Debian
Debian-France
Debian-Facile
Debian-fr.org
Forum-Debian.fr
Debian ?
Communautés
Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format
PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
|
doc:systeme:securite [15/08/2013 20:28] captnfab [Confidentialité des données] |
doc:systeme:securite [15/08/2013 21:03] captnfab [Vos objectifs] |
||
|---|---|---|---|
| Ligne 3: | Ligne 3: | ||
| * Objet : Indications sur la manière de sécuriser une Debian | * Objet : Indications sur la manière de sécuriser une Debian | ||
| * Niveau requis : DÉBUTANT AVISÉ | * Niveau requis : DÉBUTANT AVISÉ | ||
| + | * Tags : {{tag>à-compléter}} | ||
| * Commentaires : //La sécurité est un vaste domaine. Nous allons développer différents aspect de la sécurité ainsi que les différents moyens à mettre en œuvre pour les satisfaire.// :-) | * Commentaires : //La sécurité est un vaste domaine. Nous allons développer différents aspect de la sécurité ainsi que les différents moyens à mettre en œuvre pour les satisfaire.// :-) | ||
| ===== Vos objectifs ===== | ===== Vos objectifs ===== | ||
| - | Il n'existe pas de sécurité parfaite, mais une chose est sûre, c'est que plus on veut s'en rapprocher, et plus il faut y consacrer de temps, d'efforts et de litres de sueur. Si vous êtes responsable de la sécurisation d'une machine dans un cadre professionnel, il vous faut bien jauger le rapport temps à allouer / sécurité requise avant de vous lancer dans des opérations chronophages. Si vous faites cela à titre personnel, qu'est-ce qui relève de la paranoïa et qu'est-ce qui constitue le strict minimum ? | + | Il n'existe pas de sécurité parfaite, mais une chose est sûre, c'est que plus on veut s'en rapprocher, et plus il faut y consacrer de temps, d'argent, d'efforts et de litres de sueur. Si vous êtes responsable de la sécurisation d'une machine dans un cadre professionnel, il vous faut bien jauger le rapport temps à allouer / sécurité requise avant de vous lancer dans des opérations chronophages. Si vous faites cela à titre personnel, qu'est-ce qui relève de la paranoïa et qu'est-ce qui constitue le strict minimum ? |
| ===== Intégrité des données ===== | ===== Intégrité des données ===== | ||
| Ligne 40: | Ligne 41: | ||
| * Oui, moi aussi. | * Oui, moi aussi. | ||
| + | **Liens** : | ||
| + | * [[manuel:sauvegarde| Sauvegarder, Restaurer, Archiver]] Vos données et votre système seront vite récupérés. | ||
| ===== Confidentialité des données ===== | ===== Confidentialité des données ===== | ||
| + | |||
| + | ==== Données présentes sur votre ordinateur ==== | ||
| * Est-ce grave si quelqu'un d'autre arrive à accéder à vos données ? | * Est-ce grave si quelqu'un d'autre arrive à accéder à vos données ? | ||
| Ligne 53: | Ligne 58: | ||
| * J'ai peur que quelqu'un pirate mon ordinateur | * J'ai peur que quelqu'un pirate mon ordinateur | ||
| - | * Limitez le nombre de services accessibles depuis l'extérieur, en coupant les serveurs et en mettant en place un [[:manual:iptables|firewall]]. | + | * Limitez le nombre de services accessibles depuis l'extérieur, en coupant les serveurs et en mettant en place un pare-feu (voir [[:manuel:iptables]] ou une autre de ses interfaces [[:manuel:ufw]]). |
| * Éliminez tout service avec authentification en clair (FTP, POP3, IMAP, webmail HTTP, login HTTP) | * Éliminez tout service avec authentification en clair (FTP, POP3, IMAP, webmail HTTP, login HTTP) | ||
| * Tenez-vous à jour des mises à jour de sécurité, voir le [[:manuel:apt|manuel apt]] | * Tenez-vous à jour des mises à jour de sécurité, voir le [[:manuel:apt|manuel apt]] | ||
| Ligne 75: | Ligne 80: | ||
| **Attention, chiffrer votre disque dur et faire des sauvegardes en clair, c'est un peu idiot.** | **Attention, chiffrer votre disque dur et faire des sauvegardes en clair, c'est un peu idiot.** | ||
| - | ===== Chiffrer et signer son courriel ===== | + | ==== Données échangées ==== |
| + | Le protocole SMTP et tel que les données sont en général envoyées en clair entre les différents serveurs. Cela fait d'ailleurs le bonheur de Google et des FAI et autres personnes mal intentionnées qui prennent beaucoup de soin à lire attentivement chacun de vos emails (via des scripts, pas avec des petits lutins sans papier exploités dans la cave) afin de faire des études statistiques anonymes sur vous, vos habitudes, vos produits achetés, la difficulté de vos mots de passe, etc. | ||
| - | Il faut savoir que très souvent, les courriels circulent en clair d'un serveur SMTP à l'autre, voire entre votre client de messagerie et votre SMTP. | + | Vous en aurez déduit que quand un site vous envoi votre mot de passe par mail, vous êtes bon pour le changé, un ou deux robots l'ont déjà lu. |
| - | Il est alors possible pour certains individus mal intentionnés (comme votre fournisseur d'accès par exemple) de les intercepter et de les lire (ce que fait GMail par exemple). | + | |
| - | Les messages sont ensuite stockés sur le serveur mail hébergeant la boîte mail du destinataire. Serveur qui peut être piraté, ou être administré par une personne mal intentionnée (Google, etc.) | + | Une autre des faiblesses de SMTP fait qu'il n'y a pas d'authentification (ou plutôt, peu, et pas toujours utilisée). Une des solutions pour palier à ces deux défauts est le chiffrement et la signature de son courrier via un outil tel GPG. |
| - | Pour vous protéger de tout cela, vous pouvez envoyer des messages chiffrés (personne à part votre destinataire ne peut les déchiffrer) ou/et signés (votre destinataire peut vérifier que vous seul avez pu l'envoyer). | + | <note info>**Authenticité, identité et confidentialité** |
| + | Pour vous protéger de tout cela, vous pouvez envoyer des messages chiffrés (personne à part votre destinataire ne peut les déchiffrer) ou/et signés (votre destinataire peut vérifier que vous seul avez pu l'envoyer et l'avez envoyé tel quel). | ||
| Un des systèmes permettant de réaliser ce chiffrement est GPG. | Un des systèmes permettant de réaliser ce chiffrement est GPG. | ||
| Ligne 90: | Ligne 96: | ||
| * [[manuel:enigmail | Enigmail]] est une extension pour [[manuel:icedove]] / Thunderbird (existe aussi pour Windows) | * [[manuel:enigmail | Enigmail]] est une extension pour [[manuel:icedove]] / Thunderbird (existe aussi pour Windows) | ||
| * [[manuel:mutt | mutt]] est configurable pour utiliser directement GPG | * [[manuel:mutt | mutt]] est configurable pour utiliser directement GPG | ||
| - | ===== Mettre en place son pare-feu ===== | + | </note> |
| - | ==== Avec iptables ==== | + | **Attention,** |
| + | * **si vous chiffrez vos mails mais donnez la clé de chiffrement à votre hébergeur (et que vous n'êtes pas votre propre hébergeur)** | ||
| + | * **si vous chiffrez vos mails mais ne protégez pas votre boîte mail par un mot de passe fort et unique** | ||
| + | * **si vous envoyez par un biais non chiffré le mot de passe de votre boîte mail** | ||
| + | **dans ce cas vous faites les choses de travers et votre chiffrement était un peu inutile.** | ||
| - | * [[ manuel:iptables | Configurer son pare-feu iptables ]] | + | ==== Communications entre différents ordinateurs reliés par internet ==== |
| + | Lorsque plusieurs ordinateurs sont en réseau à l'intérieur d'une infrastructure, vous pouvez supposer que personne de l'extérieur ne pourra venir écouter ce qui se passe sur le réseau depuis l'intérieur, à moins qu'il trouve une brèche dans une des passerelles de ce réseau vers internet. | ||
| - | ==== Avec ufw ==== | + | Si les ordinateurs en réseau ne sont pas tous dans un même local mais sont reliés uniquement via Internet, il est alors intéressant de créer des canaux de communication sécurisés que l'on appelle des réseaux privés virtuels. |
| - | + | ||
| - | * [[manuel:ufw | Ufw]] Configurer votre pare-feu simplement | + | |
| - | + | ||
| - | ===== vpn ===== | + | |
| * [[manuel:vpn]] | * [[manuel:vpn]] | ||
| - | ===== Chkrootkit ===== | + | **Attention, plus un réseau à de points d'entrée et plus il est exposé à un attaquant.** |
| + | ===== Détection d'intrusion ===== | ||
| - | * [[manuel:chkrootkit|Chkrootkit,détecter les traces d'une attaque et de rechercher la présence d'un rootkit ]] | + | Comment savoir si votre machine subit des attaques, a été piraté ou même s'il y a encore une backdoor dessus ? |
| + | ==== IDS : Systèmes de détection d'intrusion ==== | ||
| - | ===== RkHunter ===== | + | Pour surveiller les attaques. |
| - | * [[manuel:rkhunter|Rkhunter]] Programme Unix qui permet de détecter les rootkits | + | * [[manuel:snort | Snort ]] Le programme snort est considéré comme sniffers, mais il a aussi la fonction de IDS ( Intrusion Detection System = détecteur d'intrusion ). |
| + | * logcheck | ||
| + | ==== Recherche heuristique de rootkits ==== | ||
| - | ===== Les liens ===== | + | Détecter une intrusion après coup par les traces qu'elle laisse. |
| - | + | * [[manuel:chkrootkit|Chkrootkit,détecter les traces d'une attaque et de rechercher la présence d'un rootkit ]] | |
| - | * [[logiciel:clamav|Clamav]]. Clamav - Un antivirus pour protéger les copains qui sont pas sous linux. Les pôv... | + | * [[manuel:rkhunter|Rkhunter]] Programme Unix qui permet de détecter les rootkits |
| - | * [[manuel:gnupg|Devenez parano et chiffrer tout avec GnuPG]] | + | |
| - | * [[manuel:sauvegarde| Sauvegarder, Restaurer, Archiver]] Vos données et votre système seront vite récupérés. | + | |
| - | * [[manuel:KeepassX]] Un petit programme libre qui retient tous vos mots de passes pour vous. //En cours de création..// | + | |
| - | * [[manuel:snort | Snort ]] Le programme snort est considéré comme sniffers, mais il a aussi la fonction de IDS ( Intrusion Detection System = détecteur d'intrusion ). | + | |
| - | * [[manuel:serveur | Les serveurs - Installation et configuration]]. | + | |
| - | * [[manuel:apg]] Un générateur de mot de passe en ligne de commande, simple et efficace. | + | |
| + | ===== Se protéger contre les attaques ===== | ||
| + | * Configurer son firewall pour se protéger des attaques (D)DoS | ||
| + | * Configurer son firewall pour bannir automatiquement les machines tentant une attaque par bruteforce | ||
| + | * Configurer son firewall pour bannir automatiquement les machines tentant une scan des ports | ||
| + | * Configurer son firewall pour cacher les ports ouverts par port-knocking | ||
| - | ===== Internet ===== | + | * Filtrer les mails reçus avant de les distribuer à vos utilisateurs windows avec un anti-virus |
| + | * [[logiciel:clamav|Clamav]]. Clamav - Un antivirus pour protéger les copains qui sont pas sous linux. Les pôv... | ||
| - | Compléments indispensables: | + | ===== Liens divers ===== |
| + | * [[manuel:gnupg|Devenez parano et chiffrer tout avec GnuPG]] | ||
| + | * [[manuel:serveur | Les serveurs - Installation et configuration]]. | ||
| + | * [[manuel:apg]] Un générateur de mot de passe en ligne de commande, simple et efficace. | ||
| * [[manuel:internet | Sécurité et Internet - le détail]] Préambule - Internet, les réseaux et la sécurisation. | * [[manuel:internet | Sécurité et Internet - le détail]] Préambule - Internet, les réseaux et la sécurisation. | ||
| * [[manuel:virus | Virus - BOUH !]] | * [[manuel:virus | Virus - BOUH !]] | ||
