Durcissement d'une Debian ou presque

LeDub · 13-12-2018 11:32:50

Bonjour à tous,

Par durcissement, je ne demande aucune URL permettant d'acheter des pilules bleues, j'enttends hardening d'un poste Ubuntu (d'où le Debian ou presque).
J'ai la chance de devoir administrer environ 80 postes GNU/Linux Ubuntu. On me demande, pour des problèmes de sécurité, d'empêcher l'utilisation de support de stockage USB. J'arrive à rendre illisible une clé USB en supprimant le chargement des modules uas, usb-storage et usb_storage. Mais la lecture de la mémoire d'un Android est toujours possible.
En surveillant de fichier /var/log/syslog un peu avant le branchement jusqu'à l'ouverture d'un fichier présent sur l'Android, je n'ai pas trouvé quel est ce module ou cette chose qui rend possible cet accès donc de comprendre comment faire pour le rendre illisible.
Auriez-vous une méthode plus fiable ou un retour d'expérience sur cette problématique ?

LeDub de retour

captnfab · 13-12-2018 11:44:48

Plop,

Tu peux faire un

lsusb -t

une fois le périphérique branché pour voir le module utilisé.

Ceci-dit, si l'utilisateur n'est pas dans le groupe plugdev, il ne devrait déjà pas pouvoir faire grand chose (cf. https://wiki.debian.org/SystemGroups).

LeDub · 13-12-2018 15:17:42

La différence est celle-ci :

    |__ Port 1: Dev 14, If 1, Class=Vendor Specific Class, Driver=, 480M

    |__ Port 1: Dev 14, If 2, Class=Mass Storage, Driver=, 480M

    |__ Port 1: Dev 14, If 0, Class=Vendor Specific Class, Driver=, 480M

Je vais chercher à partir de ces informations.
Merci

LeDub gui va interdire les téléphone Android … et Apple sans oublier cette erreur industrielle qu'est ouin-phone !!!

d33p · 13-12-2018 15:21:55

Hello,

Et en enlevant leurs utilisateurs des groupes "cdrom, floppy et plugdev" ? ça peut marcher? Comme le suggère captnfab

Sinon, j'ai trouvé un poste ici:
https://www.kernel.org/doc/Documentatio … zation.txt
La partie là semble interessante:

Interface authorization

-----------------------

There is a similar approach to allow or deny specific USB interfaces.

That allows to block only a subset of an USB device.

Authorize an interface:

$ echo 1 > /sys/bus/usb/devices/INTERFACE/authorized

Deauthorize an interface:

$ echo 0 > /sys/bus/usb/devices/INTERFACE/authorized

The default value for new interfaces

on a particular USB bus can be changed, too.

Allow interfaces per default:

$ echo 1 > /sys/bus/usb/devices/usbX/interface_authorized_default

Deny interfaces per default:

$ echo 0 > /sys/bus/usb/devices/usbX/interface_authorized_default

Per default the interface_authorized_default bit is 1.

So all interfaces would authorized per default.

Note:

If a deauthorized interface will be authorized so the driver probing must

be triggered manually by writing INTERFACE to /sys/bus/usb/drivers_probe

For drivers that need multiple interfaces all needed interfaces should be

authroized first. After that the drivers should be probed.

This avoids side effects.

Et sinon avec udev? c'est peut être à creuser.
http://guidella.free.fr/General/ecrireR … rUdev.html

En esperant que cela puisse aider.

JC

LeDub · 13-12-2018 15:37:12

Z' êtes trop forts Debian-facile !!!!
Merci à tous de m'avoir orienté vers cette solution qui fonctionne.
Merci, merci

LeDub content d'avoir payé sa cotisation

P.S : la cotisation n'est pas une condition indispensable pour trouver une solution ici !!!

d33p · 13-12-2018 15:43:59

Mais alors, t'as choisi laquelle de solution?
plugdev etc?

-> pour la cotisation, mieux vaut donner ici qu'à Microsoft

JC

Dernière modification par d33p (13-12-2018 15:44:24)

Debian-facile

#1 13-12-2018 11:32:50

Durcissement d'une Debian ou presque

#2 13-12-2018 11:44:48

Re : Durcissement d'une Debian ou presque

#3 13-12-2018 15:17:42

Re : Durcissement d'une Debian ou presque

#4 13-12-2018 15:21:55

Re : Durcissement d'une Debian ou presque

#5 13-12-2018 15:37:12

Re : Durcissement d'une Debian ou presque

#6 13-12-2018 15:43:59

Re : Durcissement d'une Debian ou presque

Pied de page des forums