JDNet Développeurs : Les systèmes de type
Linux sont souvent considérés comme étant plus sûrs que les systèmes
Microsoft. Pourquoi ?
Hervé Schauer et Denis Ducamp :Les fonctionnalités de sécurité
entre les systèmes Microsoft et Linux sont différentes. Ce qui fait
la différence c'est :
- un ensemble plus complet de fonctionnalités sous Linux que sous
Windows : par exemple les fonctions de sécurité du noyau ;
- une meilleure utilisation des possibilités par défaut sous Linux
que sous Windows ; - une plus grand simplicité des fonctions de
sécurité sur Linux par rapport à la complexité des systèmes Windows
: les permissions des fichiers et l'authentification sont de bons
exemples ;
- une meilleure mise en oeuvre sous Linux d'un point de vue vulnérabilités
et une plus grande réactivité.
Quelles sont les principales applications Linux
qui requièrent beaucoup d'attention en terme de sécurité ?
Bastille-Linux, une bonne approche de la
sécurité... |
Ce sont celles qui sont accessibles depuis le réseau. C'est particulièrement
vrai pour celles qui nécessitent de tourner avec des privilèges
(comme les serveurs FTP) et celles qui traitent des données reçues
des utilisateurs, notamment si ces utilisateurs doivent s'authentifier
et que cela puisse induire des problèmes de confidentialité.
Existe-t-il des distributions de Linux
plus sûres que d'autres ?
Elles ont des objectifs de sécurité différents, mais tout dépend
du niveau de l'administrateur. Un bon administrateur sera à même
de compiler lui même les applications nécessitant d'être mises à
jour et même d'appliquer des correctifs de sécurité. Pour d'autres
administrateurs qui ne savent qu'installer des paquetages binaires,
il est nécessaire de choisir une distribution dont les mainteneurs
sont réactifs et qui annonce systématiquement les mises à jour par
des mailing listes, comme le fait RedHat. Une distribution dont
la configuration par défaut restreint les droits d'accès et durcit
les configurations des applications actives est bastille-linux.
C'est idéal pour sécuriser son système.
On cite souvent les systèmes BSD, et particulièrement
Open BSD comme étant très surs. Pourquoi ? Qu'en est-il de Solaris,
HP-UX et Irix ?
Le projet OpenBSD a pour but d'auditer le code source de toutes
les applications intégrées dans la base du système et de corriger
tous les bogues de façon systématique. Non seulement ces corrections
sont portées sur les autres systèmes BSD par leurs mainteneurs respectifs,
mais tout est remonté aux différents mainteneurs des logiciels open
source audités. OpenBSD possède aujourd'hui plusieurs années d'avance
mais d'autres projets existent comme le Linux Security Audit qui
audite les sources de toutes les logiciels open source qui tournent
sous Linux. Même si tous les autres projets ont déjà détecté des
trous de sécurité, ils sont loin d'effectuer les taches systématique
réalisées par le projet OpenBSD qui reste aujourd'hui le plus à
jour. Irix n'existe plus et a été remplacé par Linux. Aix est sur
la même voie. Solaris et HP-UX demeurent, et font l'objet d'un bon
suivi de la part de leurs éditeurs. Mais ils ne peuvent atteindre
le niveau de sécurité des logiciels libres.
La sécurité d'un système se met-elle en place au détriment de la
facilité d'utilisation ?
Certaines mesures de sécurité peuvent imposer quelques changement
d'habitudes comme remplacer la commande telnet par ssh et ftp par
scp. Ceci permet de garantir une authentification forte de l'utilisateur,
une confidentialité des données sur le réseau et une protection
contre le détournement de connexion. La majorité des mesures ne
se fait pas du tout sentir pour les utilisateurs, comme par exemple
interdire certains accès depuis Internet puisqu'ils ne sont jamais
réalisés par les personnes intéressées. En revanche, ce filtrage
IP permettra d'augmenter significativemennt le niveau de sécurité
puisque le petit nombre de services encore accessible depuis Internet
pourra être plus facilement surveillé et mis à jour.
Quels conseils donneriez vous pour une bonne gestion de la sécurité
sous Linux ?
Il faut tout d'abord sécuriser son système, notamment désactiver
tous les services inutiles et restreindre l'accès aux services restant.
Il est ensuite important de s'abonner à des listes de sécurité et
de visiter quotidiennement quelques sites afin d'être averti lorsqu'un
service devient vulnérable.
Que pensez-vous du développement des virus sous Linux ? Et de l'infection
de système par les outils DDoS (type TFN, Trinoo, ...) ?
Les virus sous linux ne sont qu'anecdotiques puisqu'ils nécessitent
les droits d'administrateur pour se répliquer. Or sous Unix les
gens travaillent en tant qu'administrateur le moins souvent possible.
De plus, ils n'utilisent que très peu souvent des packages binaires
dont l'origine n'est pas certaine. L'infection par les outils de
déni de service répartis (DDoS) n'est due qu'à des systèmes Linux
installés par défaut sans aucune sécurisation et placés directement
sur Internet sans protection. Ces outils envahissent également les
autres plates-formes Unix et Microsoft Windows.
Que pensez-vous des systèmes de mise à jour
automatique des systèmes par internet (type Red Hat) et des services
d'audit de sécurité par internet ?
Les systèmes de mise à jour automatique peuvent se révéler extrèmement
dangereux : vous arrivez un matin et vous rendez compte qu'aucun
de vos systèmes ne fonctionne car une bibliothèque système a été
mise à jour mais que cela c'est systématiquement mal passé. Cela
peut être un magnifique outil de déni de service pour qui saurait
le retourner. Les services d'audit de sécurité par Internet peuvent
être utiles dans bien des cas, par exemple pour tester que le filtrage
IP n'a pas été modifié ou que les services présents ne possèdent
toujours pas de vulnérabilités connues. Mais ces services d'audit
sont forcément très limités et ne peuvent construire une stratégie
d'attaque comme cela est le cas lors de tests d'intrusions.
Hervé Schauer, fondateur et dirigeant du cabinet Hervé Schauer Consultants,
s'est intéressé à la sécurité Unix à partir de 1986. Il a participé
au groupe de travail Sécurité de l'AFUU en 1987. Sa société a notamment
développé le premier relais applicatif avec authentification (HSC
Gatekeeper) puis le premier générateur de filtres pour routeurs
(MkFilters), deux applications revendues par la suite à la société
Solsoft.
|