Sécurité et Linux Philippe Biondi <biondi@cartel-securite.fr> Cédric Blancher <blancher@cartel-securite.fr> 14 mai 2002
Plan 1 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP
Plan SI Linux 2 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP
SI Linux Aperçu Points forts Points faibles 3 Vocabulaire Linux = noyau OS = noyau plus utilitaires de base (ex: GNU/Linux, GNU/Hurd) SI = OS+applications
SI Linux Aperçu Points forts Points faibles 4 Déroulement du boot: boot loader noyau init getty xdm rcs.d rc2.d login mountall networking crond inetd sshd httpd gdm
SI Linux Aperçu Points forts Points faibles 5 OS Modularité Extensibilité Transparence Profusion de logiciels
SI Linux Aperçu Points forts Points faibles 6 Noyau tourne sur une quinzaine d architectures supporte une trentaine de systèmes de fichiers ainsi que la plupart des formats de disques (Sun, SGI, Ultrix, etc.) possibilité d une couche logicielle cohérente sur une couche matérielle hétéroclite
SI Linux Aperçu Points forts Points faibles 7 Logiciel libre pérennité (ex: les noyaux 2.0 sont toujours maintenus, possibilité de maintenir soi-même un vieux logiciel, etc.) sureté de fonctionnement (audits internes, pas de spyware, etc.) réaction rapide face aux failles (full disclosure, possibilité de corriger soi-même, etc.)
SI Linux Aperçu Points forts Points faibles 8 Points faibles nécessite une bonne connaissance pour l utiliser sûrement parfois trop de choix
Plan Sécurité 9 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP
Sécurité Tour d horizon Durcissement 10 Applications Authentification (PAM, LDAP, etc.) Proxys (HTTP, FTP, SMTP, DNS, Socks, etc.) Wrappers NIDS (Prelude, Snort, Firestorm, Tamandua, FWLogWatch, FireParse, etc.) HIDS (Tripwire, AIDE, md5mon, bsign, Abacus (LogCheck, PortSentry, HostSentry), Swatch, etc.) etc.
Sécurité Tour d horizon Durcissement 11 Noyau Firewalling (iptables/netfilter) Emprisonnement (chroot()) Capabilities IPSec (FreeS/WAN) Systèmes de fichiers chiffrés patchs divers (ACL, etc.) Durcissement (OpenWall, GrSecurity, LIDS, LoMaC, SE Linux, LSM, etc.) etc.
Sécurité Tour d horizon Durcissement 12 Outils, audit Scanners automatiques (hping2, nmap, nessus, etc.) Analyseurs réseau (tcpdump, ethereal, etc.) Pots de miels virtuels (User-Mode Linux, Plex86, Bochs) etc.
Sécurité Tour d horizon Durcissement 13 Sureté de fonctionnement Systèmes de fichier journalisés (ext3, ReiserFS, XFS, etc.) LVS (Linux Virtual Server) (failover, répartition de charge) LVM (Logical Volume Manager) (hotplug sans RAID matériel) etc.
Sécurité Tour d horizon Durcissement 14 Premières mesures Désactiver les services inutiles Désinstaller les packages inutiles (L A T E X, compilateurs, X11, packages contenant des programmes SUID/SGID) Utiliser des applications robustes, simples, minimales. Éviter les SUID/SGID Possibilité d utiliser des wrappers Firewalling (la machine filtre ses propres flux réseaux ) Filtrer les logs, remonter les alertes Vérification d intégrité
Sécurité Tour d horizon Durcissement 15 Pour aller plus loin... capabilities, UID non privilégié, chroot Retirer CAP_SYS_MODULE et CAP_SYS_RAW_IO du système Recompilation du noyau minimal, sans module, et retirer le CAP_SYS_RAW_IO Utilisation de bibliothèques du type libsafe Utilisation d extensions de compilateurs (StackGuard, StackShield, etc.) Utilisation de distributions sécurisées (Immunix, Engarde, etc.) ou des scripts de durcissements Utilisation de patchs de sécurité (durcissement, contrôle d accès)
Plan Exemple 16 Aperçu d un SI Linux Aperçu Points forts Points faibles Sécurité et Linux Tour d horizon Durcissement Exemple Architecture d un réseau d entreprise Zoom : le firewall Zoom : le frontal HTTP
Exemple Architecture Firewall Frontal HTTP 17 <<<<<<<<<<<<;;;;;;;;;;;; 888888888888777777777777 FFFFFFFFFFFFEEEEEEEEEEEEE ::::::::::::999999999999 VVVUUU >>>>>>>>>>>>============ @@@@@@@@@@@@???????????? BBBBBBBBBBBBAAAAAAAAAAAA RRRQQQ DDDDDDDDDDDDCCCCCCCCCCCC TTTSSS HHHHHHHHHHHHGGGGGGGGGGGGG Filiale Internet Poste nomade Firewall VLANs IPSEC PPTP L2TP RAS & RADIUS DNS IIJ KL MM NN OP Administration Système & Réseau /// 000 ---.. ++,, Frontal HTTP Supervision Relais SMTP NIDS Monitor Terminaux X Ethernet Switch Stations HTTP intra/extra LAN `X`X`X`X`X`X`X` `X`X`X`X`X`X`X` axaxaxaxaxaxa axaxaxaxaxaxa bxbxbxb cxcxc Serveur TX Serveur Mail SMB ### $$$!!! "" DNS interne Pont filtrant ))) ** '' (( %%% &&& Proxy/Cache PKI / LDAP authentification forte LAN restreint 555 666 33 44 11 22 WXWXWXWXWXWXW YXYXYXYXYXYXYZXZXZ [X[X[ \X\X\X\X\X\X\ \X\X\X\X\X\X\ ]X]X]X]X]X]X] ]X]X]X]X]X]X]^X^X^ _X_X_ SGBD
Exemple Architecture Firewall Frontal HTTP 18 Le firewall Environnement applicatif minimal Serveur SSHv2 sur l interface d admin seulement Noyau minimum avec restriction d accès (LIDS) Pas de service sur les interfaces réseau Un firewall peut fonctionner en runlevel 0 (halt)!
Exemple Architecture Firewall Frontal HTTP 19 Le frontal HTTP Apache avec support PHP, SSL, rewrite et proxy Serveur HTTP en environnement restreint PHP restreint, safe_mode activé Authentification forte par certificats Firewalling Accès SSHv2 seulement depuis le réseau d administration restrictions d accès au niveau noyau (LIDS).
Liens (1/2) 20 Linux http://www.linux.org/ http://www.linuxdoc.org/ Noyau http://www.kernel.org/ http://www.lids.org/ http://www.grsecurity.net/ Réseau http://www.netfilter.org/ http://www.freeswan.org/
Liens (2/2) 21 Applications http://www.prelude-ids.org/ http://www.openssh.org/ http://www.insecure.org/namp/ http://www.nessus.org/ http://www.linuxvirtualserver.org/ Distributions http://www.debian.org/ http://immunix.org/