Sous les syst<73>mes de type Unix ou Linux, il existe plusieurs types de fichiers : les fichiers, les r<>pertoires, les liens symboliques, les fichiers-p<>riph<70>riques.\\
Les 3 droits fondamentaux sont la lecture, l'<27>criture et l'<27>xecution.\\
Pour un fichier, ces 3 droits sont d<>finis pour 3 cat<61>gories: l'utilisateur, le groupe et le "reste du monde". Pour chacune de ces cat<61>gories: on note les droits sous la forme rwx.\\
\textbf{r} correspond <20> l'<27>criture, \textbf{w}<20> l'<27>criture et \textbf{x}<20> l'ex<65>cution. Par exemple, \textbf{r-x} correspond <20> des droits de lecture et d'ex<65>cution autoris<69>s, mais l'<27>criture interdite.\\
Un notation pratique est de voir \textbf{rwx} comme 3 bits. L'autorisation correspond <20> 1 et l'interdication <20> 0.\\
Par exemple \textbf{r-x} correspond <20> 101. En base 10, 101=1*4+0*2+1*1=5. Cela correspond donc <20> 5.On notera c<>te <20> c<>te les droits des 3 cat<61>gories.\\
Par exemple \textbf{rwxr-xr--} correspond <20> des droits \textbf{rwx} pour l'utilisateur, \textbf{r-x} pour le groupe et \textbf{r--} pour le reste du monde. Si vous avez bien suivi, \textbf{rwxr-xr--}=111101100=754\\
On ajoute (ou retire) des droits avec la commande :
Pour un r<>pertoire, on pourra lister les fichiers dans ce r<>pertoire si on a les droits \textbf{r} du r<>pertoire (et ceux des r<>pertoires sup<75>rieurs). Si on a pas ces droits, on ne pourra pas lister. Le droit \textbf{rx} permet en plus d'entrer dans ce r<>pertoire. Sans lui, on ne pourra pas effectuer des op<6F>rations sur un des fichiers contenus dans ce r<>pertoire. Par exemple, le r<>pertoire \texttt{/root/} n'a souvent aucun droit pour "all" et donc on ne peut rien faire dans ce r<>pertoire si l'on est pas root.\\
Attention, pour pouvoir effacer un fichier ou un r<>pertoire vide, il suffit d'avoir les droits \textbf{wx} sur le r<>pertoire contenant ! (avoir uniquement de droit \textbf{w} ne sert -a priori- <20> rien pour un r<>pertoire). Notez que dans un r<>pertoire avec droit \textbf{wx}, on peut effacer les fichiers (ou r<>pertoires vides) sur lesquels on n'a pas les droits (par contre, on ne peut pas effacer les r<>pertoires non vides sur lesquels on a pas les droits \textbf{wx}).\\
~\\
En plus de cela, il existe des droits sp<73>ciaux: setuid, setgid et sticky bit\\
- Un fichier ex<65>cutable peut <20>tre \texttt{setuid}, c'est-<2D>-dire qu'au lieu d'<27>tre ex<65>cut<75> avec les droits de l'utilisateur qui le lance, il sera ex<65>cut<75> avec les droits du propri<72>taire de l'ex<65>cutable. Ceci s'av<61>re assez dangereux notamment pour les ex<65>cutables \texttt{setuid} root. L'exemple-type est le programme \texttt{passwd} qui permet de changer de mot de passe. Il est ex<65>cutable par un utilisateur mais il est \texttt{setuid} root car seul root peut <20>crire dans les fichiers \texttt{/etc/passwd} et \texttt{/etc/shadow}\\
- Un fichier ex<65>cutable peut <20>tre \texttt{setguid}. Il s'agit de la m<>me notion que celle vue ci-dessus pour le groupe. Le fichier est donc ex<65>cut<75> avec les droits du groupe auquel il appartient.\\
- Un fichier ex<65>cutable peut <20>tre \texttt{sticky}, c'est-<2D>-dire avoir le \texttt{sticky bit} positionn<6E>. Cela signifie qu'il reste en m<>moire m<>me apr<70>s la fin de son ex<65>cution afin d'<27>tre relanc<6E> plus rapidement. Attention, seul root peut positionner le \texttt{sticky bit}.
%<25> pr<70>ciser
- Un r<>pertoire peut <20>tre \texttt{setgid}. Cela signifie que tous les fichiers cr<63><72>s dans ce r<>pertoire appartiendront au m<>me groupe que le r<>pertoire.\\
- Un r<>pertoire peut <20>tre \texttt{sticky} bit. Cela signifie dans ce r<>pertoire, un utilisateur ne pourra effacer que les fichiers qui lui appartiennent. L'exemple-type est le r<>pertoire /tmp o<> tout le monde peut <20>crire mais o<> l'on ne peut effacer que ce que l'on a cr<63><72>.\\
Ces droits sp<73>ciaux sont not<6F>s \texttt{sst} o<> le premier \texttt{s} correspond au \texttt{setuid}, le second au \texttt{setgid} et le \texttt{t} au \texttt{sticky bit}.\\
On <20>crira <20>galement cela sous la forme de bits. Par exemple s-t=101=5 On ajoute (ou retire) des droits sp<73>ciaux avec la commande:
Il faut aussi d<>finir la politique de gestion des droits de la machine, c'est-<2D>-dire se poser la question "Qui a le droit de faire quoi~?" \\
D<EFBFBD>finissons tout d'abord les droits au niveau des donn<6E>es utilisateurs. Les droits par d<>faut sont g<>r<EFBFBD>s par la directive \texttt{umask}. On mettra donc, selon sa politique, dans le fichier \textit{/etc/profile} (et dans login.defs pour g<>rer lors de la cr<63>ation de l'utilisateur) :\\
Il faut ensuite g<>rer les droits sur les p<>riph<70>riques. Les diff<66>rents p<>riph<70>riques appartiennent souvent <20> un groupe (cdrom, audio, video, etc.) et on peut g<>rer les droits en ajoutant ou non les utilisateurs <20> ces groupes. On ne d<>taillera pas trop cette proc<6F>dure car elle est surtout valable dans le cas o<> il s'agit de postes de travail accessible physiquement aux utilisateurs.\\
~\\
Il faut <20>galement penser <20> mettre des protections sur les r<>pertoires et partitions accessibles <20> l'utilisateur (on traitera le cas des journaux syst<73>mes <20> part : voir par la suite). Ces protections ne sont pas infaillibles mais constituent un premier rempart dans le cas d'attaques d'un utilisateur inexp<78>riment<6E> (souvent appel<65>s script-kiddy). Voici un exemple de protection que l'on peut mettre dans le fichier \textit{/etc/fstab}~:\\
Remarque~: certains paquets (screen, PostgreSQL, etc.) n<>cessitent d'ex<65>cuter un script dans \textit{/tmp/}. On fera donc~:
\begin{verbatim}
# mount -o exec,remount /tmp
\end{verbatim}
Avant d'installer des paquets, puis on refera~:
\begin{verbatim}
# mount -o remount /tmp
\end{verbatim}
Plus g<>n<EFBFBD>ralement on peut v<>rifier ce que peut voir un utilisateur par les commandes~:
\begin{verbatim}
$ find /-type f -a -perm +0062>/dev/null}
$ find /-type d -a -perm +0072>/dev/null}
\end{verbatim}
On prendra garde par exemple aux donn<6E>es sensibles des fichiers de configuration ou des scripts (notamment des donn<6E>es web). On peut par exemple voir les fichiers du r<>pertoire /etc non visibles par un utilisateur~:
\begin{verbatim}
# find /etc -type f -a -perm 600 -a -uid 0
\end{verbatim}
On peut <20>galement restreindre les droits sur certaines applications dangereuses.\\
Exemple :\\
\begin{verbatim}
chmod o-x /usr/bin/nmap
chmod -s /bin/ping
\end{verbatim}
On pourra autoriser l'utilisation de n'importe quel programme (m<>me des programmes administrateurs) gr<67>ce au logiciel sudo\footnote{\url{http://www.courtesan.com/sudo/}}. Son fichier de configuration est \textbf{/etc/sudoers}. Voici un exemple~: \\
On pourra <20>galement d<>finir le d<>lai (grace period) qui d<>finit le temps au-del<65> duquel la limie douce devient limite dure. On change ce d<>lai avec la commande :\\
\texttt{\# edquota -t}\\
~\\
On peut ensuite appliquer les quotas <20> chaque utilisateur par la commande :\\
\texttt{\# edquota -p forquota USER}\\
~\\
On peut utiliser le fichier adduser.conf pour imposer un quota lors de la cr<63>ation de l'utilisateur [voir plus haut].
~\\
D'autres commandes int<6E>ressantes permettent de v<>rifier le bon fonctionnement des quotas (quotacheck), d'envoyer des messages d'avertissement aux utilisateurs d<>passant la limite douce (warnquota) et de g<>n<EFBFBD>rer des statistiques:\\
\texttt{\# repquota -ugva}\\
~\\
Note :\\
Attention, l'utilitaire dd semble mal g<>rer les quotas.
C'est <20>videmment tr<74>s utile pour toutes les t<>ches d'aministration. Le d<>mon cron se base sur le fichier \textit{/etc/crontab} pour lancer des actions toutes les heures (cron.hourly), tous les jours (cron.daily), toutes les semaines (cron.weekly) et tous les mois (cron.monthly). \\
D<EFBFBD>j<EFBFBD>, il peut <20>tre int<6E>ressant de personnaliser les param<61>tres du \textit{/etc/crontab} afin d'<27>viter l'utilisation des horaires par d<>faut.\\
Ensuite on peut placer des scripts (ex<65>cutables) dans les cron.*ly ou bien dans le r<>pertoire cron.d afin de personnaliser l'horaire :
Les journaux sont des fichiers qui contiennent des informations d'activit<69> dat<61>e. Ils sont essentiels pour un serveur pour de nombreuses raisons : v<>rifier des actions pass<73>es, g<>n<EFBFBD>rer des statistiques, d<>boguer un programme. La v<>rification des actions pass<73>es est notamment importante en cas de probl<62>me (piratage, service d<>fectueux). La justice oblige <20>galement <20> conserver certains journaux pendant une certaine dur<75>e. Un flou concerne ce qu'il faut r<>ellement conserver (apparemment seules les informations d'ent<6E>tes mais pas le contenu en lui-m<>me) et la dur<75>e (cela varie entre 3 mois, 1 an et 3 ans si l'on se base sur les lois fran<61>aises ou europ<6F>ennes). Des d<>crets d'application devraient <20>claircir ces points dans les prochains mois.\\
~\\
Sous Debian, les journaux se trouvent g<>n<EFBFBD>ralement dans le r<>pertoire \textit{/var/log}. On va distinguer les journaux syst<73>mes et les journaux applicatifs. Les journaux syst<73>mes sont g<>r<EFBFBD>s par le d<>mon SYSLOG\footnote{\url{ftp://ftp.rfc-editor.org/in-notes/rfc3164.txt}}. Sa configuration se trouve dans le fichier \textit{syslog.conf}. Voici quelques ligne extraites de ce fichier~:
Voici les fichiers pincipaux g<>n<EFBFBD>r<EFBFBD>s par SYSLOG : \\
~\\
\begin{itemize}
\item[\textbf{auth.log :}] authentification syst<73>me (login, su, getty)
\item[\textbf{daemon.log :}] relatif aux daemons
\item[\textbf{mail.* :}] messages relatifs aux mails
\item[\textbf{kern.log :}] messages g<>n<EFBFBD>r<EFBFBD>s par le noyau
\item[\textbf{user.log :}] message g<>n<EFBFBD>r<EFBFBD> par des programmes utilisateur
\item[\textbf{debug :}] messages de bogues
\item[\textbf{messages :}] messages d'info
\item[\textbf{syslog :}] tous les messages
\end{itemize}
~\\
~\\
Les journaux applicatifs sont g<>n<EFBFBD>r<EFBFBD>s par chaque application. Ils sont souvent dans un r<>pertoire du nom de l'application situ<74> dans \textit{/var/log}.\\
~\\
L'un des points essentiels est la rotation des journaux, c'est-<2D>-dire l'action de fermer le journal actuel (et <20>ventuellement le compresser) et d'en ouvrir un autre. Il existe actuellement deux programmes qui se chargent d'effectuer ce travail. Le script \texttt{savelog} (un outil Debian) et le programme \texttt{logrotate}. Par d<>faut \texttt{savelog} g<>re les journaux syst<73>me et \texttt{logrotate} g<>re les journaux applicatifs (apache, mysql, ppp, etc.).\\
Logrotate est ex<65>cut<75> tous les jours (cron.daily) \\
Savelog est ex<65>cut<75> tous les jours (crond.daily) pour syslog notamment.\\
Savelog est ex<65>cut<75> toutes les semaines (crond.weekly) pour les autres journaux syst<73>me.\\
~\\
L'option "-d" de savelog permet d'utiliser la date lors de la rotation des journaux et de ne pas les effacer. On pourra donc ajouter ses propres r<>gles dans les scripts cron pour faire une sauvegarde distante des journaux (<28>ventuellement dans une base de donn<6E>es). Pour des serveurs d<>di<64>s (applications cl<63>s), on peut augmenter la fr<66>quence des rotations et des sauvegardes distantes, mais <20>galement utiliser des scripts afin de d<>tecter toutes alertes ou anomalies et les envoyer par courrier <20>lectronique ou m<>me SMS. \\
Il existe des programmes analysant les journaux permettant de d<>tecter des probl<62>mes, avoir des statistiques (lire logtool prelude).\\
~\\
Il faut donc bien insister sur la n<>cessit<69> de surveiller les services en production <20> l'aide d'outils adapt<70>s. On dispose donc d'outils s'appuyant souvent sur le protocole SNMP (Simple Network Management Protocol) qui permet de g<>rer et diagnostiquer les probl<62>mes en transf<73>rant des informations syst<73>me (r<>seau, charge, <20>tat, etc.).
~\\
Pour exploiter ces informations, on pourra tracer des courbes MRTG\footnote{\url{http://people.ee.ethz.ch/~oetiker/webtools/mrtg/}} ou RRDtool\footnote{\url{http://people.ee.ethz.ch/~oetiker/webtools/rrdtool/}}. Ces logiciels permettent de produire des courbes totalement personnalis<69>es pour tracer des courbes.\\
SSH signifie Secure SHell (Shell s<>curis<69>). Le protocole SSH est en cours de standardisation par l'IETF\footnote{\url{http://www.ietf.org/html.charters/secsh-charter.html}}. Les outils du protocole SSH sont utilis<69>s par un nombre croissant de personnes. Ils sont destin<69>s <20> s<>curiser le login <20> distance, s<>curiser les transferts de fichiers et s<>curiser les TCP/IP et X11 forwardings. Il peut automatiquement chiffrer, authentifier et compresser des donn<6E>es transmises.\\
~\\
La principale impl<70>mentation du protocole est OpenSSH\footnote{\url{http://www.openssh.org}}. OpenSSH est une version libre de la suite d'outils du protocole SSH. De nombreux utilisateurs de telnet, rlogin, ftp et autres programmes identiques ne r<>alisent pas que leur mot de passe et leurs donn<6E>es sont transmis de fa<66>on non chiffr<66>e. OpenSSH chiffre tout le trafic (mots de passe inclus) de fa<66>on <20> d<>jouer les <20>coutes r<>seau, les prises de contr<74>le de connexion, et autres attaques. De plus, OpenSSH fournit toute une palette de possibilit<69>s de tunnel et de m<>thodes d'authentification. OpenSSH \textbf{doit}<20>tre utilis<69><20> la place de telnet et autres logiciels non-s<>rs.\\
Pour la plupart de ses fonctionnalit<69>s cryptographiques, OpenSSH s'appuie sur la biblioth<74>que OpenSSL. La suite logicielle OpenSSH inclue les programmes ssh qui remplace telnet et rlogin, scp qui remplace rcp, et sftp qui remplace ftp. De plus sshd, la partie serveur, est inclus ainsi que d'autres utilitaires tels que ssh-add, ssh-agent, ssh-keygen, ssh-keysign, ssh-keyscan, et sftp-server. OpenSSH supporte les protocoles SSH 1.3, 1.5 et 2.0. Int<6E>ressons nous <20> sa configuration, qui se trouve dans le fichier \textit{sshd\_config} :\\
Si des utilisateurs normaux sont destin<69>s <20> utiliser SSH, il peut <20>tre int<6E>ressant de l'installer dans une prison Chroot. Voici quelques liens qui expliquent cette mise en place~: \\
Le transfert de fichiers par le protocole FTP fait circuler identifiants, mot de passe et donn<6E>es en clair sur le r<>seau. Il est vraiment pr<70>f<EFBFBD>rable d'utiliser scp ou sftp, du projet OpenSSH, qui permet de transf<73>rer des fichiers de fa<66>on plus s<>curis<69>e. Mais dans certains cas, notamment dans le cas de serveur web mutualis<69>, il est de coutume d'offrir un acc<63>s FTP. Il faut donc prendre quelques pr<70>cautions. Par exemple, avec le serveur ProFTPD\footnote{\url{http://www.proftpd.org/}}, certaines directives du fichier de configuration \textit{proftpd.conf} sont importantes : \\
On aura donc un fichier \textit{/etc/ftpusers} qui sp<73>cifiera les identifiants ne pouvant pas utiliser les services FTP (on pourrait faire l'inverse aussi). \\
~\\
Dans le but de chiffrer les connexions FTP, on peut <20>galement utiliser une couche SSL. Les serveurs Pure-FTP\footnote{\url{http://www.pureftpd.org/}} ou linux-ftpd-ssl\footnote{\url{http://freshmeat.net/projects/linux-ftpd-ssl/}} permettent cela. Il faut bien noter qu'il faut utiliser un programme client capable de l'utiliser (mais c'est le cas de plus en plus de clients). \\
Le fichier \texttt{/etc/passwd} contient la liste des utilisateurs avec le mot de passe chiffr<66>. Ainsi lors de la proc<6F>dure d'authentification d'un utilisateur, le syst<73>me teste si le chiffrement du mot de passe entr<74> correspond au mot de passe chiffr<66> (\texttt{/etc/passwd} est accessible en lecture aux utilisateurs). Il est souhaitable d'utiliser l'algorithme de chiffrement SHA-512 pour chiffrer les mots de passe. Il est <20>galement conseill<6C> d'utiliser l'authentification shadow. Avec cette authentification, les mots de passe du fichier /etc/passwd sont remplac<61>s par 'x' et sont stock<63>s dans le fichier \texttt{/etc/shadow}, inaccessible en lecture aux utilisateurs. D'autres m<>thodes d'authentification locale existent comme sous OpenBSD\footnote{\url{http://openbsd.org/}} mais l'utilisation de la m<>thode shadow est r<>pandue sur les distributions Linux. Il faut bien avoir conscience que cela repose sur la solidit<69> de l'algorithme de chiffrement\footnote{\url{http://evolix.org/man/crypt.html}}.\\
Le fichier \texttt{/etc/group} stocke la liste des groupes, c'est-<2D>-dire des entit<69>s regroupant plusieurs utilisateurs et permettant de donner <20> ce groupe d'utilisateurs les m<>mes droits sur des fichiers. Un utilisateur peut conna<6E>tre les groupes auxquels il appartient en tapant la commande \texttt{groups} ou encore \texttt{id}.\\
Le fichier /etc/adduser.conf contient les valeurs par d<>faut pour les programmes \textit{adduser}\textit{addgroup}\textit{deluser} et \textit{delgroup}. Chaque option est de la forme option = valeur. Les simples ou doubles guillemets sont autoris<69>s autour de la valeur. Les lignes de commentaires doivent avoir un caract<63>re di<64>se (\#) au d<>but de la ligne.\\
~\\
Exemple~:\\
\texttt{
DSHELL=/bin/bash\\
DHOME=/home\\
SKEL=/etc/skel\\
QUOTAUSER="forquota"\\
DIR\_MODE=0755\\
}\\
~\\
Le r<>pertoire /etc/skel/ contient le profil par d<>faut qui sera copi<70> dans le r<>pertoire personnel d'un nouvel utilisateur. Il contient souvent les fichiers .bashrc, .bash\_profile, etc. Pour configurer un profil pour les utilisateurs, on ajoutera des fichiers dans /etc/skel (par exemple des boites <20> mail, param<61>tres pour certaines applications, etc.)\\
~\\
La gestion des utilisateurs se fait gr<67>ce aux commandes adduser et addgroup. Notez bien que les commandes useradd, groupadd, userdel et groupdel ont une syntaxe diff<66>rente et n'utilisent pas forc<72>ment les m<>mes configurations.\\
L'utilisation d'un mot de passe al<61>atoire contenant des lettres majuscules et minuscules, des chiffres et des caract<63>res sp<73>ciaux (au total plus de 8 caract<63>res) est fortement recommand<6E>e.\\
Toute trace <20>crite devra <20>tre bannie si possible surtout pour un administrateur - c'est son boulot ;) - <20> l'exception d'endroits s<>curis<69>s (coffre-fort, banque, etc.) accessibles par des sup<75>rieurs hi<68>rarchiques. Une proc<6F>dure en cas d'accident corporel de l'administrateur pourra <20>tre mise en place.\\
~\\
Pour les mots de passe utilisateurs, il peut <20>tre utile d'emp<6D>cher les mots de passe trop simples (cracklib) et de faire tourner des crackeurs de mots de passe afin de v<>rifier en permanence qu'aucun utilisateur n'a un mot de passe trop simple etc.\\
~\\
Voici quelques programmes de g<>n<EFBFBD>ration de mot de passe al<61>atoire disponibles sous Debian~:\\
Il existe <20>galement des outils pour tenter de cracker les mots de passe. L'un des plus connu est le programme \texttt{john} qu'il est int<6E>ressant de faire tourner r<>guli<6C>rement afin de d<>tecter si des utilisateurs ont des mots de passe trop simples.
Nous savons comment fonctionne la proc<6F>dure d'authentification [voir plus haut] mais au-del<65> de l'authentification, il est n<>cessaire d'imposer des restrictions au niveau de la proc<6F>dure de login pour <20>viter des d<>sagr<67>ments. Pour cela on dispose de plusieurs moyens de restreindre les acc<63>s et imposer d'autres param<61>tres.\\
~\\
Commen<EFBFBD>ons par le fichier \texttt{/etc/login.defs} qui d<>finit les param<61>tres d'authentification. Certains param<61>tres sont notamment importants~:
Le fichier \texttt{/etc/securetty} contient la liste des terminaux sur lesquels la connexion de 'root' est autoris<69>e. Il est conseill<6C> de mettre ce fichier vide afin de d<>sactiver le login de 'root'. Seul 'su' permettra donc de devenir superutilisateur. Faire donc~:
\begin{verbatim}
# sed -e 's/^/#/' /etc/securetty > /tmp/sed
# mv /tmp/sed /etc/securetty
\end{verbatim}
~\\
\textbf{Linux-PAM}
~\\
La plupart des distributions Linux utilisent l'authentification PAM par d<>faut.\\
De nombreuses applications utilisent l'authentification PAM et notamment login, su qui sont assez importantes...\\
On v<>rifiera qu'une application utilise l'authentification PAM gr<67>ce <20>\texttt{ldd}\\
Ex~:
\begin{verbatim}
ldd $(which su)
\end{verbatim}
\textit{Lien~:}
\url{http://www.kernel.org/pub/linux/libs/pam/}\\
~\\
La configuration se passe dans le r<>pertoire \texttt{/etc/pam.d/}\\
Si ce r<>pertoire est absent, la configuration pourra avoir lieu dans un fichier unique: \texttt{/etc/ldap.conf} (ignor<6F> sinon)\\
Chaque application est configur<75>e dans un fichier portant son nom.\\
Le r<>pertoire \texttt{/etc/security/} contient des fichiers de configuration s<>curit<69> pour PAM.\\
~\\
Le comportement par d<>faut est dans le fichier \texttt{/etc/pam.d/other}
La syntaxe des fichiers est constitu<74>e de lignes telles que :
"type" "niveau" "module" "arguments"\\
~\\
"type" peut <20>tre :\\
\begin{itemize}
\item[\textbf{auth}] : authentification
\item[\textbf{account}] : v<>rification des types de services autoris<69>s
Une premi<6D>re m<>thode de s<>curisation consiste <20> autoriser uniquement le disque
dur <20> d<>marrer. Il faut aussi d<>finir un mot de passe au niveau du BIOS
emp<EFBFBD>chant de changer les param<61>tres de ce dernier pour un d<>marrage sur un
autre p<>riph<70>rique dans l'espoir de pouvoir ensuite avec diff<66>rents outils
acc<EFBFBD>der aux donn<6E>es du disque dur.\\
Il est <20>galement possible d'avoir des protections complexes, comme une
authentification mutuelle entre le BIOS et le disque, mais ces protections sont
rarement mises en place.\\
\textbf{Au niveau du Boot Loader}\\
~\\
\emph{Lilo}\\
Le fichier de configuration principal est lilo.conf (\textit{/etc/lilo.conf})\\
Dans ce fichier la possibilit<69> est donn<6E>e de mettre en place un mot de passe par l'ajout de la ligne : \texttt{password = motdepasse}.
A remarquer que contrairement <20> grub que l'on va d<>crire, une modification de lilo.conf pour <20>tre prise en compte doit <20>tre suivie de la commande \texttt{\#lilo} ex<65>cut<75>e en tant que root.\\
~\\
\emph{Grub}\\
De m<>me que pr<70>cedemment il est possible avec grub d'ajouter un mot de passe qui peut m<>me <20>tre crypt<70>~:\\
puis, copiez le mot de passe crypt<70> dans votre fichier de configuration \texttt{/boot/grub/menu.lst}~:
\begin{verbatim}
password --md5 $1$gxRBf0$pe0rH7/nG9KPJLvc.XV7V.
\end{verbatim}
L'argument password peut <20>tre utilis<69> pour restreindre certaines entr<74>es; dans ce cas il est ins<6E>r<EFBFBD> juste sous la ligne "title" <20> d<>marrer. \\
~\\
Dans le fichier \textit{/etc/inittab} permet <20> un utilisateur physique de red<65>marrer la machine. Vous pouvez donc supprimer cette ligne~:\\
\texttt{ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now}
~\\
Pour demander <20> init (le processus d'initialisation) de r<>examiner \texttt{/etc/inittab}, faire~:\\
\texttt{\# init q}\\
~\\
N<EFBFBD>anmoins, malgr<67> toutes ces protections possibles, il faut consid<69>rer qu'avoir
un acc<63>s physique <20> une machine permet d'en faire ce que l'on veut. C'est
pourquoi on se contente souvent des protections basiques comme fermer la salle
des machines <20> cl<63>, mettre en place des cadenas sur les boitiers ou encore
avoir un syst<73>me de vid<69>osurveillance. \\
\textbf{Firewall}
~\\
Sous Linux, il existe un programme puissant qui permet d'avoir des r<>gles de firewall complexes. Ce programme se nomme (depuis le noyau Linux 2.4.x) Netfilter/IPTables\footnote{\url{http://www.netfilter.org/}}. Il permet d'<27>crire des r<>gles en ligne de commande, et donc le lancement de r<>gles se fait souvent sous forme de script.\\
~\\
Un script d<>taill<6C> se trouve en annexe <20> titre d'exemple.\\
~\\
%TODO
%Fire-Starter : http://www.fs-security.com/
%http://qtables.radom.org/index.php
\textbf{D<EFBFBD>tection d'intrusion}
~\\
Au-del<65> des pr<70>cautions prises, il faut avoir conscience des diverses possibilit<69>s d'intrusion et d'attaque. Dans le but de d<>tecter et pr<70>venir ce type de danger, il existe des programmes de d<>tections d'intrusion (IDS) qui permettent d'obtenir des rapports de trafic, des alertes et <20>ventuellement des r<>actions dynamiques.\\
Les logiciels Prelude\footnote{\url{http://www.prelude-ids.org/}} et Snort\footnote{\url{http://www.snort.org/}} sont les IDS libres les plus connus. \\
Ils peuvent <20>tre coupl<70>s avec une base de donn<6E>es (MySQL, PostGreSQL) et respectivement avec les logiciels Piwi et ACID (Analysis Console for Intrusion Databases)\footnote{\url{http://acidlab.sourceforge.net/}} pour obtenir les rapports par une interface web.\\
~\\
Il existe un autre type de logiciels de s<>curit<69> : le \textit{pot de miel}. Il s'agit de serveur (ou serveur virtuel) laiss<73> sous surveillance <20>troite sur un r<>seau et dont le r<>le est d'<27>tre attaqu<71> et compromis afin d'<27>tudier le comportement et les outils des pirates.\\
Le programme libre le plus connu est honeyd\footnote{\url{http://www.honeyd.org/}} mais il existe d'autres impl<70>mentations (tinyhoneypot\footnote{\url{http://www.alpinista.org/thp/}}, etc.) D'autres programmes moins <20>labor<6F>s permettent de surveiller des actions d'utilisateurs:\\
~\\
TTYSnoop\footnote{\url{http://freshmeat.net/projects/ttysnoop/}} permet de d<>river des terminaux de connexion, \\
Snoopy\footnote{\url{http://sourceforge.net/projects/snoopylogger/}} pour intercepter les commandes sur le syst<73>me, \\
On peut v<>rifier l'int<6E>grit<69> du syst<73>me gr<67>ce <20> des outils de d<>tection des rootkits : Chkrootkit\footnote{\url{http://www.chkrootkit.org/}} :\\ ou Rootkit Hunter\footnote{\url{http://www.rootkit.nl/projects/rootkit\_hunter.html}}\\
Chroot est un utilitaire permettant d'emprisonner un service dans une arborescence limit<69>e. Cela permet de limiter l'acc<63>s aux services offerts et <20>viter d'avoir un acc<63>s complet au syst<73>me en cas de failles logiciel. Sous Debian, il existe quelques services tournant dans une prison Chroot par d<>faut (Postfix notamment) mais si l'on veut emprisonner des services comme Bind, Apache, serveur FTP, OpenSSH, il faudra cr<63>er la prison Chroot manuellement. Le script makejail\footnote{\url{http://www.floc.net/makejail/}} permet d'aider <20> la cr<63>ation de prisons Chroot <20> l'aide de fichiers de configuration. On notera que les syst<73>mes *BSD (notamment OpenBSD\footnote{\url{http://www.openbsd.org/}}) sont en avance pour les services d'emprisonnement. De nombreux services sont ainsi emprisonn<6E>s par d<>faut. \\
D'autres programmes permettent d'<27>muler plusieurs syst<73>mes sur une seule machine :\\
\textit{Vserver}\\
Linux-VServer est projet libre proposant un patch pour le noyau Linux ainsi qu'un ensemble d'outils pour permettre de lancer plusieurs distributions Linux au dessus d'un seul noyau et partager les ressources. \\
UML (User Mode Linux) est un projet libre permettant de lancer plusieurs noyaux Linux comme un simple programme (en mode utilisateur donc) ce qui permet d'avoir des machines virtuelles Linux. Le contenu du disque du syst<73>me virtuel est stock<63> dans un seul fichier. \\
Vmware est un programme propri<72>taire plut<75>t r<>put<75> permettant de lancer plusieurs machines virtuelles (MS-Windows, Linux, *BSD) Il existe une version Workstation permettant de lancer des machines virtuelles comme des applications et une version Serveur permettant de lancer <20> distance des machines virtuelles sur un serveur. \\
"Nous ne cacherons pas les probl<62>mes. Nous garderons toujours notre base de donn<6E>es des rapports de bogues ouverte au public. Les rapports que les utilisateurs remplissent en ligne seront imm<6D>diatement visibles par les autres." extrait du Contrat social Debian\\
Comme pour la plupart des logiciels, la politique de s<>curit<69> de Debian est d'avoir une gestion transparente des failles et des bogues. Plusieurs <20>tudes ont montr<74> que cette politique <20>tait la plus efficace en terme de s<>curit<69>. N<>anmoins, cela a pour cons<6E>quence pour l'administrateur d'avoir une r<>activit<69> accrue pour faire le n<>cessaire d<>s qu'un probl<62>me est annonc<6E>. Il existe donc une <20>quipe de s<>curit<69> Debian qui est charg<72>e de publier des paquets corrig<69>s pour la version stable de Debian d<>s qu'un probl<62>me est d<>couvert. Pour pouvoir profiter de ces paquets mis <20> jour, il faut avoir la ligne suivante dans son fichier \textit{sources.list}~:\
~\\
\texttt{deb http://security.debian.org/ stable/updates main contrib non-free}
Le minimum est de s'abonner <20> la liste de diffusion debian-security-announce. Mais pour aller plus loin, il est conseill<6C> de suivre de pr<70>s les listes de diffusion des logiciels utilis<69>s en production et <20>galement des listes traitant de s<>curit<69> notamment la liste Bugtraq\footnote{\url{http://www.securityfocus.com/archive/1}}. \\
Au niveau d'un serveur, il est pr<70>f<EFBFBD>rable d'opter pour une configuration r<>seau statique. En effet d<>pendre d'un tiers (serveur DHCP) pour des param<61>tres aussi essentiels que les param<61>tres r<>seau n'est pas prudent. Dans le cas o<> l'on voudrait quand m<>me avoir un configuration par DHCP, il faudra au minimum une authentification par adresse MAC.
On va donc commencer par contr<74>ler les services r<>seau ouverts sur la machine et les fermer si n<>cessaires~:\\
~\\
Sur un syst<73>me install<6C> depuis peu, on trouve souvent ces services ouverts :\\
~\\
\texttt{\# nmap localhost}
\texttt{
9/tcp~~~open~~discard\\
13/tcp~~open~~daytime\\
37/tcp~~open~~time\\
111/tcp~open~~rpcbind\\
113/tcp~open~~auth\\
}
~\\
discard, daytime et time sont d<>marr<72>s par inetd\\
~\\
Inetd est historiquement un "super-serveur" permettant de configurer plusieurs services. Pour d<>sactiver les services pr<70>c<EFBFBD>dents on proc<6F>dera <20> la commande suivante :\\
On la placera dans un cron pour obtenir des courbes de statistiques r<>guli<6C>res.\\
~\\
On pourra cr<63>er des courbes de statistiques en s'appuyant sur les nombreux outils disponibles sous Linux (sysstat, smartmontools, etc.)\\
~\\
Il existe de nombreux programmes <20>volu<6C>s permettant de g<>n<EFBFBD>rer des courbes et statistiques. Citons Nagios\footnote{\url{http://www.nagios.org/}}, Cacti\footnote{\url{http://www.cacti.net/}} et Ntop\footnote{\url{http://www.ntop.org/}}. Le plus connu d'entre eux est certainement Nagios qui permet de surveiller de nombreux services (SMTP, POP3, HTTP, NNTP, PING, etc.) mais <20>galement les ressources (charge processeur, utilisation des disques, etc.). On peut visualiser les r<>sultats, historiques des probl<62>mes, journaux par interface web et obtenir des alertes personnalis<69>es et <20>crire ses propres plugins pour des v<>rifications sp<73>cifiques. La mise en place de Nagios (ou d'un <20>quivalent) pour un nombre de serveurs d<>passant la dizaine est fortement conseill<6C>e.\\
~\\
Pour une surveillance syst<73>me en direct, on peut utiliser GKrellM\footnote{\url{http://www.gkrellm.net/}} en mode client-serveur : chaque serveur fait tourner un serveur gkrellmd et pour surveiller tous les serveurs, on d<>marre les clients sur un poste de travail. On peut <20>galement s<>curiser les transmissions en encapsulant le trafic dans un tunnel SSH.
La plupart de ces langages pourraient m<>riter une formation enti<74>re aussi nous nous concentrons sur quelques fonctionnalit<69>s int<6E>ressantes du shell :\\
~\\
\begin{itemize}
\item[\bf cut]
Utilitaire qui s<>lectionne des sections sur chaque ligne d'un fichier sur la sortie standard.\\
~\\
\texttt{cut -d " " -f 1 fichier}\\
~\\
\item[\bf head]
Utilitaire qui renvoie les premi<6D>res parties d'un fichier sur la sortie standard.\\
\texttt{head -n 7 fichier}\\
\item[\bf tail ]
Utilitaire qui renvoie les derni<6E>res parties d'un fichier sur la sortie standard.\\
\texttt{tail -f fichier}\\
\texttt{tail -n 7 fichier}\\
\item[\bf sort ]
Utilitaire qui trie les lignes d'un fichier sur la sortie standard.\\
\texttt{sort -d fichier}\\
\item[\bf tr]
Utilitaire pour convertir ou supprimer des caract<63>res d'un fichier sur la sortie standard.\\
La mise en place de proc<6F>dures de sauvegarde n<>cessite souvent un audit pr<70>cis pour <20>valuer le juste milieu entre le niveau de s<>curit<69> et le co<63>t.\\
Prenons quelques exemples concrets.\\
Il est impensable qu'une entreprise, m<>me petite, doive mettre la cl<63> sous la porte en cas de petite castrophe naturelle (temp<6D>te, foudre, incendie).\\
Des sauvegardes dans un endroit physiquement diff<66>rent sont donc
obligatoires. <20> l'inverse, pour une petite entreprise, mettre en place
des sauvegardes sur bande rapatri<72>e dans un coffre-fort toutes les
heures en fourgon blind<6E> sera probablement disproportionn<6E>. Il faut donc
<EFBFBD>valuer chaque risque et le chiffrer. Les param<61>tres <20> prendre en compte sont:\\
~\\
- les risques\\
- le co<63>t de mise en place et le co<63>t r<>gulier\\
- le temps d'administration de la solution\\
- le temps de red<65>ploiement ou de recherche\\
~\\
Il existe principalement deux types de pr<70>ventions:\\
~\\
- Pr<50>vention crash mat<61>riel\\
La solution est <20> choisir parmi la solution RAID, les sauvegardes syst<73>me (disque/bande/p<>riph<70>rique amovible) et sauvegarde des fichiers syst<73>me.\\
~\\
- Pr<50>vention erreurs logicielles ou humaines\\
La solution est de faire des sauvegardes r<>guli<6C>res.\\
~\\
tar est l'outil le plus utilis<69> pour la sauvegarde.\\
~\\
Exemple :\\
\begin{verbatim}
tar -czvps --same-owner --atime-preserve backup.tar.gz /rep/
L'outil rsync\footnote{\url{http://samba.anu.edu.au/rsync/}} est tr<74>s puissant car il permet de mettre <20> jour en local ou <20> distance uniquement les fichiers modifi<66>s.\\
~\\
client rsync <-> serveur rsynd\\
~\\
\begin{verbatim}
22/tcp open ssh
873/tcp open rsync
\end{verbatim}
~\\
Options int<6E>ressantes :\\
\begin{verbatim}
-v, --verbose
\end{verbatim}
-> plus verbeux
\begin{verbatim}
-a, --archive
\end{verbatim}
-> mode archive (equivalent to -rlptgoD), ne pr<70>serve pas les liens hard
\begin{verbatim}
-r, --recursive
\end{verbatim}
-> visite r<>cursive des r<>pertoires
\begin{verbatim}
-l, --links
\end{verbatim}
-> copie les liens symboliques comme liens symboliques
\begin{verbatim}
-p, --perms
\end{verbatim}
-> pr<70>serve les permissions
\begin{verbatim}
-o, --owner
\end{verbatim}
-> pr<70>serve le propri<72>taire (root uniquement)
\begin{verbatim}
-g, --group
\end{verbatim}
-> pr<70>serve le groupe
\begin{verbatim}
-t, --times
\end{verbatim}
-> pr<70>serve les dates
\begin{verbatim}
-S, --sparse
\end{verbatim}
-> traite les fichiers <20> trous efficacement
\begin{verbatim}
-C, --cvs-exclude
\end{verbatim}
-> ignore automatiquement des fichiers, comme le ferait CVS
\begin{verbatim}
--delete
\end{verbatim}
-> efface les fichiers qui n'existent pas du cot<6F> exp<78>dition
\begin{verbatim}
--partial
\end{verbatim}
-> conserve les fichiers partiellement transf<73>r<EFBFBD>s
\begin{verbatim}
--progress
\end{verbatim}
-> affiche la progression
\begin{verbatim}
-z, --compress
\end{verbatim}
-> compresse les donn<6E>es
\begin{verbatim}
-e ssh
\end{verbatim}
-> utilise ssh
\begin{verbatim}
-D, --devices
\end{verbatim}
-> pr<70>serve les devices
~\\
L'astuce supr<70>me consiste <20> utiliser des "liens hards" gr<67>ce <20> la commande \texttt{cp -al}\\
Un fichier est donc supprim<69> lorsqu'aucun lien mat<61>riel ne pointe vers lui :\\
