Sécurité et Linux. Sylvain Zongo Cédric Blancher 11 mai 2003

Transcription

1 Sécurité et Linux Sylvain Zongo Cédric Blancher 11 mai 2003

2 Outline 1 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

3 Rappels 2 Pour les anglophones free software <> free beer free software == free speech Quand un logiciel est libre, vous pouvez l utilisez, comme vous voulez [0] le redistribuer à qui vous voulez [1] accéder au code source pour l étudier et l adapter à vos besoins [2] redistribuer vos modification [3]

4 Outline SI Linux 3 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

5 SI Linux Aperçu Points forts Points faibles 4 Vocabulaire Linux = noyau OS = noyau plus utilitaires de base (ex: GNU/Linux, GNU/Hurd) SI = OS+applications

6 SI Linux Aperçu Points forts Points faibles 5 OS Modularité Extensibilité Transparence Profusion de logiciels

7 SI Linux Aperçu Points forts Points faibles 6 Noyau tourne sur une quinzaine d architectures supporte une trentaine de systèmes de fichiers ainsi que la plupart des formats de disques (Sun, SGI, Ultrix, etc.) possibilité d une couche logicielle cohérente sur une couche matérielle hétéroclite

8 SI Linux Aperçu Points forts Points faibles 7 Logiciel libre utilisable pour de nombreuses applications [1,2] pérennité (ex: les noyaux 2.0 sont toujours maintenus) [1,2,3] sureté de fonctionnement (je dis ce que je fais, je fais ce que je dis, je le prouve) [2] réaction rapide face aux failles (full disclosure) [3]

9 SI Linux Aperçu Points forts Points faibles 8 Points faibles nécessite une bonne connaissance pour l utiliser sûrement parfois trop de choix

10 Outline Sécurité 9 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

11 Sécurité Tour d horizon Durcissement 10 Applications Authentification (PAM, LDAP, etc.) Systèmes de journalisation (syslog, syslog-ng) Wrappers HIDS (Tripwire, AIDE, md5mon, bsign, Abacus (LogCheck, PortSentry, HostSentry), Swatch, etc.) etc.

12 Sécurité Tour d horizon Durcissement 11 Noyau Firewalling (iptables/netfilter) Emprisonnement (chroot()) Capabilities IPSec (FreeS/WAN) Systèmes de fichiers chiffrés Patches divers Durcissement (OpenWall, GrSecurity, LIDS, LoMaC, SE Linux, LSM, etc.) Machines virtuelles (User Mode Linux) etc.

13 Sécurité Tour d horizon Durcissement 12 Sureté de fonctionnement Systèmes de fichier journalisés (ext3, ReiserFS, XFS, etc.) Systèmes de sauvegarde (dd, tar, cpio, Amanda, etc.) Support des systèmes RAID matériels ou logiciels (noyau) LVS (Linux Virtual Server) (failover, répartition de charge) LVM (Logical Volume Manager) (hotplug sans RAID matériel) etc.

14 Sécurité Tour d horizon Durcissement 13 Premières mesures Partir d une distribution simple (Debian) Ne pas installer les packages inutiles (L A T E X, compilateurs, X11, packages contenant des programmes SUID/SGID) Désactiver les services inutiles Utiliser des applications robustes, simples, minimales. Éviter les SUID/SGID Configurer ses applications pour restreindre leur portée Possibilité d utiliser des wrappers Firewalling (la machine filtre ses propres flux réseaux ) Configurer sa journalisation, analyser les logs et remonter les alertes

15 Sécurité Tour d horizon Durcissement 14 Définir une politique de sauvergarde Vérification d intégrité éclairée

16 Sécurité Tour d horizon Durcissement 15 Pour aller plus loin... capabilities, UID non privilégié, chroot Retirer CAP_SYS_MODULE et CAP_SYS_RAW_IO du système Recompilation du noyau minimal, sans module, et retirer le CAP_SYS_RAW_IO Utilisation de bibliothèques du type libsafe Utilisation d extensions de compilateurs (StackGuard, StackShield, etc.) Utiliser des motifs de filtrage IP avancés (concordance owner) Utilisation de distributions sécurisées (Trusted Debian, Immunix, Engarde, etc.) ou des scripts de durcissements Utilisation de patchs de sécurité (durcissement, contrôle d accès)

17 Sécurité Tour d horizon Durcissement 16 Sécuriser l accès physique à la machine Interdiction de boot sur des media amovibles Restriction d accès au BIOS par mot de passe LiLo configuré avec mot de passe Une salle machine en accès restreint!

18 Sécurité Tour d horizon Durcissement 17 Le problème des portables Mot de passe BIOS pour booter Mot de passe pour le disque dur Utilisation de partitions chiffrée pour les données sensibles Utilisation de partitions de swap chiffrées Sauvegarde des données avant chaque déplacement Un portable doit pouvoir être perdu sans entraîner une perte ou un vol de données

19 Sécurité Tour d horizon Durcissement 18 Deux buts réduire la surface vulnérable de la machine confiner les intrusions NB : La sécurité n est pas un état, c est un processus permanent

20 Outline Exemple 19 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP

21 Exemple Architecture Firewall Frontal HTTP 20 <<<<<<<<<<<<;;;;;;;;;;;; FFFFFFFFFFFFEEEEEEEEEEEEE :::::::::::: VVVUUU >>>>>>>>>>>>============ BBBBBBBBBBBBAAAAAAAAAAAA RRRQQQ DDDDDDDDDDDDCCCCCCCCCCCC TTTSSS HHHHHHHHHHHHGGGGGGGGGGGGG Filiale Internet Poste nomade Firewall VLANs IPSEC PPTP L2TP RAS & RADIUS DNS I IJ KL M M N N OP Administration Système & Réseau / / / ,, Frontal HTTP Supervision Relais SMTP NIDS Monitor Terminaux X Ethernet Switch Stations HTTP intra/extra LAN `X`X`X`X`X`X`X` `X`X`X`X`X`X`X` axaxaxaxaxaxa axaxaxaxaxaxa bxbxbxb cxcxc Serveur TX Serveur Mail SMB # # # $ $ $!!! " " DNS interne Pont filtrant ) ) ) * * ' ' ( ( % % % & & & Proxy/Cache PKI / LDAP authentification forte LAN restreint WXWXWXWXWXWXW YXYXYXYXYXYXYZXZXZ [X[X[ \X\X\X\X\X\X\ \X\X\X\X\X\X\ ]X]X]X]X]X]X] ]X]X]X]X]X]X]^X^X^ _X_X_ SGBD

22 Exemple Architecture Firewall Frontal HTTP 21 Le firewall Environnement applicatif minimal Serveur SSHv2 sur l interface d administration seulement Noyau minimum avec restriction d accès (LIDS) Pas de service sur les interfaces réseau Un firewall peut fonctionner en runlevel 0 (halt)!

23 Exemple Architecture Firewall Frontal HTTP 22 Le frontal HTTP Apache avec support PHP, SSL, rewrite et proxy Serveur HTTP en environnement restreint PHP restreint, safe_mode activé et register_globals à off Authentification forte par certificats Firewalling Accès SSHv2 seulement depuis le réseau d administration restrictions d accès au niveau noyau (LIDS).

24 Conclusion 23 Linux est un OS extrêmement polyvalent et sécurisable Le niveau de sécurité vers lequel on peut tendre est sans équivalent Pourquoi payer plus cher si c est moins bien? NB : Linux n a pas le monopôle du logiciel libre, n oubliez pas que BSD existe ;)

25 Liens (1/2) 24 Linux Noyau Réseau

26 Liens (2/2) 25 Applications Distribution

27 Notice 26 Copyright 2003 Cédric Blancher Vous pouvez réutilisez cette présentation librement Cette présentation a été généré avec des outils libres : XFig, The Gimp, gvim, L A T E Xet Ghostscript Le modèle a été écrit par Philippe Biondi <biondi@cartel-securite.fr>