-
xataz édité il y a 5 ans | lien | sur : Unix/Linux : importante faille dans Sudo, le correctif disponible
Une faille exploitable seulement avec une mauvaise configuration de sudo, mais malheureusement beaucoup de configuration par défaut comme ça.
Sudo devrait seulement être configurer avec une liste blanche et non avec une liste noire.
-
-
Quand je dis par défaut, pas out of box, mais je l'ai souvent rencontré en entreprise, car plus simple niveau configuration.
La configuration par défaut est par contre une faille en elle même, donner tout les droits à un utilisateur, ce n'est pas secure.
Autre que pour le nom de la machine, et dans le cas d'une infra mono-serveur, mono-utilisateur, le terme ALL ne devrait jamais être utilisé
-
Jamais rencontré en entreprise non plus, je n'en ai pas écumé des centaines cela dit mais s'amuser à donner tous les droit sauf root à un utilisateur est de toute façon une mauvais pratique. Un responsable DSI sérieux ne laisserait jamais faire ça.
Mais autrement, totalement d'accord avec ton commentaire.
-
Pour moi c'est simplement installer sudo qui est une mauvaise pratique…
-
ça reste mieux que de donner les mots de passe des utilisateurs spécifique à plusieurs personnes, ou pire l'utilisateur root. En serveur perso ou tu es tout seul dessus, pas de soucis, mais en entreprise, quand tu dois avoir 50 personnes qui sont susceptible de devoir faire des actions, y'a rien de mieux que sudo (ou doas pour openBSD), par exemple quand tu as un services de supervision en 24/7, c'est bien qu'ils puissent être autonome dans la relance de service, sans pour autant leur donner les droits full root pour le faire.
-
Non, ce ne sont quand même pas de bonne pratique, j'insiste. Les groupes et les ACLs c'est fait pour ça, et ça fonctionne très bien. Dans mon labo de recherche on fonctionne comme ça et tout le monde peut bosser sans aucun problème, y compris des développeurs ou des gens qui conçoivent des outils de mesure et les trucs qui vont avec (et qui finiront dans des satellites). Vu le fric que ça coute je t'assure qu'ont ne fait pas d'économie sur les tests.
Après c'est sur c'est moins pratique et il faut bosser, mais notre niveau et exigence forcément très élevé de sécurité n'est pas compromis par ce genre d'outil, ce qui dans notre cas n'est pas négociable.
-
Je ne vois pas comment tu peux faire de l'administration système grâce au ACLs, à part en jouant avec le SUID et GUID, ce qui reste pire que sudo, tu augmentes grandement la surface d'attaque. Car dans ce cas ça veut dire que les administrateurs et techniciens ont des comptes avec des permissions élevés, sous Unix, un utilisateur doit être un simple utilisateur, et demander des permissions élevés temporairement (via compte root ou sudo). D'ailleurs ça m'agace de voir des connexions root sur les serveurs.
De plus avec les ACLs, tu peux seulement limiter l'accès (rwx) sur un fichier, par exemple tu ne peux pas dire qu'un utilisateur ne peux utiliser que l'argument
statusdesystemctl, mais seulement l'autoriser à utilisersystemctlou non.-
Tu viens de démontrer la supériorité des scripts init. Chez nous Systemd n'est pas du tout le bienvenu. En plus ce truc est une faille de sécurité à lui tout seul. Les évaluations en termes de sécurité et qualité de code des travaux de Lennart Poetering sont assez catastrophique…
Nos outils disposent des permissions nécessaire pour être utilisés. S'il le faut nos scripts init peuvent appartenir au groupe qui pourra les manipuler (c'est ultra rare par ailleurs, ils peuvent faire une quantité astronomique de choses en espace utilisateur). Les rares qui veulent être admin de leur machine sont dans un réseau à part (bac à sable). On peut aussi jouer avec des outils comme Policykit mais dans notre cas ça n'a jamais été nécessaire. Et bien évidemment personne à part les deux ASR habilité n'a de mot de passe root, jamais.
Alors, oui, il arrive que parfois un utilisateur viennent nous voir pour nous demander de faire un truc qu'il ne peut pas faire sans être root, mais c'est notre boulot et au passage ça nous permet d'évaluer la pertinence de la demande et de la valider ou la rejeter (et proposer une alternative). Quoi qu'il en soit, nous n'avons jamais trouvé de bonne raison ou de cas ou l'usage de sudo serait nécessaire.
-
Pour les applications métiers je comprends, c'est d'ailleurs ce qu'on fait, chaque applications à son propre utilisateur, et son lancer par un script init perso, donc chaque opérateur à le droit de lancer
sudo -u UserApplipour lancer les taches de maintenance de cette appli. Après de mon cotés, aucun outils n'est exécuter en local sur les machines, les utilisateurs n'ont que des IHM. Les devs n'ont par contre en aucun cas accès au machine, les environnements sont généré à la volée via jenkins.Par exemple dans ma boite on compte plus de 500 informaticiens (tout métier confondu), dont environs 100 pour la gestion de l'infrastructure (15 techniciens d'exploitation/supervision présent H24, 7/7j, une 20ène d'admin et ingé, les intégrateurs, les analystes etc …), chacun doit être capable à n'importe qu'elle moment de pouvoir redémarrer un serveur, ou simplement un service système ou une application, pas le choix d'avoir un accès “root” pour redémarrer sshd par exemple.
Franchement j'aimerai me passer desudo, mais franchement je ne vois pas comment faire pour que si user1 lance un script d'init d'un service, ce script se lance avec les permissions de userX.
A part utiliser que des comptes génériques ou technique où on partage les mdps, on a essayé, jusqu'a ce qu'un petit malin décide de changer des mdps sans prévenir personnes. -
-
C'est le résultat d'une étude interne qui a simplement consisté en la lecture de quelque fichiers pris au hasard dans différents de ses projets. Ensuite il y a les fréquentes alertes de sécurité à propos de Systemd (mais aussi PulseAudio et d'autre trucs, internet t'en dira long), au hasard : * https://www.itprotoday.com/linux/linuxs-systemd-hit-three-security-holes * https://news.slashdot.org/story/18/10/27/196227/new-systemd-vulnerability-discovered
À noter qu'à l'inverse je n'ai jamais entendu parler de graves failles de sécurité dans SystemV init ou BSD init.
Il y a aussi les pétages de câbles légendaires de Linus Tovald sur le comportement de Poettering et de certains de ses développeurs. Par exemple, je ne ferait jamais confiance en des devs qui se comportent comme ça (et je comprend parfaitement la position de Torvalds) : * https://news.ycombinator.com/item?id=19023232 * https://www.phoronix.com/scan.php?page=news_item&px=mty1mza
Sans compter que par principe, le processus 1 (init) doit être ultra protégé et qu'un plantage de ce processus provoque l'effondrement de tout le système. Idéalement, c'est du KISS. Et enfin le non respect des principes fondamentaux d'Unix (un outils, une tâche) ne sont pas de bon augure non plus.
-
-
-
-
-
-
-
-
-
-
-
Je suis à l'origine dev PHP et merci de rétablir un peu de vérité.
Depuis bientôt 2 ans, je fais du jQuery et de l'Angular… La liberté qu'offre PHP me manque… et le JS me fait vomir :)
-
Cela ne se fera pas. Le principal opposant politique à l'État américain est réfugié en Russie, pays qui ignore volontairement les droits de l'homme et se moque bien de l'occident.
La France et les soit-disants porte-étendards des droits de l'homme se ridiculisent pour ne pas froisser le boss de l'occident, pour que Trump ne fasse pas un caca nerveux. C'est du harcèlement de base en fait, le boss du lycée qui impose sa loi… pathétique de la part de nos politiques. Mais vu que ça dure depuis Hollande, on sait que c'est stable dans notre politique étrangère. Donc faut pas rêver, ça n'arrivera pas.
-
-
tout à fait, je me suis mal exprimé et je parlais du rejet de la demande d'asile de Snowden qui date de Hollande.
-
-
-
Si on m'avait expliqué les flux de cette manière il y a quelques années, j'aurai immédiatement compris…
Superbe introduction aux flux, merci beaucoup.
-
Merci à l'auteur, je me suis régalé à la lecture :).
-
-
J'essaye de voter quand j'ai trouvé l'article pertinent et intéressant. Toujours après lecture donc.
Cependant je ne me fie pas spécialement aux votes pour mes lectures. Si le titre me donne envie, je vais voir plus loin, sinon je passe ma route. J'utilise donc plus le vote comme une forme de remerciement pour la personne ayant partagée l'information.
-
OVH ne fait pas de blocage sur scihub :).
-
Cette fragmentation est autant une force qu'une faiblesse.
Quel plaisir d'avoir le choix.
Ou alors on standardise OpenBox… Comment ça non ?
-
kikinovak il y a 6 ans | lien | sur : Si Linux a de la peine à s'imposer sur le desktop c'est à cause de la fragmentation de l'écosystème, d'après Linus Torvalds
Z'avez qu'à tous utiliser OpenSUSE. </troll>
-
-
Petite erreur sur les SMS cela dit. Signal ne les chiffre pas.
-
-
Si je ne m'abuse, non Signal ne chiffre pas les SMS, il chiffre uniquement les messages (donc transmission par TCP/IP).
Silence, lui, permet de chiffrer les SMS et MMS.
-
-
C'est d'ailleurs pour ça que j'utilise toujours silence en application SMS par défaut, et signal en chat. La différence est surtout que pour envoyer un message par SMS, un signal gprs suffit, pour envoyer un message par signal, il faut minimum du edge. Et étant souvent en campagne, il n'est pas rare de n'avoir que du gprs.
-
-
-
-
-
-
-
Nibel il y a 6 ans | lien | sur : Google va faire payer les fabricants de smartphones pour utiliser les applications Android en Europe
Est-ce qu'on pourrait espérer voir des fabricants qui refusent de payer la licence et donc se retrouver avec un Android Vanilla (ou à défaut, un stock fabricant) sans les services Google.
Visiblement, c'est seulement la distribution des services Google avec Android qui est concernée. Si un fabricant décide de livrer une ROM Android sans les services Google et qu'il incite ensuite les utilisateurs à télécharger les services Google, c'est ok non ?
-
10 ans que je joue sous Linux. J'ai eu le temps de voir évoluer extrêmement vite ce monde.
Avant c'était la croix et la bannière pour gérer deux canaux audios (alsa, oss, alsa-oss, il fallait en permanence jongler pour trouver un serveur de son fonctionnel). Puis PulseAudio est arrivé, les premiers temps étaient difficiles, il fonctionnait assez mal mais il a fini par bien s'améliorer et se démocratiser.
Le pilote ATI (propriétaire) était bien merdique à cette époque. Le driver nVidia était plus acceptable bien qu'il n'était pas capable de gérer correctement les laptops avec chipset intégré + GPU.
Et évidemment, on installait tout à la mano sous Wine. Puis sont arrivés des outils comme PlayOnLinux et Lutris qui ont grandement simplifié l'installation et la configuration des jeux. Puis enfin Proton, une véritable bouffée d'air pour les joueurs Linux sous Steam, Steam qui à cette époque lointaine, n'avait pas de version native sous Linux, rappelons-le.
Aujourd'hui, on arrive à avoir des performances supérieures dans des jeux sous Wine que nativement (c'est le cas de Trackmania et World of Warcraft de ce que j'ai pu constater de moi-même). Les derniers jeux mettent de moins en moins de temps être fonctionnel sous Wine (merci DXVK et consort…) Quel long chemin nous avons fait…