Et oui, c'est que le moyen le plus simple pour casser un
système, c'est encore de démonter le disque dur, et de le monter sur
une machine où on est root, ou, ce qui revient quasi au même, de
booter sur une disquette. Il convient donc de s'assurer que la
machine va bien lancer le bon système d'exploitation au
démarrage. Mais attention quand même, si votre machine est dans une
pièce fermée à clé, pas la peine de mettre en place ces
méthodes. Elles seraient juste bonnes à vous gêner en cas de
pépin.
Si vous installez ces méthodes, il faut :
Trifouiller le BIOS pour qu'il ne démarre que sur
le disque dur (et protéger les réglages par mot de passe)
ATTENTION, POINT NON TRIVIAL : virer ou
désactiver mbr. Ce point est non trivial, non parce qu'il est
compliqué, mais parce qu'il s'agit d'une pure Debianerie. Aucun autre
système n'installe de tel mbr. De plus, cette installation se fait
lors du processus d'installation (hehe, logique), aucun avertissement n'est
produit à ce moment et aucune documentation associée n'est mise sur le disque
par défaut.
Le problème
Dans une installation Debian par défaut,
avant lilo, un programme placé sur le MBR (un endroit particulier du
disque, cf la doc de lilo) est lancé. Son rôle principal est
d'appeler lilo. Mais si on appuie sur shift au moment où il se lance,
on tombe sur une drôle d'invite du genre 135FA. C'est cet
outil, qui demande sur quelle partition il faut se lancer (ici,
partoche 1, 3 ou 5, ou bien la disquette (F/loppy), ou bien passer en
mode avancé (A/dvanced).
Si on est étonné, qu'on ne sait pas ce qui se passe, et
qu'on appuie bêtement sur entrée, tout continue normalement. Si on
sait ce qui se passe et qu'on vient de planter lamentablement la
partition sensée lancer la machine, c'est tout bonnement
magique. Mais si on sait ce qui se passe et qu'on est mal
intentionné, il est alors possible de booter sur une disquette...
Les solutions :
Écraser sauvagement ce programme, en demandant à lilo
de s'écrire à la place (placer une ligne boot=/dev/hda
dans le lilo.conf
).
Installer une version plus sûre de ce programme.
%
apt-get install mbr
man install-mbr
install-mbr --enable -AF /dev/hda
Protéger lilo par un mot de passe. Si on le
fait pas, tout le monde peut lancer Linux en mode single, comme
expliqué `Lancer linux en cas de coup dur' ??.
Je suis un pauvre utilisateur de machine unique, sans réseau,
alors je suis particulièrement mauvais dans le domaine. À vous
d'écrire ce chapitre, donc. On pourra y parler de :
tcp wrapper
ssh
supprimer les services inutiles
installer un filtre applicatif (ipchains ou netfilter)
etc.
Sachez toutefois que certaines solutions sont illégales suivant le
pays dans lequel vous vivez. Ainsi ssh est illégal pour une
utilisation en France. Il existe cependant en remplacement
SSF
qui a fait l'objet d'une déclaration adéquate.
1
MAIS
ne supporte que
la version 1 du protocole SSH (donc moins sûr qu'OpenSSH qui
utilise le protocole version 2)
ssf n'est pas libre. Et même plus, Debian ne peut pas
distribuer SSF, même dans non-free.
Suite à un piratage on peut se demander si les logiciels
installés sur le disque proviennent bien de paquets Debian et si
oui, s'ils correspondent à la distribution officielle? C'est-à-dire
est-ce que le pirate a modifié des fichiers du système pour se
garder une porte d'entrée?
Ces questions sont décrites plus précisément en
Comment comparer la base
des paquets et les fichiers présents sur le disque?
Comment vérifier que le paquet installé correspond bien au paquet
officiel de la distribution?
Il s'agit d'interdire à l'utilisateur root de se connecter directement
à distance. Ainsi, l'utilisateur qui souhaite être super-utilisateur
sur une machine distante sera dans l'obligation de :
fournir un premier couple valide (nom utilisateur/mot de passe)
utiliser su ou sudo pour devenir super-utilisateur
La distribution Debian vous permet également d'installer facilement
des outils utiles au renforcement de la sécurité de votre machine, de
votre réseau.
Utilitaire permettant d'effectuer des «attaques aux dictionnaires» sur
les mots de passe et ainsi de tester la fiabilité de ces
derniers. À lancer régulièrement en cron avec envoi de message lorsque
un mot de passe est trouvé.
Nessus permet d'établir un audit de
sécurité pour une machine éventuellement distante. Nessus est un outil
client/serveur. La partie serveur réalise les attaques de la machine
distante, la partie cliente fournie l'interface
utilisateur (X11/GTK+).
ATTENTION, Nessus réalise
effectivement les attaques du système distant. En conséquence,
son utilisation inconsidérée peut être considérée comme illégale. Pour
auditer une machine, assurez vous de disposer de l'accord du
responsable de votre "cible"!
« déclaration de fourniture en vue
d'une utilisation générale d'un moyen de cryptologie ».
Voir l' Arrêté du 17 mars 1999 définissant la forme et le contenu du dossier
concernant les déclarations ou demandes d'autorisation relatives aux moyens
et prestations de cryptologie
(http://www.internet.gouv.fr/francais/textesref/cryptoarrete4.htm)
