont :
incoming - refuser
outgoing - accepter

tiramiseb · Le 14/02/2014, à 14:16

Ah oui tiens, la policy entrante par défaut d'UFW est deny. Bon ok, ça a une utilité de simplement l'activer, alors

pires57 · Le 14/02/2014, à 14:59

ah?, en tout cas sur iptables avec debian la policy par défaut est ALLOW

tiramiseb · Le 14/02/2014, à 15:10

en tout cas sur iptables avec debian la policy par défaut est ALLOW

tu parles de la policy par défaut de netfilter (qui est en effet ALLOW), en place quand on n'a rien configuré du tout, ou alors de la policy mise en place par ufw ?

Je viens de tester sur une machine sous Debian, la policy entrante appliquée par défaut par ufw est également drop...

pires57 · Le 14/02/2014, à 15:23

et bien je n'utilise effectivement qu'iptable mais j'ai penser que ufw agissait de la même manière.
Je jetterais un coup d’œil a l'occas ^^

nam1962 · Le 14/02/2014, à 15:24

Bref :

sudo apt-get install gufw
sudo ufw enable

ferme les port entrants, épissétou.

(Gufw, c'est pour voir avec un peu de lisibilité, puisque ufw est installé par défaut )

Dernière modification par nam1962 (Le 14/02/2014, à 15:26)

tiramiseb · Le 14/02/2014, à 15:27

et bien je n'utilise effectivement qu'iptable

'faut un peu évoluer, 'spèce de barbu !

nam1962 · Le 14/02/2014, à 15:41

tiramiseb a écrit :

(...)
'faut un peu évoluer, 'spèce de barbu !

Ah, c'est lui ?

Dernière modification par nam1962 (Le 14/02/2014, à 15:42)

jmbif · Le 14/02/2014, à 18:29

Bonjour,

Intéressant ce "fil",...

Pour ufw je confirme ,....
Moi qui suis débutant sous Linux ( mais pas en Informatique ), j'avais était surpris de voir que le pare feu était
désactivé par défaut...d'autant que les règles de filtrages sont apparemment "pensées" pour satisfaire une
utilisation,...comment pourrais-je dire,..."familiale"...j'avais trouvé ça bizarre, mais bon, ce n'est qu'un détail..

Pour le wi-fi, partout où je passe ( famille, amis ),...j'active le filtrage mac et j'explique.
Les gens ne sont pas suffisamment informés ( ou n'osent pas trop "toucher" aux réglages de leur box )
c'est vraiment dommage car c'est une protection efficace et supplémentaire aux clés WPA qui, nous le savons,...ne sont
pas un problèmes pour certains.
Pour ma part, je n'utilise pas le wi-fi ( je suis un peu trop parano en ce qui concerne la sécurité ) et j'ai eu le tort ( mais j'aime )
de lire pas mal de bouquins sur la sécurité, et depuis, je fuis comme la peste tout ce qui est wi-fi.

Pseudo supprimé · Le 14/02/2014, à 18:41

Ah, c'est lui ?

YES. et même que ça gratouille dûr !

tiramiseb · Le 14/02/2014, à 18:53

j'avais était surpris de voir que le pare feu était désactivé par défaut

Il n'y a pas besoin de pare-feu par défaut.
Un pare-feu est nécessaire quand il y a des trucs qui écoutent alors qu'ils ne devraient pas.
Par défaut sur Ubuntu, il n'y a que le strict nécessaire qui écoute.

jmbif · Le 14/02/2014, à 18:57

Bonjour tiramiseb,

On est bien d'accord,....c'est pour cela que j'ai précisé que j'étais débutant sous Linux.
J'ai encore de "mauvaises habitudes",...

Dernière modification par jmbif (Le 14/02/2014, à 18:57)

compte supprimé · Le 15/02/2014, à 23:36

jmbif a écrit :

Bonjour,
Intéressant ce "fil",...
Pour ufw je confirme ,....
Moi qui suis débutant sous Linux ( mais pas en Informatique ), j'avais était surpris de voir que le pare feu était
désactivé par défaut...d'autant que les règles de filtrages sont apparemment "pensées" pour satisfaire une
utilisation,...comment pourrais-je dire,..."familiale"...j'avais trouvé ça bizarre, mais bon, ce n'est qu'un détail..
Pour le wi-fi, partout où je passe ( famille, amis ),...j'active le filtrage mac et j'explique.
Les gens ne sont pas suffisamment informés ( ou n'osent pas trop "toucher" aux réglages de leur box )
c'est vraiment dommage car c'est une protection efficace et supplémentaire aux clés WPA qui, nous le savons,...ne sont
pas un problèmes pour certains.
Pour ma part, je n'utilise pas le wi-fi ( je suis un peu trop parano en ce qui concerne la sécurité ) et j'ai eu le tort ( mais j'aime )
de lire pas mal de bouquins sur la sécurité, et depuis, je fuis comme la peste tout ce qui est wi-fi.

Salut jmbif.

Activer le filtrage MAC n'est peut-être pas une si bonne idée que cela, surtout si tu le fais chez tout le monde, on peut voir que ce filtrage est soumis à quelques faiblesses :

Sur Wikipédia, voir la partie appelée "Mac Spoofing" et la partie du dessous appelée "Fausse idées concernant le filtrages par adresse MAC" : http://fr.wikipedia.org/wiki/Filtrage_par_adresse_MAC

Et cet article (de 2007 par contre) mais voir après le titre appelé "Déjouer le filtrage MAC" : http://www.clubic.com/article-80766-2-d … -hack.html

Comme tu t'es lancé dans cette voix, étais-tu au courant de tout cela jimbif stp ?

Dernière modification par -pascal34- (Le 15/02/2014, à 23:40)

pires57 · Le 15/02/2014, à 23:43

ahah tiramiseb^^
le problème c'est qu'UFW (je ne dis pas que c'est un mauvais outils loin de la) n'est pas assez restrictif, certes il remplis son rôle de firewall mais il n'offre pas la totalité des fonctionnalités que peut m'offrir Iptables.

nam j'aime pas trop cette barbe la x) mais bon chacun ses goûts mdr .

bruno · Le 16/02/2014, à 08:35

nam1962 a écrit :

Bref :
sudo apt-get install gufw
sudo ufw enable
ferme les port entrants, épissétou.

Les ports ne sont pas « fermés », ils sont « masqués ». C'est toute la différence entre REJECT et DROP…

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#26 Le 14/02/2014, à 08:17

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#27 Le 14/02/2014, à 08:28

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#28 Le 14/02/2014, à 09:23

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#29 Le 14/02/2014, à 09:42

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#30 Le 14/02/2014, à 10:20

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#31 Le 14/02/2014, à 10:35

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#32 Le 14/02/2014, à 10:55

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#33 Le 14/02/2014, à 11:03

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#34 Le 14/02/2014, à 11:52

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#35 Le 14/02/2014, à 13:17

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#36 Le 14/02/2014, à 14:03

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#37 Le 14/02/2014, à 14:16

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#38 Le 14/02/2014, à 14:59

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#39 Le 14/02/2014, à 15:10

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#40 Le 14/02/2014, à 15:23

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#41 Le 14/02/2014, à 15:24

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#42 Le 14/02/2014, à 15:27

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#43 Le 14/02/2014, à 15:41

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#44 Le 14/02/2014, à 18:29

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#45 Le 14/02/2014, à 18:41

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#46 Le 14/02/2014, à 18:53

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#47 Le 14/02/2014, à 18:57

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#48 Le 15/02/2014, à 23:36

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#49 Le 15/02/2014, à 23:43

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

#50 Le 16/02/2014, à 08:35

Re : [ info ] Qu'a représenté pour vous la sécurité sur Ubuntu en 2013?

Pied de page des forums