Update the synopsys and add a new translated section.
This commit is contained in:
Marc Fonvieille
parent
1115de8129
commit
278c6a5b4a
Notes:
svn2git
2020-12-08 03:00:23 +00:00
svn path=/head/; revision=31402
1 changed files with 264 additions and 16 deletions
|
|
@ -30,7 +30,7 @@
|
|||
règles empiriques, et à
|
||||
des sujets avancés sous &os;. De nombreux sujets
|
||||
abordés ici peuvent être appliqués à
|
||||
la sécurité système et Internet en
|
||||
la sécurité système et à l'Internet en
|
||||
général.
|
||||
L'Internet n'est plus un endroit “amical”
|
||||
dans lequel chacun désire être votre gentil voisin.
|
||||
|
|
@ -55,7 +55,7 @@
|
|||
|
||||
<listitem>
|
||||
<para>Les différents mécanismes de chiffrement
|
||||
disponibles sous &os;, comme DES et MD5.</para>
|
||||
disponibles sous &os;, comme <acronym>DES</acronym> et <acronym>MD5</acronym>.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
|
|
@ -64,28 +64,33 @@
|
|||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment configurer Kerberos, un autre système
|
||||
d'authentification.</para>
|
||||
<para>Comment configurer l'encapsuleur <acronym>TCP</acronym>
|
||||
pour une utilisation avec
|
||||
<application>inetd</application>.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment créer des coupe-feux en utilisant IPFW.</para>
|
||||
<para>Comment configurer <application>KerberosIV</application>
|
||||
sous les versions de &os; antérieures à la
|
||||
5.0.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment configurer IPsec.</para>
|
||||
<para>Comment configurer <application>Kerberos5</application>
|
||||
sous &os;.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment configurer IPsec et mettre en place un
|
||||
<acronym>VPN</acronym> entre machines &os; et
|
||||
&windows;.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment configurer et utiliser
|
||||
<application>OpenSSH</application>, la version
|
||||
de SSH implémentée sous &os;.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment configurer et charger les modules d'extension
|
||||
de contrôle d'accès en utilisant l'ensemble
|
||||
TrustedBSD MAC.</para>
|
||||
<application>OpenSSH</application>, la version de
|
||||
<acronym>SSH</acronym> implémentée sous
|
||||
&os;.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
|
|
@ -93,6 +98,22 @@
|
|||
utiliser.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment employer l'utilitaire
|
||||
<application>Portaudit</application> pour l'audit des
|
||||
logiciels tierce-partie installés à partir du
|
||||
catalogue des logiciels portés.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Comment utiliser les avis de sécurité de
|
||||
&os;.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Ce qu'est la comptabilité des processus et
|
||||
comment l'activer sous &os;.</para>
|
||||
</listitem>
|
||||
</itemizedlist>
|
||||
|
||||
<para>Avant de lire ce chapitre, vous devrez:</para>
|
||||
|
|
@ -104,12 +125,239 @@
|
|||
</listitem>
|
||||
</itemizedlist>
|
||||
|
||||
<para>D'autres sujets relatifs à la sécurité
|
||||
sont abordés par ailleurs dans ce Manuel. Par exemple,
|
||||
le contrôle d'accès obligatoire est
|
||||
présenté dans le <xref linkend="mac"> et les
|
||||
coupe-feux Internet sont développés dans le <xref
|
||||
linkend="firewalls">.</para>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="security-intro">
|
||||
<title>Introduction ** Traduction en Cours **</title>
|
||||
<title>Introduction</title>
|
||||
|
||||
<para></para>
|
||||
<para>La sécurité est un domaine qui débute
|
||||
et se termine au niveau de l'administrateur système.
|
||||
Alors que tous les systèmes multi-utilisateurs &unix; BSD
|
||||
ont des sécurités inhérentes, la mise en
|
||||
place et la maintenance des mécanismes
|
||||
supplémentaires de sécurité pour conserver
|
||||
des utilisateurs <quote>honnêtes</quote> est probablement
|
||||
une des tâches les plus vastes de l'administrateur
|
||||
système. La sécurité des machines est
|
||||
celle que vous voulez bien mettre en oeuvre, de plus les
|
||||
préoccupations en matière de
|
||||
sécurité sont plus que jamais en concurrence avec
|
||||
les besoins de confort des utilisateurs. Les systèmes
|
||||
&unix; sont, en général, capables
|
||||
d'exécuter un nombre important de processus
|
||||
simultanément et plusieurs de ces processus fonctionnent
|
||||
en tant que serveur — cela signifiant que des
|
||||
entités extérieures peuvent se connecter et
|
||||
échanger avec ces processus. Comme les mini-ordinateurs
|
||||
et les gros ordinateurs d'hier deviennent aujourd'hui nos
|
||||
ordinateurs de bureau, et comme les ordinateurs sont
|
||||
désormais en réseau et reliés à
|
||||
Internet, la sécurité devient d'autant plus un
|
||||
problème majeur.</para>
|
||||
|
||||
<para>La sécurité système concerne
|
||||
également la lutte contre les diverses formes d'attaque,
|
||||
y compris les attaques destinées à faire planter,
|
||||
ou à rendre inutilisable le système, mais qui ne
|
||||
cherchent pas à compromettre le compte
|
||||
<username>root</username>. Les problèmes de
|
||||
sécurité peuvent être divisés en
|
||||
plusieurs catégories:</para>
|
||||
|
||||
<orderedlist>
|
||||
<listitem>
|
||||
<para>Attaques par déni de service.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Compte utilisateur compromis.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Le compte <username>root</username> compromis par
|
||||
l'intermédiaire de serveurs accessibles.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Le compte <username>root</username> compromis par
|
||||
l'intermédiaire de comptes utilisateur.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Création d'une <quote>Backdoor</quote> (porte
|
||||
dérobée).</para>
|
||||
</listitem>
|
||||
</orderedlist>
|
||||
|
||||
<indexterm>
|
||||
<primary>attaques DoS</primary>
|
||||
<see>déni de service (DoS)</see>
|
||||
</indexterm>
|
||||
<indexterm>
|
||||
<primary>sécurité</primary>
|
||||
<secondary>attaques DoS</secondary>
|
||||
<see>déni de service (DoS)</see>
|
||||
</indexterm>
|
||||
<indexterm><primary>déni de service
|
||||
(DoS)</primary></indexterm>
|
||||
|
||||
<para>Une attaque par déni de service (<quote>DoS</quote>)
|
||||
est une action qui prive la machine de ressources
|
||||
nécessaires à son bon fonctionnement.
|
||||
Généralement, les attaques par déni de
|
||||
service sont des mécanismes de force brute qui tentent de
|
||||
faire planter ou tout au moins de rendre inutilisable la machine
|
||||
en saturant ses serveurs ou sa pile réseau. Certaines
|
||||
attaques par déni de service peuvent se servir de bogues
|
||||
présents dans la pile réseau pour faire planter
|
||||
une machine avec un seul paquet. Ces problèmes ne
|
||||
peuvent être corrigés que par l'application d'un
|
||||
correctif sur le noyau. On peut souvent remédier aux
|
||||
attaques sur les serveurs en fixant correctement des options
|
||||
pour limiter la charge que provoquent ces serveurs sur le
|
||||
système lors de conditions critiques. Les attaques
|
||||
réseau par force brute sont plus difficiles à
|
||||
traiter. Une attaque par paquets usurpés
|
||||
(<quote>spoofed-packet</quote>), par exemple, est
|
||||
quasi-impossible à arrêter, à moins de
|
||||
déconnecter de l'Internet votre système. Elle
|
||||
peut ne pas être en mesure de stopper votre machine, mais
|
||||
elle peut saturer votre connexion Internet.</para>
|
||||
|
||||
<indexterm>
|
||||
<primary>sécurité</primary>
|
||||
<secondary>comptes compromis</secondary>
|
||||
</indexterm>
|
||||
|
||||
<para>La compromission d'un compte utilisateur est bien plus
|
||||
fréquente qu'une attaque de type DoS. De nombreux
|
||||
administrateurs utilisent toujours sur leurs machines les
|
||||
versions standards des serveurs
|
||||
<application>telnetd</application>,
|
||||
<application>rlogind</application>,
|
||||
<application>rshd</application>, et
|
||||
<application>ftpd</application>. Par défaut, ces
|
||||
serveurs ne fonctionnent pas avec des connexions
|
||||
chiffrées. Cela aura pour résultat si vous
|
||||
disposez d'un nombre d'utilisateurs conséquent qu'un ou
|
||||
plusieurs de ces utilisateurs ayant l'habitude de se connecter
|
||||
à partir d'une machine distante (ce qui représente
|
||||
la manière la plus courante et la plus pratique pour
|
||||
ouvrir une session sur un système) auront leur mot de
|
||||
passe <quote>sniffé</quote>. L'administrateur
|
||||
système méticuleux analysera ses journaux de
|
||||
connexions effectuées à partir de machines
|
||||
distantes à la recherche d'adresses sources suspectes
|
||||
même pour les ouvertures de sessions ayant
|
||||
réussies.</para>
|
||||
|
||||
<para>Il faut toujours supposer qu'une fois l'attaquant a
|
||||
l'accès à un compte utilisateur, il pourra
|
||||
s'attaquer et avoir accès au compte
|
||||
<username>root</username>. Cependant, la réalité
|
||||
est que dans un système bien sécurisé et
|
||||
surveillé, l'accès à un compte utilisateur
|
||||
ne donne pas nécessairement à l'attaquant
|
||||
l'accès au compte <username>root</username>. Cette
|
||||
distinction est importante car sans accès aux droits de
|
||||
<username>root</username>, l'attaquant ne peut
|
||||
généralement pas dissimuler ses traces et peut,
|
||||
dans le meilleur des cas, ne rien faire d'autre que mettre la
|
||||
pagaille dans les fichiers de l'utilisateur ou faire planter la
|
||||
machine. La compromission de comptes utilisateur est
|
||||
très fréquente parce que les utilisateurs n'ont
|
||||
pas l'habitude de prendre les précautions que prennent
|
||||
les administrateurs système.</para>
|
||||
|
||||
<indexterm>
|
||||
<primary>sécurité</primary>
|
||||
<secondary>backdoors</secondary>
|
||||
</indexterm>
|
||||
|
||||
<para>Les administrateurs doivent garder à l'esprit qu'il
|
||||
existe potentiellement de nombreuses manières d'avoir
|
||||
accès au compte <username>root</username> sur une
|
||||
machine. L'attaquant peut connaître le mot de passe
|
||||
<username>root</username>, l'attaquant peut trouver un bogue
|
||||
dans un serveur tournant avec les droits de
|
||||
<username>root</username> et être en mesure de devenir
|
||||
<username>root</username> par l'intermédiaire d'une
|
||||
connexion réseau à ce serveur, ou l'attaquant peut
|
||||
connaître un bogue dans un programme suid-root qui permet
|
||||
de devenir <username>root</username> une fois qu'il a
|
||||
accédé à un compte utilisateur. Si un
|
||||
attaquant a trouvé un moyen de devenir
|
||||
<username>root</username> sur une machine, il n'aura
|
||||
peut-être pas besoin d'installer une
|
||||
<quote>backdoor</quote> (porte dérobée). De
|
||||
nombreux trous de sécurité
|
||||
<username>root</username> trouvés et fermés
|
||||
à temps demandent un travail considérable à
|
||||
l'attaquant pour effacer ses traces, aussi la plupart des
|
||||
attaquants installe des portes dérobées. Une
|
||||
porte dérobée offre à l'attaquant un moyen
|
||||
aisé d'avoir à nouveau accès aux droits de
|
||||
<username>root</username> sur le système, mais cela donne
|
||||
également à l'administrateur système
|
||||
intelligent un bon moyen de détecter l'intrusion. Rendre
|
||||
impossible à un attaquant l'installation d'une porte
|
||||
dérobée peut en fait être
|
||||
préjudiciable à votre sécurité,
|
||||
parce que cela ne fermera pas le trou qu'a découvert en
|
||||
premier lieu l'attaquant pour pénétrer sur le
|
||||
système.</para>
|
||||
|
||||
<para>Les solutions aux problèmes de sécurité
|
||||
devraient toujours être mises en place suivant l'approche
|
||||
multi-couches de <quote>la pelure d'oignon</quote>, elles
|
||||
peuvent être classées comme suit:</para>
|
||||
|
||||
<orderedlist>
|
||||
<listitem>
|
||||
<para>Sécuriser les comptes <username>root</username>
|
||||
et d'administration.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Sécuriser les serveurs exécutés
|
||||
avec les droits de <username>root</username> et les binaires
|
||||
suid/sgid.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Sécuriser les comptes utilisateurs.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Sécuriser le fichier des mots de passe.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Sécuriser le noyau, les
|
||||
périphériques et les systèmes de
|
||||
fichiers.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Installer un mécanisme de détection rapide
|
||||
des modifications inappropriées apportées au
|
||||
système.<para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>La paranoïa.</para>
|
||||
</listitem>
|
||||
</orderedlist>
|
||||
|
||||
<para>La section suivante de ce chapitre abordera de
|
||||
manière plus approfondie les points énoncés
|
||||
ci-dessus.</para>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="securing-freebsd">
|
||||
|
|
|
|||
Loading…
Reference in a new issue