Venez tester la sécurité de votre système GNU/Linux !

Heliox · Le 29/10/2010, à 20:29

pas de problème non plus chez moi, le lien est intéressant en tout cas.

tooguy66 · Le 30/10/2010, à 06:42

Je viens de tomber sur cet article, vu que l'on parle sécurité....Le passage qui parle de Ubuntu, c'est grave docteur?
http://www.01net.com/editorial/522984/l … -et-linux/

Dernière modification par tooguy66 (Le 30/10/2010, à 06:42)

Heliox · Le 30/10/2010, à 09:48

Il y a déja un lien je crois : http://forum.ubuntu-fr.org/viewtopic.php?id=425887

Dans ce cas, le problème vient de l'utilisateur qui autorise l'exécution implicite d'un vers en Java. Ce n'est pas une faille à corriger, il y a deux moyen de s'en protéger :
- Ne pas autoriser de truc douteux (comme c'est le cas pour ce vers).
- Ne pas installer Java sur son ordinateur, ça évite tous les problèmes (comme avec Flash ).

Koshie-2.0 · Le 30/10/2010, à 14:07

pierrecastor a écrit :

Donc en partant de cette logique, il ne faudrait rien télécharger en se basant sur le wiki d'ubuntu, et ne pas rajouter de dépôts non plus ?

Logiquement, oui. Vu que le wiki est ouvert à tous et que n'importe qui peut le modifier sans problème. Et pour les dépôts c'est pareil, comment peux-tu faire confiance à un dépôt non-officiel ? Si je créer le miens et que j'ajoute des logiciels espion dans les paquets que je créer, comment pourrais-tu le savoir ? Ou un newbie ?

Le libre a cette différence en règle général : On peut tout consulter, tout reprendre, créer sa modification mais la branche officielle est la branche officielle, point. Ce sont les membres de cette branche qui feront les modifications et reliront le tout.

Dernière modification par Koshie-2.0 (Le 30/10/2010, à 14:07)

fabien26 · Le 30/10/2010, à 14:13

Moi je pars du principe, que si le type qui fait un PPA accepte de mettre en clair son nom et prénom (comme il est obligatoire quand on ouvre un PPA)

Il saura que son comportement peut affecter sa réputation s'il fait n'importe quoi ...

Après ça fait un moment que j'ai ouvert mon Compte à launchpad ... je ne sais pas si il y a de garantit que le prénom/nom mis en ligne soit réellement le bon dans tous les cas ...

Mais en général faut quand même faire confiance à certaines personnes. Si il y a une erreur dans le WIki, elle ne reste pas longtemps.

Alors si il y a un modéré, commande dangereuse. Enfin vous voyez ce qu'il voulaut dire quoi… dans une page de wiki, il ne reste pas une heure !

Après quoi qu'on fasse il y a un risque. Même une bonne action, même quelque chose à l'origine fait pour t'arranger la vie peut poser un nombre de problèmes considérable !

Alors bon faut savoir minimiser un peu ... Rien n'a aucun risque dans ce monde ! Même un paquet officiel peu avoir un bug ou n'importe quoi dedans en théorie ! C'est juste impossible que le code de tous les paquets et de tous les patch soit relu à chaque fois entre chaque version ...

Donc arrêter votre parano, elle n'a pas lieux d'être. Il y a plus de bonne âmes que de mauvaise dans ce monde !

Dernière modification par helly (Le 30/10/2010, à 14:20)

Koshie-2.0 · Le 30/10/2010, à 16:15

fabien26 a écrit :

C'est juste impossible que le code de tous les paquets et de tous les patch soit relu à chaque fois entre chaque version ...

Ah bon ? Et pourquoi ? Il est inutile de relire ce qui n'a pas été modifié pour commencer. De plus si je ne m'abuse chez OpenBSD ça se passe comme ça…

Dernière modification par Koshie-2.0 (Le 30/10/2010, à 16:16)

fabien26 · Le 30/10/2010, à 16:57

Oui et il est fort connu qu'openBSD est à la pointe des nouveautés !

Sinon oui lire ce qui n'a pas été modifié est en effet inutile, mais il y a des mise à jour basique et non vérifiés comme le fait de passer directement à la dernière version de chaque programmes, on ne vas tout de même pas vérifier leur code ! Non mais ... tu n'imagine pas le boulot ?

De plus il y a au sein des dépôts "officiels" le fameux dépôt multiverse qui contient des fichiers propriétaires invérifiables ! Et Universe est tellement vaste que parfois ça prend des mois rien que pour demander et finir par avoir un raccourci dans les menus ! Ce qui prouve à quel point l'attention porté à ces programme est grand. Parfois d'ailleurs certains programmes sont tout bonnement cassés et ne marche carrément pas sur la nouvelle version d'Ubuntu. Si on part dans l'optique que tout est vérifié scrupuleusement, voici encore une preuve qui prouve que non !

D'ailleurs c'est bien normal ! Et je ne dis pas du tout que c'est un problème ou que c'est affreux ou je ne sais quoi, non pas du tout ! C'est tout à fait normal et compréhensible ! Enfin normal ... disons normal à cause des limites de temps que s'impose Ubuntu pour faire une nouvelle version tous les six mois ainsi que l'ambitions mise dans chaque version qui est je trouve bien trop grande, mais encore une fois c'est le concept d'Ubuntu, si on aime pas on s'en va de toute façon !

Koshie-2.0 · Le 31/10/2010, à 02:07

Sauf qu'OpenBSD a peut être raison, vu que leur optique c'est la sécurité et non la nouveauté. Tu veux du beau tout neuf et à la pointe ? Fedora, ArchLinux, Gentoo, FreeBSD… Tu veux du très stable et sécurisé ? Debian (paraît-il), CentOS et OpenBSD.

Ce sont des philosophie différentes, c'est tout.

Si j'utilise Ubuntu c'est pour le rapport nouveauté / stabilité. Parce que bon, je ne trouvais pas Fedora super stable sur mon eeePC, par contre sur mon serveur, ArchLinux ne m'a jamais posé de problème (mais ça ne se compare pas vraiment vu que sur ce serveur il y a BEAUCOUP moins d'application et surtout beaucoup moins de boulot effectué dessus). Ubuntu est plutôt à jour mais pas trop ce qui permet d'avoir une pointe de fiabilité dans mon utilisation quotidienne. Je ne dis pas que j'ai jamais de soucis avec Ubuntu, c'est faux, mais dans l'ensemble tout va bien.

Sir Na Kraïou · Le 31/10/2010, à 02:23

Aux rmll de Nantes, j'avais causé avec une nana d'openbsd, qui m'avait dit que la sécurité d'openbsd, c'était un peu du mythe. Elle disait qu'en fait, quand il y a un problème, ils ont tendance à essayer de réparer en cachette pour garder leur réputation (2 faille en dix ans), et elle me conseillait de rester sous debian (j'avais un tshirt debian), parce qu'ils jouent franc jeu. Pourtant, c'était pas longtemps après le truc avec openssl.

Bon, j'sais pas trop ce qu'il en est réellement, mais le fait que même la nana qui tienne un stand (donc supposée faire de la pub) soit si critique, ça m'avait un peu refroidie.

Koshie-2.0 · Le 31/10/2010, à 02:34

Bah elle est honnête (sauf si elle ment, bien sûr). Et si c'est bien le cas chez OpenBSD c'est un peu dégueulasse quand même.

J'vais montrer ça à quelques OpenBSDeiste pour rigoler :þ…

helly · Le 31/10/2010, à 11:57

Aux rmll de Nantes, j'avais causé avec une nana d'openbsd, qui m'avait dit que la sécurité d'openbsd, c'était un peu du mythe. Elle disait qu'en fait, quand il y a un problème, ils ont tendance à essayer de réparer en cachette pour garder leur réputation (2 faille en dix ans),

Comme chez Apple quoi .

tooguy66 · Le 31/10/2010, à 15:26

A ce propos d'ailleurs...Pour tous les détenteurs d'iphones sous iOS4 qui ne serait pas encore au courant
http://leweb2zero.tv/video/kapsul_224cc70a2d3bf12

Ça a fonctionné sur deux iphones non jailbreakés. Si vous ne voulez pas que l'on téléphone sur votre dos.....

Koshie-2.0 · Le 31/10/2010, à 17:42

Peut-on appeler ça réellement une faille ? Moi je pense que c'est volontaire. Imaginez que vous avez un ami qui fait une crise cardiaque et qu'il est le seul à avoir un téléphone sur lui. Comment appelez sinon utiliser la fonction appel d'urgence ? C'est une faille physique, donc pas vraiment une trop grosse faille.

Vous me passez un ordinateur sous GNU/Linux et je peux booter en root sans trop de problème sans connaître le mot de passe... Pareil sous Windows.

Ce qui est bizarre avec ma supposition c'est que sur l'Iphone de mon frère, l'avant dernier, ça ne marche pas, j'ai le droit à "notruf". Donc ça peut être soit une faille soit une nouvelle fonctionnalité.

Le soucis persiste en cas de vol de téléphone ou d'emprunt non souhaité.

Et pour un ordinateur rien ne vaut le chiffrement des partitions... Peut-on accéder aux partitions chiffrés sans mot de passe via le recovery mode qui, de mémoire, permet d'être en root sans utiliser de mot de passe ?

Dernière modification par Koshie-2.0 (Le 31/10/2010, à 17:46)

tooguy66 · Le 31/10/2010, à 22:26

Honnêtement je ne crois pas que ce soit volontaire, d'ailleurs je vois pas la moindre mise à jour pour régler le problème. Là il s'agit pas que de passer un coup de téléphone aux urgences, tu accède aux répertoires et autres fonctions importantes.
En tout cas cette faille est difficile a cacher

Dernière modification par tooguy66 (Le 31/10/2010, à 22:26)

Koshie-2.0 · Le 31/10/2010, à 23:33

tooguy66 a écrit :

Honnêtement je ne crois pas que ce soit volontaire, d'ailleurs je vois pas la moindre mise à jour pour régler le problème. Là il s'agit pas que de passer un coup de téléphone aux urgences, tu accède aux répertoires et autres fonctions importantes.
En tout cas cette faille est difficile a cacher

Et ça se trouve appeler une personne du répertoire peut servir à ton urgence ? Mais c'vrai que c'est douteux.

Grünt · Le 01/11/2010, à 02:41

Koshie-2.0 a écrit :

tooguy66 a écrit :
Honnêtement je ne crois pas que ce soit volontaire, d'ailleurs je vois pas la moindre mise à jour pour régler le problème. Là il s'agit pas que de passer un coup de téléphone aux urgences, tu accède aux répertoires et autres fonctions importantes.
En tout cas cette faille est difficile a cacher
Et ça se trouve appeler une personne du répertoire peut servir à ton urgence ? Mais c'vrai que c'est douteux.

Ben non, c'est vrai: si pendant une rave party quelqu'un se pète une jambe, appeler le numéro d'urgence n'est pas une bonne idée, même s'il est nécessaire de faire venir de l'aide médicale. Il me semble que le SAMU est tenu au secret professionnel et ne se ramène pas avec les flics (pour les pompiers, c'est moins sûr).

Donc oui, on peut avoir besoin de composer un numéro précis et "arbitraire" dans une situation d'urgence.

tooguy66 · Le 02/11/2010, à 19:09

Je pense plus a un truc du style: le détenteur du téléphone est dans un sale état et la personne qui est à ses côtés c'est capitaine caverne.
Donc Capitaine Caverne saute sur le téléphone, et n'a qu'a appuyer sur un seul bouton pour être localisé et informer docteur House de la situation. Le coup de la jambe cassé c'est pas vraiment l'exemple, la personne est consciente (elle à mal c'est sur hein, mais bon ) elle peut donc taper les chiffres qu'elle veut sur son mobile

THS` · Le 03/11/2010, à 01:22

Koshie-2.0 a écrit :

Peut-on accéder aux partitions chiffrés sans mot de passe via le recovery mode qui, de mémoire, permet d'être en root sans utiliser de mot de passe ?

Euh, il me semble bien qu'il faut se connecter avec username et password pour acceder au recovery...

Heliox · Le 04/12/2010, à 15:57

Ça commence à être dans mes habitudes le déterrage

En parallèle au script, voila un tableau récapitulatif des fonctionnalités de sécurité qu'intègre la plupart des distributions (testés par le script)

- Ubuntu et probable sa famille Kubuntu/Xubuntu/Edubuntu : https://wiki.ubuntu.com/Security/Features
- Fedora : http://fedoraproject.org/wiki/Security/Features
- OpenSUSE et probablement SLED/SLES : http://en.opensuse.org/openSUSE:Security_Features

J'ai rien trouvé pour Debian, Arch ou Mageia.

Finalement Fedora n'a pas d'avance sur Ubuntu sur ce point, Fedora intègre SELinux, Ubuntu AppArmor comme OpenSUSE à part ça c'est kiff-kiff.
Debian est la masse sur ce coup, les autres on en sait rien.

Edit : Par défaut la protection offerte par AppArmor pour le navigateur Firefox est présente mais n'est pas activée par défaut, donc ne sert à rien. Pour l'activer, il faut saisir la commande suivante :

sudo aa-enforce /etc/apparmor.d/usr.bin.firefox

ou cette commande si vous utilisez une version d'Ubuntu inférieure à la 9.10

sudo aa-enforce /etc/apparmor.d/usr.bin.firefox-3.5

Dernière modification par Heliox (Le 06/12/2010, à 22:37)

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#51 Le 29/10/2010, à 20:29

Re : Venez tester la sécurité de votre système GNU/Linux !

#52 Le 30/10/2010, à 06:42

Re : Venez tester la sécurité de votre système GNU/Linux !

#53 Le 30/10/2010, à 09:48

Re : Venez tester la sécurité de votre système GNU/Linux !

#54 Le 30/10/2010, à 14:07

Re : Venez tester la sécurité de votre système GNU/Linux !

#55 Le 30/10/2010, à 14:13

Re : Venez tester la sécurité de votre système GNU/Linux !

#56 Le 30/10/2010, à 16:15

Re : Venez tester la sécurité de votre système GNU/Linux !

#57 Le 30/10/2010, à 16:57

Re : Venez tester la sécurité de votre système GNU/Linux !

#58 Le 31/10/2010, à 02:07

Re : Venez tester la sécurité de votre système GNU/Linux !

#59 Le 31/10/2010, à 02:23

Re : Venez tester la sécurité de votre système GNU/Linux !

#60 Le 31/10/2010, à 02:34

Re : Venez tester la sécurité de votre système GNU/Linux !

#61 Le 31/10/2010, à 11:57

Re : Venez tester la sécurité de votre système GNU/Linux !

#62 Le 31/10/2010, à 15:26

Re : Venez tester la sécurité de votre système GNU/Linux !

#63 Le 31/10/2010, à 17:42

Re : Venez tester la sécurité de votre système GNU/Linux !

#64 Le 31/10/2010, à 22:26

Re : Venez tester la sécurité de votre système GNU/Linux !

#65 Le 31/10/2010, à 23:33

Re : Venez tester la sécurité de votre système GNU/Linux !

#66 Le 01/11/2010, à 02:41

Re : Venez tester la sécurité de votre système GNU/Linux !

#67 Le 02/11/2010, à 19:09

Re : Venez tester la sécurité de votre système GNU/Linux !

#68 Le 03/11/2010, à 01:22

Re : Venez tester la sécurité de votre système GNU/Linux !

#69 Le 04/12/2010, à 15:57

Re : Venez tester la sécurité de votre système GNU/Linux !

Pied de page des forums