"Why OpenBSD Will Never Be as Secure as Linux"

Posté par  . Modéré par Fabien Penso.
Étiquettes :
0
11
mai
2001
Linux
Ca ressemble à un troll mais c'est bien le titre d'un article de securityportal.

Il ne compare pas les avantages intrinsèques des deux systèmes mais mentionne plusieurs moyens de sécuriser Linux non disponible sur OpenBSD, dont les arguments sont une configuration "secure by default" (bof ...) et un code mieux audité.

- WireX : Immunix, distribution Linux orientée sécurité : SubDomain pour restreindre les fichiers accessibles à un programme, StackGuard et FormatGuard pour les bugs dus à des dépassements de buffer et les chaînes de formatage.

- openwall : piles user non exécutable, plus de liens et pipes dans /tmp

- Argus PitBull LX : Discretionary Access Control, restrictions à l'accès aux devices et aux ports (flexible, moins lourd qu'un chroot). Attention, kernels binaires seulement !

- NSA SELinux : similaire à PitBull, mais PitBull ressemble un peu à l'inspecteur gadget de la sécurité tandis que les patches de la NSA ont apparemment un design plus cohérent, j'ai l'impression que les designers ont une "big picture" du noyau, mais c'est plus délicat à paramétrer.

- LIDS : bloque certains éléments de configuration qui ne sont plus modifiable sans un accès physique à la machine.

- Medusa DS9 : plus ou moins la même chose que les précédents ?


L'auteur annonce un article "Why Linux Will Never be as Secure as OpenBSD" pour la semaine prochaine, donc il ne faut prendre le titre provocateur au pied de la lettre.

Personnellement j'ai participé au crack contest openhack sur une machine avec PitBull LX et j'ai été impressionné par sa résistance, un hacker a pu avoir un shell root avec un exploit connu mais n'a pas pour autant pu créer le fichier demandé dans la racine à cause du Discretionary Access Control.

Apparemment la sécurisation globale d'un système passe par la mise en place de tels mécanismes qui n'ont pas les limites du "Mandatory Access Control", on ne peut pas tout faire à coups de chmod.

Aller plus loin

  • # Troll ??

    Posté par  (site web personnel, Mastodon) . Évalué à 1.

    C'est peut-être pas un troll mais ça y ressemble un peu quand même.
    Ceci dit, j'étais en train de lire l'article et j'ai été interrompu par le téléphone donc j'y retourne mais rien que le titre est fait pour troller à mort. Faites donc gaffe aux titres que vous donnez aux news (quoique des fois, il y a que comme ça qu'on attire les commentaires).

    • [^] # Re: Troll ??

      Posté par  . Évalué à 0.

      C'est qd même un troll argumenté

      • [^] # Re: Troll ??

        Posté par  (site web personnel, Mastodon) . Évalué à 1.

        Ouais, c'est vrai que l'article est quand même pas mal.

      • [^] # Re: Troll ??

        Posté par  . Évalué à 1.

        Un bon troll se doit d'avoir un minimum d'arguments (même faux, ça n'a pas d'importance), afin de bien allumer la mêche. Qui réagit encore à un "Linux prout, windows powah" ?

        Finalement des arguments faux, c'est encore mieux pour allumer la mèche, y'en aura bien un pour répondre.

        • [^] # Re: Troll ??

          Posté par  . Évalué à 0.

          Ouah, c'est même pas vrai d'ailleurs c'est pas windows qui a inventé les fenêtres gestions de la mémoire intégrisme informatique... !

    • [^] # Re: Troll ??

      Posté par  . Évalué à 0.

      C'est normal, avec tous les sites d'info qui pillulent, si tu veux te faire lire, il faut être accrocheur. Donc avoir des titres exagérés. L'avantage ici c'est que même avec un titre pourri à la "Voici/Gala", le fond de l'article est très interessant. Et la suite sur les avantages de OpenBSD sera au moins aussi intéressante.

      En résumé, un titre fait pour attirer les mouches passe mieux s'il y a un bon fond derrière. Et c'est le cas, même si il ne parle que d'une facette du sujet. (Ca sera ptet pas le même auteur pour la partie OpenBSD d'ailleurs)

  • # A ce sujet

    Posté par  . Évalué à 0.

    Chaque système a du bon et du moins bon en sécurité. Et puis si OpenBSD a moins d'outils de sécurité que Linux, c'est ptet parce qu'il en a moins besoin ;)

    • [^] # Re: A ce sujet

      Posté par  . Évalué à 0.

      tu veux dire parce que personne ne l'utilise? ;-P

  • # Pour la semaine prochaine on a déjà le titre...

    Posté par  . Évalué à 1.

    A la fin de l'article : Next week: "Why Linux Will Never be as Secure as OpenBSD".

  • # Article à lire

    Posté par  (site web personnel, Mastodon) . Évalué à 1.

    Cet article a le mérite de présenter des outils Linux de sécurisation pas forcément connus mais intéressants. De là à faire cette présentation sur fond de lutte fratricide entre *BSD et Linux, fallait oser. Peut-être que cela tend à prouver qu'OpenBSD était une référence en matière de sécurité et que la comparaison était bonne.
    J'attends en tous les cas l'article de la semaine prochaine Why Linux will never be as secure as OpenBSD pour voir ce qu'il va donner.

    • [^] # Re: Article à lire

      Posté par  . Évalué à 0.

      > De là à faire cette présentation sur fond de lutte fratricide entre *BSD et Linux, fallait oser.

      C'est du marketing, coco, et ça s'apprend !

  • # OpenBSD secure par défaut

    Posté par  . Évalué à 1.

    Je crois que l'auteur de la news a pas trop compris la signification du 'Secure par défaut' de OpenBSD... Le fait est que OpenBSD est bien plus sécurisé après l'installation qu'une distribution de Linux moyenne.
    Exemple : sur un campus où toutes les machines sont reliées au réseau et ont une ip fixe, tu n'as pas idée du nombre de boulets qui installent une Mandrake et qui laissent un nombre incalculable de ports ouverts, menaçant leur machine et tout le réseau par la même occasion. Quand tu n'y connais rien, tu ne choisis pas forcément le niveau 'Sécurité maximale' de Mandrake...
    Donc
    => pour un utilisateur expérimenté, il y a moyen d'atteindre un niveau de sécurité comparable avec tous les OS (que ce soit avec Linux, OpenBSD ou FreeBSD)
    => pour un néophyte, OpenBSD est bien plus sécurisé par défaut.

    Mais le problème est que les néophytes n'installent pas OpenBSD :o)

    • [^] # Re: OpenBSD secure par défaut

      Posté par  . Évalué à 5.

      moi j'ai l'openbsd le plus secure du monde..tous les cables sont collés a la glue 3 (rj45, souris , clavier) au cas ou on ferait un hack externe av une gameboy (j'ai meme mis de la pate a modeler pr voir si qlq '1 y touchait)
      .
      apres j'ai mis un pti systeme a elastique ds le lecteur de d7, si tu mets une d7 ss connaitre le truc , tu prends la disquette ds ta grosse gueule!!
      le lecteur de cd est camouflé sous le pc!!
      j'ai inversé toutes les touches du clavier
      qui est en "demrtoy"..
      le pire, c si t'essayes de boire la guinness sous le bureau, tu es victime d'un puissant laxatif
      qui me permettra de te suivre ds ta fuite!!
      et de tte maniere la tv est branché en permanence sur loftstory ce qui permet une deconcentration max de tte les geeks frustrés du coin!!
      see you soon
      ;)

    • [^] # Re: OpenBSD secure par défaut

      Posté par  . Évalué à 0.

      Pleures pas! Un jour viendra où vous serez reconnus à votre juste valeur et que ce genre de titre ne vous fera plus monter la tension en fléche.
      Concernant ton campus où les admins laissent les utilisateurs installer leur distrib préférée, ça me laisse dubitatif...

    • [^] # Re: OpenBSD secure par défaut

      Posté par  . Évalué à 0.

      En france, le neuneu install windows par defaut. Par contre cote securite heureusement qu'il y a le routeur, sinon, je te dit pas les degats.
      Au fait, a l'install Mandrake te previent des serveur que tu installes donc tu peux tres bien les enlever apres, si tu n'en a pas besoin. Au moins tu sais ce qui sont installés.

      • [^] # Re: OpenBSD secure par défaut

        Posté par  . Évalué à 1.

        En france, le neuneu install windows par defaut.

        En France, et partout dans le monde, le neuneu n'installe rien du tout: il en est bien incapable.

        PK

        • [^] # Re: OpenBSD secure par défaut

          Posté par  . Évalué à 0.

          Mais si, il y a bien sûr plusieurs "niveaux" de neuneu:

          le pas neuneu: ma grand-mère qui touche pas un clavier hormis sa machine à tricoter.

          le neuneu qui l'ignore et qui s'en fout: mon docteur qui croit qu'un pc s'allume et s'éteint comme une ampoule.

          le neuneu qu'en a marre d'être pris pour un neuneu: celui qui sait pas vraiment se servir de zindozs.

          le neuneu qui roule des mécaniques: celui qui croit savoir se servir de zindozs.

          le neuneu humble: "je comprends à peu près zindozs, j'aimerais bien essayer Linux, parce que zindozs, ça macrosucks, hein, dis ?"

          le neuneu orgueilleux: "j'ai installé debian, MOI. Et je l'ai faite tourner trois jours sans planter! Bon, j'ai dû redémarrer zindozs pour regarder Loftstory sur mon tuner tv..."

          le neuneu trop rare: "mais c'est tout simple, linux. T'as un problème ? Tu veux que je t'aide ? Attends, voila la solution. Tout le monde peut comprendre ça, n'est-ce pas ?"

          • [^] # Re: OpenBSD secure par défaut

            Posté par  . Évalué à 0.

            Et bien sûr, il y a aussi plusieurs "niveaux" de linuxien :

            le pas linuxien: 90% des gens sur Terre qui n'ont rien à faire de l'informatique

            le linuxien qui l'ignore et qui s'en fout: un gars encore libre mentalement, en bonne santé psychique et qui a une petite amie.

            le linuxien qui en marre d'être pris pour un linuxien: celui qui se rend compte qu'il passait pour un idiot quand il hurlait à longueur de journée : "Linux vaincra Microchiotte !!"

            le linuxien qui roule des mécaniques : celui qui croit avoir le droit de traiter une partie de la population de sous-merde parce que l'informatique ne l'intéresse pas

            le linuxien humble : hum, il existe ?

            le linuxien orgueilleux : "Woarf, regardé moi se neuneu ... il bosse sur windaube. Héé tu reboote ta machine là ? té qu'un neuneu toute façon, tu comprendras pas, tu en es bien incapable."

            le linuxien trop rare(*) : "Chacun est libre de faire ce qu'il souhaite. Si tu aimes Windows et tu veux l'utiliser, utilise le. Si un jour tu ne veux plus payer de licence, regarde du côté de Linux."


            (*) et qui pense ne pas faire partie d'une élite intellectuelle et pseudo-morale, obsédée par l'idée qu'elle existe pour sauver le monde.


            Signé : Un linuxien trop rare ...

    • [^] # Re: OpenBSD secure par défaut

      Posté par  . Évalué à 1.

      Je pense que l'argument du "secure by default" n'est pas primordial, si la sécurité est un problème pour toi, il faut de toutes façons que tu connaisses le système et ce qui est installé, mais il faut le faire de toutes façons pour pouvoir maintenir et upgrader le système à plus long terme.

      Bref tu perds un peu de temps au début pour corriger ce qui doit l'être (services dans inetd.conf, ne pas lancer bind sous root, ...),
      soit tu sais comment ca marche et c'est rapide
      soit tu sais pas et de toutes façons ca peut
      pas faire de mal d'apprendre !

      C'est vrai que je préfèrerais secure by default
      mais bon c'est pas l'argument massue.

      Mets tes boulets avec leur Mandrakes derrière
      un firewall, si tu ne contrôle pas leur
      configuration tu ne devrais pas laisser un
      trou dans la sécurité de leurs machines impliquer
      une menace pour le réseau complet.

  • # Feebsd et autre c'est que pour debuter...

    Posté par  . Évalué à 0.

    ces plateformes, proche d'unix, sont des vraies passoir a hacker.

    L'objectif final c'est de connaitre BSD pour mieux comprendre Linux...

  • # Appelons un chat, un chat

    Posté par  . Évalué à 1.

    On peut résumer le propos de Kurt au point suivant :
    - Linux, comme OpenBSD sont des systèmes de classe C, comme tous les Unix ;
    - il existe des extensions sur Linux qui lui permettent d'atteindre la classe B, ce qu'on appelle en anglais non pas les «secure» operating systems mais les «trusted» operating systems.

    Donc, effectivement, il est possible de rendre un système Linux plus «pointu» en terme d'authentification, droits des utilisateurs, etc.

    D'un autre côté, s'il existe des problèmes sous-jacents (on peut par exemple penser au bug dans la gestion des capacités dans les noyaux Linux <= 2.2.18), la sécurité est toute relative, et c'est peut-être l'objet de la «revanche» dans son article de la semaine prochaine.

    Que conclure de l'article ?

    Que si vous avez des besoins en sécurité pour lesquels un système de classe C ne suffit pas, vous avez tout intérêt à préférer Linux à OpenBSD, car pour l'instant il n'existe pas de « chemin de migration» possible pour OpenBSD. Ceci pourrait changer si des projets comme TrustedBSD étaient menés à terme et portés sur OpenBSD, mais c'est loin d'être encore le cas.

    Pas la peine de crier au troll pour cela...

    • [^] # Re: Appelons un chat, un chat

      Posté par  . Évalué à 0.

      > - Linux, comme OpenBSD sont des systèmes de classe C, comme tous les Unix ;

      C'est quoi la définition exacte d'un système de classe C/classe B, "trusted OS", "secure OS" ?

      C'est quoi le projet TrustedBSD ?

      Merci d'avance.

      • [^] # systeme de classes D, B, C, A

        Posté par  . Évalué à 1.

        Ce sont des niveau de sécurité défini par l'orange book, du département américain de la défense.

        http://www.totse.com/en/privacy/encryption/orange-b.html(...)


        1.0 DIVISION D: MINIMAL PROTECTION
        2.0 DIVISION C: DISCRETIONARY PROTECTION
        2.1 Class (C1): Discretionary Security Protection
        2.2 Class (C2): Controlled Access Protection
        3.0 DIVISION B: MANDATORY PROTECTION
        3.1 Class (B1): Labeled Security Protection
        3.2 Class (B2): Structured Protection
        3.3 Class (B3): Security Domains
        4.0 DIVISION A: VERIFIED PROTECTION
        4.1 Class (A1): Verified Design
        4.2 Beyond Class (A1)

      • [^] # Re: Appelons un chat, un chat

        Posté par  . Évalué à 1.

        TrustedBSD est un projet visant à développer, au dessus de FreeBSD, les éléments nécessaires afin de lui faire atteindre la classe B.

        http://www.trustedbsd.org(...)

        • [^] # Re: Appelons un chat, un chat

          Posté par  . Évalué à 0.

          Hum... le but du projet n'est pas très clair encore. Est-ce:
          - avoir les éléments pour une certification dans la classe B ?
          - obtenir la certification B1 ?
          - viser plus haut et se baser sur les critères communs ?
          - autre chose ?

    • [^] # Re: Appelons un chat, un chat

      Posté par  (site web personnel) . Évalué à 1.

      "- il existe des extensions sur Linux qui lui permettent d'atteindre la classe B, ce qu'on appelle en anglais non pas les «secure» operating systems mais les «trusted» operating systems. "

      Tout à fait exact, c'est pour cela que la NSA développe ces extensions pour le kernel Linux. Linux leur plait au niveau ouverture des sources mais conformèment à leurs normes, ils préferent utiliser des OS de classe B.

      Ils vont quand même pas déroger à l'Orange Book ou aux "Common criterias" auquels ils ont participé.

      • [^] # Re: Appelons un chat, un chat

        Posté par  . Évalué à 0.

        NT est ds quelle classe?

        • [^] # Re: Appelons un chat, un chat

          Posté par  . Évalué à 1.

          Windows NT a été officiellement certifié C2 sur un certain nombre de machines (configurations matérielles) dont le point commun était de n'avoir ni lecteur de disquettes, ni carte réseau.

          Si si, c'est pas une blague.

          • [^] # Re: Appelons un chat, un chat

            Posté par  . Évalué à 0.

            c'est ce que je voulais entendre pr dire q c ridicule!!

            • [^] # Re: Appelons un chat, un chat

              Posté par  . Évalué à 0.

              Exactement, c'est ridicule et stupide.

              Une certification concerne une machine, son os, son environnement matériel et réseau.

              Le commentaire de Miod Vallat est:
              - stupide, car il démontre qu'il ne comprend pas ce qu'est une certification
              - ridicule, car il ne prouve que la nullité crasse de son auteur.

              Je partage complétement ton avis: commentaire ridicule et stupide.

              • [^] # Re: Appelons un chat, un chat

                Posté par  . Évalué à 0.

                ah non c pas c que je voulais dire..
                je voulais montré q les certifications etaient ridicules et finalement elles ne le sont pas ss dte.
                j'aprecie mr miod valat qui essayes tjs d'etre tres xplicatifs sur plein de choses et n'est pas avare en details..
                voila j'aprecie ce gars et je pense pas qu'il soit de mauvaise foi!

              • [^] # Re: Appelons un chat, un chat

                Posté par  . Évalué à 1.

                Une bonne url sur la question :

                http://www.wired.com/news/news/technology/story/12121.html(...)

                Morceaux choisis :
                "the C2 rating only applies to a now-obsolete version of Windows NT, version 3.5, running on a machine that is unplugged from a network"

                et l'arlesienne :

                "A Wired News request to the NSA to determine the current status of Microsoft's C2 application for Windows NT 4.0 was denied at the request of Microsoft, according to NSA public affairs. But Murphy said that the company expects to have a networked version of Windows NT 4.0 approved as C2 by October."

        • [^] # Re: Appelons un chat, un chat

          Posté par  . Évalué à 0.

          C2.

          Attention, la classe C2 concerne moins la sécurité que la tracabilité, et la capacité de rendre des comptes en cas de menaces. D'où l'accent porté sur les journaux, sur les accès discrétionnaires et mandatés...

          C'est de plus un niveau de sécurité très bas, minimal. Le but est d'ouvrir son parapluie en cas de problème: on a fait pris des démarches raisonnables.

          Un système n'atteignant pas la classe C2 n'est pas ouvert à tout les vents, c'est plutôt qu'il ne permet pas autant de justifier et d'expliquer.

          Enfin, attention à la confusion courante des débutants entre (to) secure (verrouiller) et security (sécurité). De plus, "sécuriser" est un barbarisme, on préfera "protéger, verrouiller, rendre sain", suivant le cas. Le franglais n'est souvent qu'un cache sexe devant le vide des propos et du raisonnement!

          • [^] # Re: Appelons un chat, un chat

            Posté par  . Évalué à 0.

            ah ..en fait les classe, c 'est + la lettre est basse + c'est securisé..
            j'ai regardé trop vite :(
            donc openbsd c "secure " donc verrouillé et pas securisé...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.