INTERVIEWS  
Hervé Schauer, Président , Hervé Schauer Consultants
Pourquoi Linux est plus sûr...
La sécurité est plus que jamais au coeur du développement d'Internet. Le système Linux est considéré comme relativement sûr. Mais une bonne sécurité nécessite une attention sans cesse renouvelée. Point complet avec Hervé Schauer et Denis Ducamp (HSC Consultants). (3 février 2001)

JDNet Développeurs : Les systèmes de type Linux sont souvent considérés comme étant plus sûrs que les systèmes Microsoft. Pourquoi ?

Hervé Schauer et Denis Ducamp :Les fonctionnalités de sécurité entre les systèmes Microsoft et Linux sont différentes. Ce qui fait la différence c'est :
- un ensemble plus complet de fonctionnalités sous Linux que sous Windows : par exemple les fonctions de sécurité du noyau ;
- une meilleure utilisation des possibilités par défaut sous Linux que sous Windows ; - une plus grand simplicité des fonctions de sécurité sur Linux par rapport à la complexité des systèmes Windows : les permissions des fichiers et l'authentification sont de bons exemples ;
- une meilleure mise en oeuvre sous Linux d'un point de vue vulnérabilités et une plus grande réactivité.

Quelles sont les principales applications Linux qui requièrent beaucoup d'attention en terme de sécurité ?

Bastille-Linux, une bonne approche de la sécurité...

Ce sont celles qui sont accessibles depuis le réseau. C'est particulièrement vrai pour celles qui nécessitent de tourner avec des privilèges (comme les serveurs FTP) et celles qui traitent des données reçues des utilisateurs, notamment si ces utilisateurs doivent s'authentifier et que cela puisse induire des problèmes de confidentialité.

Existe-t-il des distributions de Linux plus sûres que d'autres ?

Elles ont des objectifs de sécurité différents, mais tout dépend du niveau de l'administrateur. Un bon administrateur sera à même de compiler lui même les applications nécessitant d'être mises à jour et même d'appliquer des correctifs de sécurité. Pour d'autres administrateurs qui ne savent qu'installer des paquetages binaires, il est nécessaire de choisir une distribution dont les mainteneurs sont réactifs et qui annonce systématiquement les mises à jour par des mailing listes, comme le fait RedHat. Une distribution dont la configuration par défaut restreint les droits d'accès et durcit les configurations des applications actives est bastille-linux. C'est idéal pour sécuriser son système.

On cite souvent les systèmes BSD, et particulièrement Open BSD comme étant très surs. Pourquoi ? Qu'en est-il de Solaris, HP-UX et Irix ?

Le projet OpenBSD a pour but d'auditer le code source de toutes les applications intégrées dans la base du système et de corriger tous les bogues de façon systématique. Non seulement ces corrections sont portées sur les autres systèmes BSD par leurs mainteneurs respectifs, mais tout est remonté aux différents mainteneurs des logiciels open source audités. OpenBSD possède aujourd'hui plusieurs années d'avance mais d'autres projets existent comme le Linux Security Audit qui audite les sources de toutes les logiciels open source qui tournent sous Linux. Même si tous les autres projets ont déjà détecté des trous de sécurité, ils sont loin d'effectuer les taches systématique réalisées par le projet OpenBSD qui reste aujourd'hui le plus à jour. Irix n'existe plus et a été remplacé par Linux. Aix est sur la même voie. Solaris et HP-UX demeurent, et font l'objet d'un bon suivi de la part de leurs éditeurs. Mais ils ne peuvent atteindre le niveau de sécurité des logiciels libres.

La sécurité d'un système se met-elle en place au détriment de la facilité d'utilisation ?


Certaines mesures de sécurité peuvent imposer quelques changement d'habitudes comme remplacer la commande telnet par ssh et ftp par scp. Ceci permet de garantir une authentification forte de l'utilisateur, une confidentialité des données sur le réseau et une protection contre le détournement de connexion. La majorité des mesures ne se fait pas du tout sentir pour les utilisateurs, comme par exemple interdire certains accès depuis Internet puisqu'ils ne sont jamais réalisés par les personnes intéressées. En revanche, ce filtrage IP permettra d'augmenter significativemennt le niveau de sécurité puisque le petit nombre de services encore accessible depuis Internet pourra être plus facilement surveillé et mis à jour.

Quels conseils donneriez vous pour une bonne gestion de la sécurité sous Linux ?


Il faut tout d'abord sécuriser son système, notamment désactiver tous les services inutiles et restreindre l'accès aux services restant. Il est ensuite important de s'abonner à des listes de sécurité et de visiter quotidiennement quelques sites afin d'être averti lorsqu'un service devient vulnérable.

Que pensez-vous du développement des virus sous Linux ? Et de l'infection de système par les outils DDoS (type TFN, Trinoo, ...) ?


Les virus sous linux ne sont qu'anecdotiques puisqu'ils nécessitent les droits d'administrateur pour se répliquer. Or sous Unix les gens travaillent en tant qu'administrateur le moins souvent possible. De plus, ils n'utilisent que très peu souvent des packages binaires dont l'origine n'est pas certaine. L'infection par les outils de déni de service répartis (DDoS) n'est due qu'à des systèmes Linux installés par défaut sans aucune sécurisation et placés directement sur Internet sans protection. Ces outils envahissent également les autres plates-formes Unix et Microsoft Windows.

Que pensez-vous des systèmes de mise à jour automatique des systèmes par internet (type Red Hat) et des services d'audit de sécurité par internet ?

Les systèmes de mise à jour automatique peuvent se révéler extrèmement dangereux : vous arrivez un matin et vous rendez compte qu'aucun de vos systèmes ne fonctionne car une bibliothèque système a été mise à jour mais que cela c'est systématiquement mal passé. Cela peut être un magnifique outil de déni de service pour qui saurait le retourner. Les services d'audit de sécurité par Internet peuvent être utiles dans bien des cas, par exemple pour tester que le filtrage IP n'a pas été modifié ou que les services présents ne possèdent toujours pas de vulnérabilités connues. Mais ces services d'audit sont forcément très limités et ne peuvent construire une stratégie d'attaque comme cela est le cas lors de tests d'intrusions.

Hervé Schauer, fondateur et dirigeant du cabinet Hervé Schauer Consultants, s'est intéressé à la sécurité Unix à partir de 1986. Il a participé au groupe de travail Sécurité de l'AFUU en 1987. Sa société a notamment développé le premier relais applicatif avec authentification (HSC Gatekeeper) puis le premier générateur de filtres pour routeurs (MkFilters), deux applications revendues par la suite à la société Solsoft.

 
Ludovic Blin JDNet
 
Accueil | Haut de page