[Sécurité serveur] Conseils de base?

guilc · Posted: Sun Dec 14, 2008 11:05 pm Post subject:

Bah tout simplement le site officiel

http://www.grsecurity.net/features.php
_________________
Merci de respecter les règles du forum.

Mon site perso : https://www.xwing.info
Mon PORTDIR_OVERLAY : https://gentoo.xwing.info ou layman -a xwing

Enlight · Posted: Sun Dec 14, 2008 11:11 pm Post subject:

effectivement ça semble pas mal restreindre les possibilités, il reste des possibilités de sortir du chroot connues à ce jour?

Jacqueline · Posted: Sun Dec 14, 2008 11:21 pm Post subject:

Euh moi j'en ai un..

http://sysjail.bsd.lv/sysjail.3.html

Apparement ca a ete refait entierement , car la version precedente avait ete craquee..

http://sysjail.bsd.lv/

[url]www.watson.org/~robert/2007woot/2007usenixwoot-exploitingconcurrency.pdf [/url]

[EDIT] pardon , c'etait pour les jails, mais je les laisse tout de meme.. Piouh la securite c'est hard ! [/EDIT]

guilc · Posted: Sun Dec 14, 2008 11:33 pm Post subject:

loopx · Posted: Sun Dec 14, 2008 11:40 pm Post subject:

Je comprend mieux chroot quand on me parle d'isolation kernel/reso ;-)

Ok ok ... mais encore une fois, bien que tu as accès au kernel et au réseau, comment tu arrive à faire une injection sans avoir d'outil sous la main ? Donc, je persiste à croire que si le chroot est bien fait, ca devrait pas poser de problème de secu ...

Enfin, il est vrai que j'ai pensé qu'il était peut être possible de créer un binaire avec vi (y a po vi dans un chroot.. ni meme echo ...)

mais ca doit être bien chaud quand meme ...

Sinon, pour hardened, j'ai pas cherché du tout

je l'ai installé minimalement, et j'ai déjà des trucs activer, de la protection en plus donc, c'est déjà bien et j'en suis content

maintenant, jte le fais pas dire, je suis pas trop du genre à faire ca dans les règles de l'art ... :s
_________________
Mon MediaWiki perso : http://pix-mania.dyndns.org

Jacqueline · Posted: Mon Dec 15, 2008 12:30 am Post subject:

Une explication interessante

http://www.touslesreseaux.com/forum/index.php?showtopic=40

Mais le chroot bien fait , ca a l'air de ressembler a chroot + grsecurity.

Mais sortir du chroot simple , c'est pas a la portee du premier gamin, qui veut s'entrainer a cracker des sites sur un serveur perso, meme avec la doc

Mais c'est mieux que pas de chroot du tout. Meme si sans , ca resiste assez bien au courant...

Puis qu on a parle du hardened pour Gentoo .. j'avais decouvert PHP hardened http://www.hardened-php.net/
avec Suoshin. http://www.hardened-php.net/suhosin/index.html

Sur un serveur, perso ou il y a un site avec un CMS souvent bourre de failles, c'est plus simple a attaquer qu un chroot., et on se retrouve avec une photo de Q sur son site.. :lol:

ou un virus qui pourira le PC des amis et de la famille..

J'ai bien ri en lisant ca :

ne pas confondre complexité et sécurité : si votre système de sécurité vous échappe, considérez que vous n'êtes pas en sécurité. Bon, de toute façon, vous n'êtes jamais en sécurité.

Jacqueline · Posted: Mon Dec 15, 2008 4:15 am Post subject:

Jail dans Portage :roll:

[url]
http://gentoo-portage.com/app-misc/jail/[/url]

kwenspc · Advocate Joined: 21 Sep 2003 Posts: 4954

Jacqueline · Posted: Mon Dec 15, 2008 10:39 am Post subject:

kwenspc

Merci apres ce passage en revue, c'est clair.

loopx · Posted: Mon Dec 15, 2008 2:31 pm Post subject:

Ok, j'avais oublié que ctais l'injection qui faisait tout

donc oui, si tu arrive déjà a craquer .. libre à toi de bypasser le chroot ... mais ca doit pas être facile, en effet ;-)

.

Intéressant tout ca

Mais entre chroot et pas chroot, c'est quand meme un peu plus sécu avec :p
_________________
Mon MediaWiki perso : http://pix-mania.dyndns.org

Jacqueline · Posted: Mon Dec 15, 2008 4:00 pm Post subject:

bonjour a tous au fait..

Je viens de lire : 10.16 - Parlez moi de chroot(2) Apache ? la doc d'OpenBSD.

Je crois qu ils montrent bien tous les aspects du probleme avec chroot., sans parti pris, a la limite ca peut etre pire que sans..

http://www.openbsd.org/faq/fr/faq10.html#httpdchroot

loopx · Posted: Mon Dec 15, 2008 4:50 pm Post subject:

Mouarf

on est mal barré avec notre nux alors

_________________
Mon MediaWiki perso : http://pix-mania.dyndns.org

Jacqueline · Posted: Mon Dec 15, 2008 5:06 pm Post subject:

kwenspc · Advocate Joined: 21 Sep 2003 Posts: 4954

Franchement vous me prenez pas la tête. Loopx avec ta liste de point à voir pour la sécu, sans chroot c'est du très solide pour un serveur @ home.
Je n'ai pas chroot chez moi (ok j'ai pas apache qui est généralement l'appli que les gens mettent dans un chroot), j'ai assez confiance dans tout le reste, chroot c'est vraiment un détail si tout le reste à côté est bon. Et de fait il FAUT s'attarder à bien config tout le reste plutôt que de perdre du temps avec chroot. (qui est faillible puisque pas fait pour ça, je sais je rabache...)

Quelques commentaires sur ta liste loopx:
- tu peux mettre les modules iptables dont tu as besion en dur (et virer le support des modules dans le noyaux). Iptables va gueuler (il va dire qu'il arrive pas à charger les modulse) mais pour autant il va fonctionner.
- Au sujet des clé ssh, le mieux c'est de l'avoir sur clé usb, et encryptée. Ce qui veut dire que pour pouvoir te connecter à ton serveur faut la clé certes, mais aussi la passphrase pour la décrypter (donc si on te choures ta clé, le temps que le mcs décrypte du triple-des t'as le temps de te rendre compte du vol, de blacklister la clé et de t'en recréer un jeu :wink:

). Le panard c'est une smartcard rsa usb, la clé est illisible car générée et écrite dans la clé, avec passphrase. C'est du parano tranquile, c'est du bon.
- Sinon pour l'IDS oui c'est trop de boulot avec le risque de te retrouver perdu devant tout un tas de faux-positifs. Le meilleur IDS c'est un admin consciencieux :lol:

- Les mise à jour maintenant, privilégies les mises à jour de sécurité uniquement (les GLSA). Ça sert à rien de passer d'une version à une autre sur un soft, si la version actuelle que tu utilise est stable et sans faille connue. (une mise à jour pourrait rendre ton système moins stable, si tu tombes sur un paquet mal finit sait-on jamais)
- Nagios est en effet trop lourd pour 1 serveur (en plus un serveur @home). Je préfères des ptits scripts perso (cron job tout con, pas besoin de se prendre la tête). Sinon les rddtools, munin pour lest stats.
_________________
membre officieux du SAV Ati GEntoo

Enlight · Posted: Mon Dec 15, 2008 6:08 pm Post subject:

loopx · Posted: Mon Dec 15, 2008 9:55 pm Post subject:

Ouais, je sais bien, je suis pas trop intéressé par le crackage/hacking et donc, je n'y connais pas grand chose. Mais j'ai quand même de bonne connaissance en informatique

J'ai mis nagios sur mon serveur, c'est pas mal et je monitore aussi par VPN ...
Mais avec tout les systèmes de monitoring en place, je m'appercois que je bouff un bon gros giga octet d'adsl par mois ... hum ...

* routage dynamique (10 secondes)
* cacti (5 min)
* nagios (5 min)

... :s
_________________
Mon MediaWiki perso : http://pix-mania.dyndns.org

kwenspc · Advocate Joined: 21 Sep 2003 Posts: 4954

loopx · Posted: Mon Dec 15, 2008 10:33 pm Post subject:

EDIT: no comment

_________________
Mon MediaWiki perso : http://pix-mania.dyndns.org

lesourbe · l33t Joined: 24 Nov 2005 Posts: 710 Location: Champagne !

geekounet · Posted: Tue Dec 16, 2008 9:31 am Post subject:

kwenspc · Advocate Joined: 21 Sep 2003 Posts: 4954

scherz0 · Apprentice Joined: 02 Oct 2008 Posts: 154

lesourbe · l33t Joined: 24 Nov 2005 Posts: 710 Location: Champagne !

on s'est mal entendu sur le "quand c'est possible".

postifix par exemple est construit avec... en fait, c'est même pas top, il semble que faut le désactiver pour permettre selinux.

ok ok chroot c'est le mal.
_________________
Is that a banhammer ?
LeSourbe, Member of EPowerforce.

scherz0 · Apprentice Joined: 02 Oct 2008 Posts: 154

lesourbe · l33t Joined: 24 Nov 2005 Posts: 710 Location: Champagne !