Debian
Debian-France
Debian-Facile
Debian-fr.org
Forum-Debian.fr
Debian ?
Communautés
Vous n'êtes pas identifié(e).
Extrait du manuel ssh-OpenSSH SSH client (remote login program).
-q Quiet mode. Causes most warning and diagnostic messages to be suppressed.
Le programme SSH-serveur fonctionne comme un démon, il est décrit par par le manuel sshd.
Concernant l’option quiet, la page man de sshd est plus explicite :
Extrait du manuel sshd - OpenSSH SSH daemon.
-q' Quiet mode. Nothing is sent to the system log. Normally the beginning, authentication, and termination of each connection is logged.
Pourquoi un utilisateur légitime aurait-il besoin de se connecter à sa machine distante en utilisant une porte dérobée (l’un des comptes système) et en désactivant l’enregistrement des journaux ?
Un utilisateur système sans mot de passe (au sens « pas de mot de passe valide », pas au sens « avec un mot de passe vide »), n'est pas une surface d'attaque.
C’est faux ! Dans le cas des comptes système, le verrouillage du mdp implique nécessairement une autre méthode d’identification (par exemple, une clé SSH), comme cela est clairement expliqué par le manuel de passwd (option lock). Il y a donc transfert de la surface d’attaque, du mdp vers la clé SSH.
Extrait du manuel passwd
-l, --lock
Verrouiller le mot de passe du compte indiqué. Cette option
désactive un mot de passe en le modifiant par une valeur qui ne
correspond pas à un mot de passe chiffré possible (cela ajoute un
« ! » au début du mot de passe).
Veuillez noter que cela ne désactive pas le compte. L'utilisateur
peut toujours se connecter en utilisant une autre méthode
d'authentification (par exemple une clé SSH). Pour désactiver un
compte, les administrateurs devraient utiliser usermod --expiredate
1 (cela définit la date d'expiration du compte au 2 janvier 1970).
Les utilisateurs avec un mot de passe verrouillé ne sont pas
autorisés à le changer.
Il s’agit donc de comprendre si la surface d’attaque de cette configuration par défaut ‘’identification par clé SSH’’ est plus grande ou non par rapport à la configuration ‘’identification par mdp’’.
SSH est un protocole de contrôle à distance qui permet d’administrer ou d’utiliser une machine via un réseau (locale ou Internet).
Si un utilisateur légitime à besoin de se connecter à une machine distante, il va logiquement se connecter à un compte utilisateur ou bien au compte root.
Pourquoi aurait-il besoin de se connecter à un compte système ?
Pourquoi ces comptes systèmes sont-ils configurés par défaut pour un accès distant par authentification avec une clé SSH ?
…….pas de mot de passe c'est retirer une surface d'attaque…….
Tu confonds ‘’pas de mdp’’ et ‘’mdp verrouillé=authentification par une autre méthode’’ !?
Un mdp faible ou pire, pas de mdp, est une surface d’attaque. Tandis qu’un mdp fort ne constitue pas une surface d’attaque car il est inattaquable, dans le sens où il faudrait trop de moyens et de temps pour le casser.
Quand je tente de me connecter à un compte système (lp ou un autre), le système me réclame un mdp !? Ce retour est une anomalie puisque les mdp des comptes système sont verrouilés, c’est à dire, d’après le manuel de passwd, qu’il n’est pas possible de s’y connecter via le mdp. Mais le manuel précise qu’il est possible de le faire avec une autre méthode d’authentification (par exemple une clé SSH). J’en déduit donc qu’il existe plusieurs méthodes (autre que le mdp) pour se connecter à un compte système (autre que le compte root).
……...L'authentification par mot de passe est désactivée quoi…….
Oui, effectivement, merci. Mais alors, quels sont les autres moyens, pour moi ou un pirate, de se connecter à l’un de ces comptes systèmes ?
Concernant une introduction à l’informatique, j’ai justement quelques questions à poser. Si je ne comprend pas, je ne suis pas en sécurité.
Comment fonctionnent ces comptes systèmes ? A quels services sont-ils associés ? Sont-ils tous utiles ? J’ai lu, ici et là sur le web, qu’il faudrait faire le tri et supprimer les services inutiles.
Quels sont les services utiles pour une utilisation de type bureautique et multimédia ? Quels sont les services spécifiques à un serveur ?
Y-aurait-il un manuel ou un site web qui détaillerait le fonctionnement de tous ces comptes systèmes ?
saitama-san a écrit :je ne vois pas pourquoi les "utilisateurs système" n'aurait pas de shell ou de répertoire personnel ?
Parce qu'ils n'en ont pas besoin.
saitama-san a écrit :pour le mot de passe, rien n’empercherai d'en mettre un.
Et si ma tante en avait, on l'appellerait mon oncle. Désolé pour cet accès de trivialité, mais évidemment si on donne a un utilisateur système toutes les caractéristiques d'un utilisateur normal, alors plus rien ne l'en distingue.
Tout cela est inquiètant. Cela signifie qu’un attaquant, une fois passé facilement le pare-feu non-configuré du débutant, peut aussi facilement (pas de mdp !) utiliser l’un des 35 comptes système pour attaquer les autres comptes utilisateurs et ensuite dissimuler ses activités, sous l’apparence d’un processus service.
Il est difficile de trouver sur le web des informations sur ces comptes système.
N’est-il pas indispensable de définir un mdp pour chacun de ces comptes système ?
Pas envie d'ergoter sans fin sur des futilités, je vais faire court : "accéder au réseau", ça n'existe pas. C'est un raccourci.
Du point de vue de la langue française, ‘’accéder au réseau’’ ça existe et c’est synonyme de ‘’établir une liaison’’. Peu importe que le système utilise le terme ‘’established’’ pour une connexion établie. La confusion entre les deux expressions n’a pas de conséquences sur la sécurité.
raleur#47 a écrit :
Etablir une connexion réseau c'est activer et configure l'interface, ce qui nécessite des privilèges.
D’après Debian, c’est faux. A chaque fois que je branche mon modem ethernet-usb ou que j’active ma carte wifi, une infobulle système m’annonce que ‘’la connexion est établie’’, et pourtant je n’ai rien configuré !
Il ne faut pas confondre :
1/la configuration de l’interface réseau (ethernet ou wifi) : nom périphérique, MTU, LAN, usurpation adresse MAC, sécurité, DCB, proxy, paramètres Ipv4 et Ipv6,…;
Et
3/l’établissement de la connexion au réseau Internet : c’est une fois que l’on a accéder au réseau que l’on peut 4/ se connecter au site web choisit :
et surtout ne pas oublier
2/la configuration de la connexion réseau (pare-feu) : choix des protocoles de communication (TCP/UDP) et filtration des ports et des adresses Ip.
1/ et 2/ se font en amont, hors ligne, et nécessitent, effectivement les privilèges root. Ces deux types de configuration sont primordiales pour la sécurité de la connexion réseau et donc la sécurité du système.
Il est grave, en termes de sécurité, de confondre la configuration de l’interface réseau (1/ ) avec l’établissement d’une connexion réseau (3/), surtout quand ça résulte en l’occultation de 2/la configuration de la connexion réseau (pare-feu).
Quand on installe un système, il faut d’abord configurer les interfaces réseaux et le pare-feu, pour pouvoir ensuite établir une connexion réseau (=accéder au réseau) en toute sécurité.
Souvent, le débutant se connecte à Internet et au web sans configurer les interfaces réseaux et le pare-feu. La porte est alors grande ouverte pour les pirates.
Rappelons ici, que par défaut, Debian n’est pas sécurisé, c’est une véritable passoire ! Qu’importe, c’est l’occasion d’étudier le mode opératoire des pirates.
Si j’ai dit des bêtises, je serais heureux de l’apprendre. Merçi d’avance.
Les citations ci-dessous proviennent de cette discussion :
captnfab#34 a écrit :Tous les utilisateurs ont le droit d'accéder au réseau s'il est en place. Mais pas tous ont le droit d'établir une connexion et de configurer le réseau.
merlin #46 a écrit :Il me semble que tu te contredis. Tu oppose ‘’accéder au réseau ‘’ et ‘’établir une connexion’’ !? Pour moi, ces deux expressions sont synonymes. Non ?
raleur#47 a écrit :Non : accéder au réseau, c'est communiquer en utilisant une connexion réseau établie (au sens de liaison, pas au sens de connexion TCP qui n'est qu'une communication). Etablir une connexion réseau c'est activer et configure l'interface, ce qui nécessite des privilèges. C'est la même distinction qu'entre "accéder au contenu d'un système de fichiers monté" (modulo les permissions) et "monter un système de fichiers" (qui nécessite des privilèges).
Merlin#55 a écrit :J’ai un doute, le système Debian lui-même utilise « établir une connection » dans le sens de « accéder au réseau ». En effet, quand je branche ma clef usb ethernet ou quand j’active la connexion wifi, le système me signale par une infobulle que ‘’la connexion est établie’’ !:
92.184.108.15-5d8ce9210d728.png
Je pense qu’il s’agit d’un problème de linguistique, mauvaise traduction ou raccourcis facile (entre spécialistes). Non ?
raleur#56 a écrit :Où vois-tu que "établir une connexion" est pris dans le sens de "accéder au réseau" ?
Pour moi "établir une connexion" a exactement le sens que je lui ai donné, et "accéder au réseau" c'est utiliser le réseau, par exemple naviguer sur un site web.
Vous affirmez que la connexion au réseau Internet se fait en deux étapes :
1/Etablir une connexion : configuration avec authentification (vérification privilèges) ;
2/Accéder au réseau =navigation web.
Visiblement, vous faîtes la confusion entre le réseau Internet et le web. Le web est une base de donnée distribuée accessible via le réseau internet. Le web (constitué de tous les serveurs web) ce n’est donc pas le réseau Internet !
Là ou vous voyez un type de connexion avec deux étapes, je vois plutôt deux types de connexion :
1/connexion au réseau Internet
établissement d’une connexion Internet=accession au réseau Internet
avec configuration (quels paramètres?) + authentification ?
2/connexion au serveur web (DNS, moteur de recherche,…...)
établissement d’une connexion au serveur web=accession au serveur web
y-a-t-il une configuration + authentification entre le serveur et le client?
Concernant cette configuration réseau, j’imagine qu’il s’agit d’une configuration automatique (DHCP?), car le système ne m’a jamais demandé un mdp. Et même lors de la première connexion, le système ne m’a pas demandé de paramétrer l’interface réseau.
Est-ce que la configuration de l’interface réseau dont vous parlez à lieu une seule fois ou bien à chaque connexion ?
Pour compléter le tableau, il ne faut pas oublier le modem (ou la box) et le FAI. Quand je branche mon modem ethernet-USB, il me semble que trois types de connexion se succèdent pour que je puisse accéder au web :
1/mon modem : Connexion au réseau GSM de mon opérateur-FAI.
Etablir une connexion au réseau GSM = accéder au réseau GSM.
2/mon FAI :Connexion au réseau Internet.
Etablir une connexion au réseau Internet = accéder au réseau Internet.
3/mon système Debian : Connexion à un serveur web, d’abord celui du moteur de recherche ou DNS, puis sélection des résultats.
Etablir une connexion au serveur web = accéder au serveur web.
Quand l’infobulle du système m’annonce que la connexion est établie, la diode du modem cesse de clignoter (couleur violette permanente pour le 4G), je pense que cela correspond à la seconde connexion ?
merlin a écrit :
Il me semble que tu te contredis. Tu oppose ‘’accéder au réseau ‘’ et ‘’établir une connexion’’ !? Pour moi, ces deux expressions sont synonymes. Non ?
Non : accéder au réseau, c'est communiquer en utilisant une connexion réseau établie (au sens de liaison, pas au sens de connexion TCP qui n'est qu'une communication). Etablir une connexion réseau c'est activer et configure l'interface, ce qui nécessite des privilèges. C'est la même distinction qu'entre "accéder au contenu d'un système de fichiers monté" (modulo les permissions) et "monter un système de fichiers" (qui nécessite des privilèges).
J’ai un doute, le système Debian lui-même utilise « établir une connection » dans le sens de « accéder au réseau ». En effet, quand je branche ma clef usb ethernet ou quand j’active la connexion wifi, le système me signale par une infobulle que ‘’la connexion est établie’’ !:
Je pense qu’il s’agit d’un problème de linguistique, mauvaise traduction ou raccourcis facile (entre spécialistes). Non ?
De mon point de vue, créer deux logins avec même UID, ça reste créer un seul utilisateur avec deux moyens de se connecter, deux HOME, deux SHELL… Mais un seul compte derrière.
Ça reste « confidentiel » parce que c'est bien souvent inutile.
N’est-ce pas proche du concept de « compte partagé » ? Souvent inutile, ça veut dire parfois utile, donc à garder sous le coude.
La distinction utilisateur humains/utilisateurs systèmes ne fait pas de sens pour le système.,
Le système est borné, il n’a qu’un seul point de vue, tandis que pour l’utilisateur humain qui doit contrôler sa machine, ou bien pirater celle d’un autre, la distinction est importante. Je rappelle que cette discussion s’adresse à des utilisateurs humains (et notamment des débutants). Cependant, je remerçie captnfab de m’informer du point de vue du système car ça m’aide à mieux distinguer.
Les comptes utilisateurs: types, configurations et usages (version 5)
Les termes utilisés pour définir les comptes utilisateur humains sous Lignux sont très divers et appoximatifs. C’est la confusion générale (pour les débutants) : superutilisateur, root, administrateur, administrateur système, user , utilisateur, utilisateur classique, utilisateur simple et utilisateur standard.
En essayant de décrire les différents types de compte, j’ai essayé, autant que faire se peut, de tenir compte du point de vue du système (les fichiers de configurations) et de celui de l’utilisateur humain.
A/Trois types de compte sont distinguables dans le système Debian
Ces comptes sont enregistrés dans le fichier /etc/passwd : $ cat -n /etc/passwd
le compte root (root): UID=0 ;
les comptes systèmes: 1 ≤ UID ≤ 999, programmes (démons ?) qui travaillent en arrière-plan pour le système. Par défaut (sur mon système), il y en a 35.
Liste officielle :...........……………. (histoire de repérer d’éventuels intrus) ?;le compte utilisateur (user): 1000 ≤ UID.
B/Les deux types de compte humains
Le compte root: c’est le super-utilisateur ou administrateur système, il possède tous les privilèges. Il est donc non-configurable. Il est essentiellement destiné à l’administration du système (débutants), même si il est possible d’utiliser diverses applications graphiques ou non (spécialistes) ;
Le compte utilisateur: utilisateur non-root. Par défaut, il ne possède aucun privilège ni permission. Ce compte est personnalisable (configurable) par rattachement ou non aux groupes secondaires (obtention de permissions) ou à certains programmes (élévation de privilèges).
C/Les configurations par défaut du compte utilisateur
Par défaut, lors de l’installation, le système nous propose deux configurations de base que l’on peut ensuite personnalisées comme indiqué ci-dessus :
la configuration ‘’utilisateur standard’’: ce compte est créé par défaut par l'installateur Debian si le mdp root est définit. Par défaut, il ne possède aucun privilège ni permission . Il ne peut donc pas administrer le système. Sauf si l’utilisateur détient le mdp root (accès root via su -);
la configuration ‘’administrateur’’: ce compte est créé par défaut par l'installateur Debian si le mdp root n'est pas définit. Cet utilisateur inscrit au groupe sudo peut administrer le système via sudo.
Ces deux configurations sont visibles dans l’application ‘’Utilisateurs et Groupes’’ (Menu/Administration/). Il faut bien noter que ces deux configurations du compte de type ‘’utilisateur’’, sont présentées, à tort, comme des types de compte, ce qui induit en erreur le débutant sur la réalité sous-jacente (le point de vue du système) :
Même si le système ne distingue pas de catégories pour les types de compte et les types de configuration, ce qui ne l’empêche pas de reconnaître chaque compte ou chaque configuration, cette distinction permet à l’utilisateur humain (notamment débutant) de mieux comprendre les différentes possibilités.
Qu’en pensez-vous ?
su
ça n'existe plus depuis Buster.....
c'est
su -
ça serait bien de pas donner de fausses infos...
Sous Buster la page man de su est datée de Juillet 2014 !
Quand on critique, on est supposé 1) apporter la preuve de l'erreur et 2) donner des arguments compréhensibles et sérieux.
1/Ce serait bien que tu indiques le numéro (#) du message qui serait concerné par cette fausse infos.
2/En général, et ça ne date pas d’hier, le tiret sert à introduire une option. Cependant, tu peux utiliser su sans option. Par exemple, sous Buster:
merlin@debian:~$ su
Mot de passe :
root@debian:/home/merlin#
merlin a écrit :
Il semble risqué de laisser le contrôle d’un système à un seul super-utilisateur, car un administrateur sudo n’est qu’un délégataire du super-utilisateur, il ne dispose pas de l’environnement root complet.
Je ne vois pas le rapport. En quoi est-ce risqué ?
Je ne suis pas sûr de comprendre pour le rapport, mais je voulais dire que si l’unique administrateur root est compromis, par exemple parce que son mdp root lui a été extorqué, aolrs le système (et ses données) est condamné. Tandis que si il y a plusieurs super-utilisateurs, alors ceux qui ne sont pas compromis peuvent avoir une chance de réagir avant ou pendant l’attaque (intrusion). C’est pendant l’attaque, je pense, que la différence de privilèges entre un admi sudo et un super-utilisateur se fera sentir.
merlin a écrit :
Pourquoi le nom de l'utilisateur n’est pas enregistré conjointement avec l'UID dans les journaux et le registre de propriété ?
Quels journaux ?
J'ignore ce qu'est le "registre de propriété".
Je m’intéresse à tous les journaux (système, utilisateurs,…..) qui permettent de vérifier ‘’qui fait quoi’’ avec le système, que ce soit via les privilèges ou les permissions. Par registre de propriété, je voulais dire ‘’le journal qui consigne les accès aux fichiers’’.
Linux étant hautement configurable, il doit bien y avoir moyen de configurer les programmes dédiés pour qu’ils enregistrent, dans les journaux, l’identification complète (UID + nom d’utilisateur) des utilisateurs.
Définitions des comptes utilisateurs humains (version 4)
Ce tuto destiné aux débutants (y compris moi-même) est en cours d’élaboration, les critiques argumentées et compréhensibles sont les bienvenues
A/Introduction
La classification que je propose est basée sur la configuration par défaut du système Debian, c’est à dire sur les types de compte proposés lors de l’installation.
Le système Debian propose, par défaut , trois type de compte , qui sont caractérisés chacun par leur capacité à accéder ou non, aux privilèges-root et à certains privilèges-utilisateur. Les privilèges de chaque compte sont déterminés par la valeur de leur UID (User IDentifier) et les groupes auquels le compte est rattaché. Chaque groupe est identifié par une valeur intitulée GID ( Group IDentifier). On obtient les identifiants (UID et GID) d'un compte avec la commande ‘’id’’ suivie du nom d'utilisateur. Le retour type du terminal est le suivant: UID, GID (groupe primaire) et groupes (GID des groupes secondaires).
Il y a d’autres manières pour un utilisateur d’obtenir une élévation de privilèges , mais ces configurations sont plutôt réservées aux spécialistes et ne concernent donc pas le débutant.
Pour comprendre l’intérêt de chaque type de compte, il ne pas oublier que Debian est un système multi-utilisateurs conçu pour l’entreprise.
Dans ce cas de figure, l’ utilisateur NP et l’ admi sudo ne sont pas supposé connaître le mdp root. Cette configuration d’entreprise peut également s’appliquer à un ordinateur familial, pour lequel on peut compartimenter via les différents comptes, les privilèges et les permissions. Par contre, le contexte est différent concernant un ordinateur individuel, le propriétaire étant à la fois utilisateur et administrateur.
B/La configuration par défaut : trois types de compte
Le compte root (appelation GUI et CLI)=administrateur root=super-utilisateur : uid=0(root) gid=0(root) groupes=0(root)
C'est le premier compte créé lors de l'installation, il est demandé de choisir un mdp.Il possède tous les privilèges grâce à son UID=0, c’est à dire que les permissions ne s’appliquent pas. Root est le nom du super-utilisateur par défaut, il est possible de créér d'autres super-utilisateurs, ayant le même UID et GID, mais avec un nom et un mdp différents. C’est-à-dire que plusieurs super-utilisateurs utilisent le même compte.Le compte administrateur sudo=administrateur (appelation GUI) :
uid=1000(merlin-sudo) gid=1000(merlin-sudo) groupes=1000(merlin-sudo), 24(cdrom), 25(floppy), 27(sudo), 29(audio), 30(dip), 44(video), 46(plugdev), 109(netdev), 111(bluetooth), 116(lpadmin), 117(scanner).
Ce compte est créé par défaut lors de l'installation si le mdp root est désactivé, c'est à dire non-définit. Il s’agit d’un compte administrateur non-root.
Cet utilisateur est inscrit au groupe sudo, ce qui lui permet d’accéder au compte root via son mdp personnel. Par défaut, il est également rattaché aux groupes secondaires sus-cités, ce qui lui donne les privilèges correspondants;Le compte utilisateur NP (Non Privilégié)=Utilisateur standard (appelation GUI) : uid=1001(merlin-np) gid=1001(merlin-np) groupes=1001(merlin-np).
Ce compte est crée par défaut lors de l'installation si le mdp root est activé c'est à dire définit. Ne peut pas administrer le système, car il ne connaît pas le mdp root et n’est pas inscrit au groupe sudo. Par défaut, ce compte n'est inscrit à aucun groupe secondaire, il ne pourra donc pas utiliser certains programmes (audio, vidéo,....).
L’uilisateur principal : Ce n’est pas un compte particulier. Parfois, le système réclame le mdp de l’utilisateur principal, c'est à dire de l’utilisateur qui peut administrer. Selon les cas, ce dernier peut être soit l’administrateur sudo soit l’administrateur root si il n’y a pas d’administrateur sudo.
C/Les groupes notables : sudo et root
Le groupe sudo est le seul groupe dont le rattachement à un compte permet l’acquisition des privilèges root pour ce compte.
L’inscription au groupe root permet d’obtenir toutes les permissions d’accès aux fichiers, puisque qu’on peut lire, écrire ou exécuter sur l’ensemble des fichiers utilisateurs
Les deux comptes non-root (admi sudo et utilisateur NP) peuvent être personnalisés, l'inscription à un nouveau groupe permet d'obtenir un nouveau privilège. Par exemple, si l'admi sudo s'inscrit au groupe adm, il pourra consulter les journaux systèmes et les journaux utilisateurs. Egalement, si l'utilisateur NP est inscrit au groupe vidéo, par un administrateur (sudo ou root), il pourra regarder des vidéos.
D/Les programmes su et sudo
Pour comprendre l’intérêt de chaque type de compte utilisateur, notamment en matère de sécurité, il est indispensable de comprendre la signification et le fonctionnement de su et sudo, puisque ces deux programmes, toujours dans le cadre de la configuration par défaut, contrôlent l’accès aux privilèges root.
su = substitute user = switch user to = fermer le compte actif et basculer sur le compte de l’utilisateur xxxx.
Si aucun argument n'est indiqué, alors la commande s'exécute pour l'utilisateur par défaut qui est root et réclame donc le mdp root. On obtient donc le terminal root, c'est à dire une ouverture permanente des privilèges root. Il est donc fortement déconseillé de se connecter à internet ou de laisser son ordinateur sans surveillance.
A la différence de sudo, su ne constitue pas un groupe. Ainsi, seul l’admi root, celui qui connaît le mdp root, peut utiliser su pour admininistrer le sytème sous un compte utilisateur NP ou un compte admi sudo.
sudo = su + do = swith user to root and do
Ici encore, l'utilisateur par défaut est root. Sudo est un utilitaire qui permet de sécuriser l'accès à root en paramétrant la durée d'ouverture des privilèges root, et ceci sans basculer dans le terminal root. Par exemple, avec timeout=0, l'ouverture des privilèges est valable uniquement pour une commande. Il faudra donc saisir son mdp à chaque commande (idéal pour administrer connecté à Internet). On peut aussi régler timeout pour une durée déterminée (10 minutes par exemple) ou pour une durée infini (pour administrer hors-réseau bien sûr). Par défaut, timeout est réglé à xx minutes ?
………………………….Questions à résoudre………………..
Il est posible de configurer sudo pour fonctionner comme su (sudo -i) et vice-versa (su -c), mais alors, pourquoi dit-on que sudo est plus sécurisé que su?
Est-ce que su -c est moins sécurisé que sudo avec timeout=0 ?
Je pense qu’il peut être intéressant en matière de sécurité qu’il y ait plusieurs super-utilisateurs sur un système. Mais comment fait-on pour créer ‘’proprement’’ un nouveau super-utilisateur, c’est à dire avec un environement complet (similaire à celui de root) et donc avec tous les liens que cela implique ?
Quelle est la syntaxe de la commande adduser pour la création de chaque type de compte ?
…………...Pourquoi le référencement-Google de cette discussion est il si mauvais ?………...
Avec Qwant et Duckduckgo il suffit de saisir trois mots-clès (comptes-utilisateurs-définitions) pour obtenir l’affichage du lien vers cette discussion en début de première page.
Avec Google , il faut saisir quatres mots (comptes-utilisateurs-définitions-confusions) pour obtenir l’affichage du lien vers cette discussion en fin de première page. Sachant que le mot ‘’confusions’’ n’a aucune valeur de mot-clè, puisque personne ne l’utilisera dans une recherche concernant les comptes utilisateurs, cela signifie que sur Google cette discussion est invisible.
Concernant une autre discussion, également relative aux comptes utilisateurs, intitulée '’Faut-il créer un compte administrateur et définir un mdp root ?’’, il faut saisir 7 mots (compte-administrateur-mot-passe-root-créer-définire) pour obtenir un lien avec Google. Si on oubli, le ‘’e’’ à la fin de ‘’définir’’, faute qui n’existe pas dans le titre, alors l’expression ‘compte administrateur mot passe root créer définir’ ne donne aucun résultat.
Par contre, toujours avec Google, ma discussion intitulée '’[Résolu]zuluCrypt : Comment monter un volume veracrypt ?’’ est parfaitement référencée et donc visible.
Est-ce un problème du côté de Debian-Facile ou de Google ?
On peut donc distinguer les utilisateurs humains et les utilisateurs de type programme. Ces derniers peuvent être classés en deux catégories, les utilisateurs de type système qui travaillent pour le système et les utilisateurs de type application qui sont des programmes travaillant pour les applications personnelles que l’on a introduit après l’installation du système.
Je me suis mal exprimé concernant les deux catégories d'utilisateurs de type "programme", je voulais distinguer les programmes de type "système" qui sont non interactifs et qui travaillent en arrière-plan des programmes de type "application" qui sont interactifs et sont activé par l'utilisateur humain.
Tous les utilisateurs ont le droit d'accéder au réseau s'il est en place. Mais pas tous ont le droit d'établir une connexion et de configurer le réseau.
Il me semble que tu te contredis. Tu oppose ‘’accéder au réseau ‘’ et ‘’établir une connexion’’ !? Pour moi, ces deux expressions sont synonymes. Non ?
En effet, il existe par exemple le groupe « adm » qui permet aux personnes « administrant la machine » de, sans être root, accéder aux logs système.
Le groupe adm ne donne aucun pouvoir de modifier (=administrer) le système, son importance est donc marginale par rapport au groupe sudo qui est le seul a donner un pouvoir d’administration.On ne va pas créer un type de compte pour chaque groupe (audio, vidéo, bluetooth,…..etc). Mon but est de décire et de comprendre les types de compte utilisateur proposés par le système Debian. Après, il est évident que les deux comptes non-root (administrateur sudo et utilisateur NP) peuvent être personnalisés en les rattachant ou non à d’autres groupes.
Donc, pour résumé, il y a deux types de comptes utilisateurs réellement distincts :
le compte utilisateur root
les comptes utilisateurs non-root
Cela revient à dire que le compte admi sudo n’est pas réel et à le mettre dans le même sac que le compte utilisateur NP !
Il est indéniable que le compte root se distingue des comptes non-root. Cependant, là où je ne suis pas daccord, c’est que tu ne veux pas qualifier d’administrateur le compte utilisateur qui est rattaché au groupe sudo, ce que fait pourtant l’interface graphique (Menu/administration/Utilisateurs et Groupes). Même si le compte utilisateur qui est rattaché au groupe sudo n’est qu’un délégataire de root, il a le pouvoir de modifier le système, ce qui fait de lui, sans aucun doute possible, un administrateur. Mais sachant que root est aussi un administrateur, il est logique de distinguer les deux en qualifiant d’administrateur sudo le compte utilisateur qui est rattaché au groupe sudo.
Peux-tu décrire ce que tu appelle les comptes utilisateurs non-root ?
merlin a écrit :su et sudo
A la différence de sudo, su ne constitue pas un groupe. Ainsi, seul l’admi root, celui qui connaît le mdp root, peut utiliser su pour admininistrer le sytème sous un compte utilisateur NP ou un compte admi sudo. L’utilisateur NP et l’admi sudo ne sont pas supposé connaître le mdp root (réseau entreprise), le contexte étant différent concernant un ordinateur individuel.
Il est posible de configurer sudo pour fonctionner comme su et vice-versa.
su permet de se logguer temporairement en tant qu'un utilisateur lambda, notamment root, et demande pour se faire le mot de passe de l'utilisateur, sauf si l'utilisateur lançant su est root. La seule « délégation » est de donner à la personne connaissant le nom d'utilisateur et le mot de passe d'un utilisateur, les droits de cet utilisateur. Par exemple, les droits root si l'utilisateur connaît le mdp root.
sudo est un mécanisme de délégation plus fin, comme indiqué plus haut. Il ne faut pas confondre l'application sudo et le groupe sudo. Le groupe sudo n'est créé par défaut avec la délégation associée que par convention, et ils peuvent être supprimés/renommés/etc.
Dans mon paragraphe ‘’su et sudo’’ je ne parle pas de délégation et je ne confond pas, concernant sudo, le programme et le groupe. Je constatais simplement que l’accès à root via su ne s’obtient pas par inscription à un groupe, comme pour sudo, et donc que seul le détenteur du mdp root peut utiliser su.
Si tu pense que ce paragraphe contient des erreurs, ce serait plus simple d’indiquer précisément quel est le mot, l’expression ou la phrase concernée.
captnfab a écrit :« root » est le nom d'utilisateur du super-utilisateur, c'est à dire de l'utilisateur d'ID 0.
Il n'y a qu'un seul super-utilisateur, c'est root.
En fait on peut créer d'autres utilisateurs avec l'UID 0, qui auront donc les mêmes privilèges que root.
J'ai bien failli croire que le site superuser.com, c'était de l'intox. Ceci dit, je n’ai pas trouvé d’autres sites concernant cette possibilité de créer d’autres super-utilisateurs. Pourquoi cette fonctionnalité est-elle si confidentielle ? Il semble risqué de laisser le contrôle d’un système à un seul super-utilisateur, car un administrateur sudo n’est qu’un délégataire du super-utilisateur, il ne dispose pas de l’environnement root complet.
Est-ce que tous les super-utilisateurs d'un système auront exactement le même pouvoir ou bien le super-utilisateur par défaut (root) garde-t-il un avantage? Autrement dit, est-ce que le nouveau super-utilisateur peut éliminer root?
Reste à décider si deux utilisateurs avec le même UID sont des utilisateurs différents ou non
Un UID ayant pour valeur 0 n’a peût-être pas la même signification qu’un UID ayant une valeur plus ‘’logique individuelle’’comme 1, 12 ou 1000.
Il est possible que cet identifiant UID=0 soit plutôt à considérer comme une catégorie ou même un groupe. UID=0=groupe des utilisateurs de type super. Ce serait donc un concept à géométrie variable.
Ça dépend comment on regarde. Chacun a son propre identifiant, mot de passe, répertoire personnel, interpréteur de commande... C'est pour cette raison qu'il m'est arrivé de créer un tel compte superutilisateur.
Par contre les processus lancés par l'un ou par l'autre ou le propriétaire des fichiers sont indiscernables puisqu'ils ont le même UID 0.
Pourquoi le nom de l'utilisateur n’est pas enregistré conjointement avec l'UID dans les journaux et le registre de propriété ? Y-aurait-il moyen de modifier cette configuration?
Ah, j'aimerais bien connaître la manip, je viens d'essayer avec un truc du genre adduser --uid 0 toto, et ça n'abouti pas parce-que l'UID 0 est déjà utilisé.
Il me semble que pour certaines commandes, un refus d’exécution constitue simlement un avertissement invitant l’utilisateur à réfléchir. N’y-a-t-il pas moyen de passer outre, de forcer l‘exécution ?
Un utilisateur n'est pas obligatoirement un être humain. La liste des utilisateurs de ta machine devrait t'en convaincre :
cat /etc/passwd
Merci à Philou92. J’ai l’impression que les comptes sont enregistrés dans ce fichier /etc/passwd dans l’ordre chronologique de leur création.
En effet, il est important de savoir qui utilise la machine. On peut donc distinguer les utilisateurs humains et les utilisateurs de type programme. Ces derniers peuvent être classés en deux catégories, les utilisateurs de type système qui travaillent pour le système et les utilisateurs de type application qui sont des programmes travaillant pour les applications personnelles que l’on a introduit après l’installation du système.
Je pense qu’une application qui utilise la connection réseau Internet, y compris une frauduleuse, doit obligatoirement avoir un compte (avec les privilèges nécessaires) dans ce registre /etc/passwd, afin de pouvoir passer le pare-feu. D’où l’importance de contrôler l’authenticité de chaque compte.
Dès qu’on auras définit clairement les comptes utilisateurs humains, alors on pourra s’intéresser aux utilisateurs de type programme.
On constate que pour smolski, super-utilisateur est différent de root!
Je faisais référence au wiki DF (intitulé ‘’sudo’’) indiqué par le lien fournis par bendia#28. Ce wiki crée par smolski date du 27/11/2012. Voici le paragraphe concerné :
Root est unanimement considéré comme le super-utilisateur. Pourtant smolski mentionne un superutilisateur qui n’est pas root !? En effet, il peut y avoir plusieurs super-utilisateurs. Root est le super-utilisateur par défaut, il fait partie du groupe des super-utilisateurs, dont le nom est root. Il est donc possible de créer d’autres comptes de type super-utilisateur, j’imagine, en rattachant un compte au groupe root ?
Cette page web relate une discussion détaillée sur le thème ‘’super-utilisateur vs root’’ et aussi sur la signification et le fonctionnement de su et sudo:
https://superuser.com/questions/1438817 … me-as-root
Bon superutilisateur a un tuto :
https://debian-facile.org/doc:systeme:superutilisateur
destiné aux débutants plus qu'aux plus avisés.
Si ce qu'il contient n'est pas assez clair, tous les membres df peuvent intervenir dan sle tuto pour l'améliorer et indiquer dans le lien vers le forum du tuto ce qu'ils ont fait, pour une meilleure gestion communautaire du wiki.
À vos plumes et suggestions ! big_smile
Ce tuto est parfaitement claire, trop claire pour être réaliste, surtout quand on vient de lire la discussion sus-citée publiée sur superuser.com.
Ce tuto intitulé ‘’Root’’ publié le 11/06/13 nous apprend que root=administrateur=super-utilisateur. Ce n’est plus la même version que dans celui intitulé ‘’sudo’’ où super-utilisateur est différent de root. Pourtant, les deux tuttos concernent un public débutant et avisé.
Définitions des comptes utilisateurs (version 3)
*compte administrateur root=compte système : possède tous les privilèges. Administrateur de type root. Super-utilisateur par défaut, appartient au groupe root.
*compte super-utilisateur non-root : utilisateur inscrit au groupe root ?
*compte administrateur sudo : utilisateur inscrit au groupe sudo, ce qui lui permet d’accéder au compte root via son mdp personnel. Administrateur de type sudo ;
*compte utilisateur NP (Non Privilégié): Utilisateur standard ou simple. Ne peut pas administrer le système, car il ne connaît pas le mdp root et n’est pas inscrit au groupe sudo ni au groupe root.
Uilisateur principal : Parfois, le système réclame le mdp de l’utilisateur principal. Selon les cas, ce dernier peut être soit l’administrateur sudo soit l’administrateur root si il n’y a pas d’administrateur sudo.
su et sudo
A la différence de sudo, su ne constitue pas un groupe. Ainsi, seul l’admi root, celui qui connaît le mdp root, peut utiliser su pour admininistrer le sytème sous un compte utilisateur NP ou un compte admi sudo. L’utilisateur NP et l’admi sudo ne sont pas supposé connaître le mdp root (réseau entreprise), le contexte étant différent concernant un ordinateur individuel.
Il est posible de configurer sudo pour fonctionner comme su et vice-versa.
Pour comprendre l’intérêt de chaque type de compte utilisateur, notamment en matère de sécurité, il est indispensable de comprendre la signification et le fonctionnement de su et sudo, puisque ces deux programmes contrôlent l’accès aux privilèges root, sinon il est impossible d’avoir un système sécurisé.
J’invite tous les membres concernés par la sécurité de leur système à digérer ces informations et à proposer une classification des comptes utilisateurs en relation avec la configuration de su et sudo.
un compte root est un compte root.
un compte utilisateur est un compte utilisateur.
et un compte admin est un compte admin.
Merçi pour ta collaboration. Il serait dommage pour la communauté de ne pas profiter de ton sens inné de la pédagogie. Pourrait-tu également définir les comptes suivant : superutilisateur, classique, user, simple, standard ?
merlin a écrit :Il serait peut-être temps d’en finir avec les approximations et autres confusions.
Qu’en pensez-vous ?
Entièrement d'accord, mais ton dernier message est plein d'approximation wink
La réalité sur le web et les forums est la suivante : superutilisateur, root, administrateur, utilisateur, classique, user, simple, standard….Ma classification des comptes courants (principaux=ce qui concerne les débutants) me semble constituée une amélioration, même si on pourrait rajouter d’autes catégories ou sous-catégories (pour les experts par exemple). Pourquoi ne propose tu pas ta propre classification, une basique pour les débutants et une complète pour les experts ?
merlin a écrit :Compte classique + sudo = compte administrateur de type sudo = je peux administrer !
non, il est tout a fait possible d'installer sudo sans le configurer pour donner les droits root pour toutes blés commandes. Si tu veux t'en convaincre, voici un petit exemple tirer du wiki DF https://debian-facile.org/doc:systeme:sudo#exemple1 wink
Quelque soit le paramétrage de sudo, l’élévation de privilège passe par sudo. Il s’agit donc dans tous les cas d’un compte de type Administrateur sudo (par opposition à l’Administrateur root et su). Non ?On constate que pour smolski, super-utilisateur est différent de root!
Par ailleurs, il existe d'autre mécanismes d'élévation de privilèges, on peut penser à setuid ou policykit.
Il semble que PolKit (anciennement PolicyKit) permette un gain de sécurité et de confort pour l’utilisateur. Par contre le programme setuid semble présenter des failles de sécurité.
Au final, ces programmes me semblent plutôt indiqués pour des spécialistes ?
Il n'y a pas de compte administrateur dans Debian.
merlin a écrit :Dans le menu de l’interface graphique ‘’Appliczations/Système’’, l’application ‘’Utilisateurs et groupes’’ permet de modifier le type de compte utilisateur
Ce truc est une surcouche graphique, qui sait ce qu'elle fait exactement.
Je pense que tu souffre d’une addiction à la ligne de commande qui altère ton jugement. Ce n’est pas parce que le mot ‘’administrateur’’ n’existe pas dans les fichiers de configuration que le compte administrateur n’existe pas. L’équation est la suivante:
-UID user=0 = utilisateur root = administrateur de type root ;
-UID user≠0 = utilisateur non-root = je ne peux pas administrer !;
-UID user≠0 + sudo = utilisateur de type administrateur non-root = administrateur sudo = je peux administrer !
Si ça peut t’aider, considère le compte admi sudo comme une surcouche conceptuelle.
On sait exactement ce qu’il y a derrière la surcouche graphique : des lignes de commande ! Je pense qu’il faut plonger dans le code source pour avoir le détail.
Exemple : Grsync est l’interface graphique de rsync. Tu choisis les paramètres de la synchronisation via les menus de l’interface graphique. Le programme, dans son retour, t’affiche la ligne de commande qu’il a envoyé au terminal.
Il serait intéressant et pédagogique, que toutes les interfaces graphiques affichent dans une infobulle, la ligne de commande correspondante à chaque entrée des menus.
Pour ce qui est du compte root Unix, l'utilisateur existe toujours avec l'UID 0. Si on ne lui définie pas de mot de passe, on ne peut pas s'y connecter directement, et sudo est alors automatiquement configuré pour pouvoir donner les privilèges root pour toutes les commandes au premier compte utilisateur créé. Ce compte est bien un compte classique et pas administrateur.
Compte classique + sudo = compte administrateur de type sudo = je peux administrer !
Par définition, un administrateur peut administrer tandis qu’un utilisateur simple (NP) ne le peut pas.
Définitions des comptes utilisateurs (version 2)
*compte root=compte système : possède tous les privilèges. Administrateur de type root. Administrateur suprême.
=admi root;
*compte administrateur : utilisateur inscrit au groupe sudo, ce qui lui permet d’accéder au compte root via son mdp personnel. Administrateur de type sudo.
=admi sudo;
*compte utilisateur (simple ou standard)=Non Privilégié. Ne peut pas administrer le système.
=utilisateur NP.
Uilisateur principal : Parfois, le système réclame le mdp de l’utilisateur principal. Selon les cas, ce dernier peut être soit l’administrateur sudo soit l’administrateur root si il n’y a pas d’administrateur sudo.
su : configuration accidentelle. A la différence de sudo, su ne constitue pas un groupe. Ainsi, seul l’admi root, celui qui connaît le mdp root, peut utiliser su pour admininistrer le sytème sous un compte utilisateur NP ou un compte admi sudo. L’utilisateur NP et l’admi sudo ne sont pas supposé connaître le mdp root (réseau entreprise), le contexte étant différent concernant un ordinateur individuel.
Il serait peut-être temps d’en finir avec les approximations et autres confusions.
Qu’en pensez-vous ?
je pense que tu as fait une install de Debian en désactivant l'accès direct à l'utilisateur root ?
Pourquoi tu n'as plus accès au compte root ? Parce que tu as retiré ton utilisateur principal du compte sudo ce qui était ta seule porte d'entrée au compte root
Effectivement, on ne voit guère d’autres explications . Lors de cette première installation, j’ai dû faire l’impasse sur le mdp root. Le problème, c’est que je m’en avais pas souvenir. Egalement, j’ai confondu mon mdp administrateur avec le mdp root (non définis) car c’est celui que le système me réclamait pour accéder aux privilèges root.
tu peux très bien avoir un compte utilisateur sans avoir un compte admin, dans ce cas sudo t'es refusé, mais tu passes par root direct (comportement natif de debian dès l'installation)
Tu veux dire un compte utilisateur simple (standard=sans privilèges) ?
le compte administrateur (ou root , si tu préfères) est utilisé pour les tâches d'administration du systeme
.
Le compte administrateur est un compte utilisateur rattaché au groupe sudo, ce n’est pas le compte root ! C’est à cause des nombreuses personnes qui font cette confusion (approximation) que j’ai été induit en erreur . En effet, il est recommandé, sur de nombreux sites web et forums, sous diverses formulations approximatives, d’utiliser un compte ‘’utilisateur ‘’ conjoitement au ‘’compte administrateur’’ !?
Traduction : utilisateur=administrateur et administrateur=root, c’est à dire définir le mdp root (compte root) et créer un compte de type administrateur (inscrit au groupe sudo).
Pour créer un compte administrateur, avec l’interface graphique (Utilisateurs et Groupes), il suffit de choisir directement un compte de type administrateur (rattaché par défaut au groupe sudo, et à lui seul d’ailleurs) ou bien de rattacher un compte simple au groupe sudo. Ce compte simple change alors de statut et devient administrateur. On peut créer plusieurs comptes administateur, mais il ne peut y avoir qu’un seul compte root (compte système).
pour éviter les risques inhérents à root , il existe l'utilisateur "user" . fortement recommandé en usage courant .
"sudo" ou "su -" représentent une sécurité
Tu veux dire utilisateur de type administrateur ?
donc pour répondre à ta question :
ne travailler que en root n'a aucun sens du point de vue de la sécurité .
généralement , on conseille un compte root + un compte user .
conserver seulement le compte administrateur est un risque inouï pour la sécurité .
je ne suis pas sûr qu'on puisse le faire .
Encore une confusion inacceptable entre root et administrateur. Le mot anglais ‘user’ signifie utilisateur et ne veux donc rien dire car un utilisateur peut être root, administrateur ou standard.
En fait, je crois qu'il ne faut pas mélanger la notion d'aministrateur proposé par un Environnement de Bureau, et la notion de root des systèmes Unix.
Là, je pense qu'on mélange les deux dans ce fil.
C’est aussi mon impression, et y a pas que dans ce fil malheureusement.Y- aurait-il d’autres opinions ?
Bendia a écrit :D'ailleurs, je crois que par défaut, il n'est pas possible de lancer une session graphique en root sans rien configurer.
si lorsque l'ordi s'allume tu tape root dans la case utilisateur et ton mot de passe root, t'as une session graphique (xfce en tout cas) qui s'ouvre…avec un gros bandeau rouge (ou un truc du style si mes souvenirs sont bons
Perso, quand je veux échapper à des certains problèmes de permissions, j’ouvre le GdF root en passant par le terminal root ( su dans le terminal non-root) et en exécutant le nom du GdF (thunar sous XFCE). Je confirme pour le bandeau rouge, ce dernier nous avertit que l’on est sous root et que cela peut être dangereux pour le système.
Pour conclure, je propose :
-un nouveau titre pour cet article : définitions des comptes utilisateurs : standard, administrateur et root ?;
-les définitions suivantes :
*compte root=compte système : possède tous les privilèges ;
*compte administrateur : utilisateur inscrit au groupe sudo, ce qui lui permet d’accéder au compte root pour administrer le système ;
*compte simple ou standard=sans accès aux privilèges root.,
*utilisateur principal, selon les cas, ce dernier peut être soit l’administrateur soit root si il n’y a pas d’administrateur.
Qu’en pensez-vous ?
Il n'y a pas de compte administrateur dans Debian.
Dans le menu de l’interface graphique ‘’Appliczations/Système’’, l’application ‘’Utilisateurs et groupes’’ permet de modifier le type de compte utilisateur :
La définition donnée pour le compte de type administrateur laisse penser qu’il s’agit du compte root. En outre, ce compte de type administrateur s’ouvre avec le mdp root. J’ai vraiment cru au début qu’il s’agissait du compte root. Et pourtant, mes observations (cf le message 1) prouvent que ce compte de type administrateur n’est pas le compte root.
Le GdF de ce compte de type administrateur (pseudo=administrateur) a l’apparence normale d’un GdF d’un compte non-privilégié :
Pour comparaison le GdF du compte root :
Suis-je le seul à avoir un compte de type administrateur qui s’ouvre avec le mdp root mais qui n’est pas le compte root ?
