bubar🦥 a écrit 6904 commentaires

Plussun. Et on peut ajouter que tout confier à X n'est pas une solution valable s'il s'agit de délégation totale. Même si X=selinux.

C'est surprenant le genre de bêtises de configuration qu'on peut oublier … Exemple avec les conseils de Lynis (qui n'est pas du tout un analyseur de rootkit, contrairement à ce que dit la dépêche), ici sous la forme web juste pour l'exemple (les mêmes rapports sont générés en local avec le lynis de votre distribution)

Lynis, bien que forcément très incomplet, devrait être utilisé par toute personne désireuse de continuer sur "la securité n'est pas un produit mais un process", par la clareté de ses rapports et ses judicieux conseils. C'est simple, clair, et mérite d'être soutenu.

Mes deux cents.

j'aimerai savoir comment vous gérez le parefeu pour une machine "de bureau" ?

À l'ancienne pour le parefeu (parceque je n'ai pas encore fait l'effort de firewalld), donc :

INPUT DROP
FORWARD DROP
OUTPUT ACCEPT

Ensuite avec NetworkManager : tout réseau qui n'est pas un des miens entraine automatiquement une connection vers un vpn (ce n'est plus du tout du "firewall", mais ça me semble être la continuité logique)

Vooooilà :-)

C'est pourquoi j'apprécie Lynis :

• le code principal ? un fichier texte.
• tout le code additonnel, les greffons nommés "include" ? des fichiers texte.
• les greffons de la version saas ? des fichiers textes.
• Et même les micro bases de données sont des fichiers textes …

Avec ça, et tout bien découpé, bien commenté et surtout bien lisible, tu as de quoi lire.

Un reproche assez général, et qui revient sous diverses formes, même humouristiques, dans certains commentaires est le téléchargement. Prenons une partie de cette problématique (mises à jour de données nécessaires au fonctionnement, plus fréquentes que mises à jour de logiciels), & reprenons la liste initiale :

Liste	Besoin mises à jour de bases	Intégration dans la distribution*
clamav	Oui	Oui
maldet	Oui	Non
rkhunter	Oui	Non
chkrootkit	Oui	Non
lynis	Non	Sans Objet

* par exemple un service ou bien une configuration d'abandon de droits pour les téléchargements de mises à jour des bases de références

C'est un peu dommage de lancer, par exemple, le téléchargement des mises à jour de bases rkhunter avec le compte root, non ? Et pourtant rien n'est prévu, ni par le logiciel lui même ni par la distribution, pour faire autrement. Dès lors on peut légitimement se poser la question de l'utilité de rendre ses logiciels disponibles au travers de paquets intégrés à la distribution. Pourtant, afin d'éviter l'effet "télécharge-app.com" bien connu du siècle précédent et d'un système que peu utilisent ici, il faut bien les rendre disponible via les dépôts de paquetages. Alors, quelles solutions préconisez vous ?

Je ne sais pas \o/

En effet, blz n'est pas très github ou autre gros service du web, l'accès se met en place doucement.

Gni ?

La mise en pratique de SElinux est assuré par les packagers des distributions. Tu n'as pratiquement rien à toucher à part si tu veux faire joujou avec le MLS (sX-sX:cX;cX), ce qui doit être assez rare, non ?

Pour des logiciels que tu souhaites configurer différemment de la configuration par défaut (exemple : un port spécifique pour rsyslog, etc …) : le mode "permissive" est prévu pour cela avant la mise en prod : Les logs disent exactement ce qu'il faut faire, très souvent. Si c'est "en prod" et qu'il n'est plus possible d'utiliser le permissive, alors les logs n'en sont pas moins utiles, et il y a même audit2allow pour les feignasses :-)

Dire que SElinux est trop compliqué pour être utilisé revient à dire qu'on utilise pas de voitures parcequ'on ne maitrise pas la totalité de la voiture. Donc ne pas confondre la difficulté du MLS de SELinux avec la simplicité et l'efficacité de SELinux par défaut (hors mls)

Une bonne doc chez redhat

Sympa cette lecture du dimanche, merci :p

Et toi (…) tu te sens chef ou chaman ?

Tu réponds toi même à cette question en décrivant le comportement omega des alpha entre eux, et le comportement alpha des omégas avec leurs ouailles. Donc je vais prendre ta question au premier degré, simplement, alors ma réponse est foutaises («qu'on les pendent tous avec leurs boyaux»© Laguillier)
:-)

Un avis à deux balles, qui ne vaut pas grand chose, dans un commentaire dont la pertinence est proche de moinssemille : ayant eu affaire avec des gens de chez SuSe (avant et après les derniers changements novell/suse/netiq indépendants) d'une part, et connaissant un peu des gens qui y sont d'aure part, les retours de style de vie sont plutôt très bons : coudée franches, travail à domicile et mission chez clients, bonne rémunération, etc etc. La distro est une chose, les conditions de vie, les évolutions, et les missions, en sont une autre. Et les retours semblent plutôt bons.
Et en tant que "client", ça fait sacrément plaisir d'avoir à faire à qq qui débarque d'un avion mais qui sait ce qu'il dit, connait ce dont il parle, documente ce qu'il fait, et qui prends le contexte rapidement : ça change tellement …

Tiens, qq un qui connait Raoul Petite, la musique préférée des c.a.t. ..; et apprécie pour prendre une pochette en avatar.
\o/

• Et tu sais pour les téléphones portables ?
• Oui, ils peuvent savoir où on est et nous écouter
• Tu as vu, ils peuvent écouter tout internet
• Oui, ils ont même pénétré les réseaux chiffrés
• Tu as entendu parler de tor ?
• Oui, c'est l'endroit où la drogue est vendue, c'est bien qu' ils l'aient cassé
• Mon fils m'a dit qu'il fallait signer mes mails et chiffrer mes correspondance
• Cela ne sert à rien, ils sont capables de tout

(…)

Ou pas.

Un cable RJ45 aurait pu suffire pour tout : transport du jus et des lutins dans un seul cable. Mais il faudrait que le "serveur" se contente de 25W environ. On peut remplacer le cable réseau par du wifi, auquel cas il faut deux cartes wifi pour un serveur, au prix d'une consommation plus élevée.

Comme beaucoup d'autres commentateurs du journal, je ne cerne pas la cible d'un "vrai serveur sous la pluie". Evoquons qq potentiels :

• Ordinateur autonome de surveillance (cela se fait déjà avec des raspberry, des capteurs, et des réseaux Zigbee)
• Serveur de déploiement pour des évènements outdoors (là, c'est l'équipement de diffusion qui est important)

Donc, il y a deux axes : l'autonomie (de services) et/ou la pérénité (déploiement borné dans le temps). Ce qui revient à découper en deux sous axes de nécessités :

• Des capteurs (sur lesquels une "centrale", un serveur, est relié et contrôle) -> vers un serveur central classique et protégé
• Des antennes (par lesquelles les infos sont diffusées et/ou rapatriées) -> vers un serveur central classique et protégé

On peut donc élaguer complètement, pour ces deux cas, le fait de devoir déporter les disques durs à l'extérieur … Car d'un côté un ordi bien plus simple peut relayer les relevés des capteurs vers un central via des réseaux faibles conso, et d'un autre côté pour l'autre usage, on peut ne déployer que des relais réseau (des antennes de types ubiquity)

Au final, je ne vois pas d'intérêt à mettre des disques durs dehors : quelqu'un peut il éclairer ce "besoin" ? Il (me) semble que tout peut être fait autrement et pour probablement moins cher en maintenance.

L'exploit et le plaisir de le faire reste là, mais mettre un intel x86 + HD en outdoor, j'ai juste l'impression que c'est de l'avance de phase sur les capacités des petits appareils pensés pour … :p

Voilà, tout est dit : entre ça par Lenovo, et un bien propre sur lui tel que IME, fais ton choix. Perso, entre un truc de chez nous et un truc de Chine, mon choix est déjà fait depuis longtemps.

hop, dredi.

Elle se fait via un poe ?
Ou bien il faut un cable spécifique ?

Vérifier semble aussi générique et pour les mêmes cas de figure que l'angliSCSIime checker

Et personne, parmis les 600 commentaires, n'a encore fait la suggestion attendue (…) :
Ne plus utiliser que [1-9] sur une numérotation à chiffre unique après la virgule le point (puisque tout le reste est hasbeen avec de bonnes et moins bonnes raisons)
Qui ?

• Important, et j'utilise le bureau et/ou le terminal proposé par défaut par ma distribution.

man script

Pas testé, je te fais un retour des que possible

Sans entrer dans le débat d'idée, une simple remarque :

La douleur, ça se traite

Il existe (il me semble, je ne suis pas pharmacien) 4 classes d'opiacés en France. Et au delà de leurs différences et ordre chronologique d'actions (ainsi que des procédures de ré-évaluation, on le médecin va remplacer X pour Y pour T temps afin de permettre de revenir à X ensuite), il y a un moment où la douleur ne se traite plus vraiment.

Il y a un moment où le traitement de la douleur cesse ses effets, à moins d'être remplacé par de la sédation profonde. Et là, nous ne sommes plus dans le "traitement de la douleur". Ce n'est plus cela si, pour ne plus souffrir, le patient est proche de l'inconscience avec une réduction drastique -et dramatique- de ses capacités cognitives.

Ça, c'est pour l'aspect douleur physique. Pour le reste, je préfère me référer à ce sketch récent dans une mini-série télé, où un gosse demande à un de ses parents ce qu'est l'euthanasie, et il reçoit une excellente explication, et il conclut avec ces mots « ne t'inquiètes pas, pour pas que tu souffres je te ferai piquer comme Kafi »

Alors, tu es allergique à Ubuntu, Arch cause des soucis à ton laptop qui sont rédhibitoires pour ton usage. Et Debian tu préfères pour les serveurs. Donc tu va essayer Fedora ?
Je vais probablement me faire moinsser par des collègues Fedoristes (j'utilise fedora) mais je te déconseille Fedora, vue ce que tu dis. A cause de la carte graphique de ton portable. Fedora c'est une rolls lorsque le noyau supporte tout le matériel, mais c'est pas la meilleure lorsqu'il faut ajouter des drivers propriétaires : elle t'obligera à faire des configs et un suivi que tu n'as visiblement plus envie de faire.

Avec tes remarques, tes essais, ce que tu veux et ce que tu veux ne plus/pas faire, voici un autre avis : Mageia. Bon support des paquets proprio, bons paquets disponibles, mises à jour suivies autant en terme classique (sécu et système) que montée de version pour les paquets de type Firefox. Et pour rebondir sur une de tes remarques, commence par une installation selon tes critères : un livecd, le disque cible en --root & l'option --no-suggests (que toujours tu utilisera :p) Faire une installation minimale, c'est du bonheur tellement c'est agréable (en fait, un : urpmi --no-suggests basesystem-minimal ) Urpmi est ton ami. Mageia 4 arrive dans qq semaines.

Vivement ton commentaire lorsque Facebook arrivera officiellement sur Tor.
;-)

Avant de penser à faire des choses compliquées, faudrait déjà faire les choses simples. Par exemple que firefox arrête de leaks à tout bout de champs le fait que le navigateur soit français, même lorsqu'on sélectionne "anglais" dans tout les intl. & false sur detectLang … faut aller modifier tout les langpacks- pour que Google ne sache vraiment pas quelle langue utiliser pour ton navigateur, et se contente de la référence d'ip.

C'est pas la peine de se toucher le kiki à faire des trucs complexes pour la privacie si les configurations simples ne permettent pas ce qu'elles annoncent.

/*moment mauvaise humeur

& actuelles

Pas de pb de sécurité en vue, c'est maintenu par Redhat pendant encore quelques années. Les mises à jour sont très peu nombreuses mais sont là. Le Kde est un peu castré par Redhat (tout n'y est pas) mais ça évite aux utilisateurs de casser leurs confs. Le contexte est professionnel (12 plateformes indépendantes, chacune composée de serveurs, de stations et de portables, tout sous Redhat 5 avec kde pour toutes les stations et portables)
A part les environnements qui atteignent la limite des paths (…) chez certains utilisateurs, et ce n'est pas kde, aucun soucis. (je regrette juste l'absence d'un kde kiosk efficace, que ça soit pour ce kde là ou pour les plus récents, d'ailleurs)