Je dois sécuriser deux uc Debian... face à un admin réseaux.

Lupa · 29-06-2020 20:52:45

Bonsoir à tous.

Je ne peux pas vous cacher mon malaise.
Je répondrai à toute question délicate, sans aucun problème, mais en MP. Discrétion oblige...

D'abord : l'histoire. Elle est timple.
Site : un particulier.

Un admin réseaux vivait là. Plus à présent.
C'est lui qui a tout configuré chez eux, et sous Debian.

Un truc de ouf. Deux switchs réseaux manager, plus d'autres routeurs (combien quand il était là ? Sais pas). Plus la box. Des câbles Ethernet partout. Des bidules électroniques
indescriptibles connectés partout.

Je ne peux pas détailler les indélicatesses subies par les deux personnes vivant là.

Mais je peux dire qu'il avait accès à tout, y compris de l'extérieur. Normal : c'est lui qui a monté le réseau, installé les deux bécanes, les connexions ssh avec authentification par clefs, etc. Il avait et l'IP publique de la box, et tous les psw en local. Y compris de mails. Il a d'ailleurs bloqué plusieurs boîtes mails une fois parti. Sauf une. Je m'en occupe demain. Certaines boîtes mails (MP pour le nom de domaine ou l'alias) ont un identifiant... fou. Je pèse mes mots. Le nom de domaine n'est pas des plus connus des non-pro ou non initiés. Mais je ne pensais pas que ça servait à ça...

Dans le .bash_history des comptes users, sur les deux bécanes, j'ai bien lu toutes ces commandes tapées sans doute dès l'install. Il entrait et sortait comme il voulait. Bizarre qu'il n'ait pas effacé ça...

Dans sa boîte : il a aussi cette réputation, là-bas, de pirater les collègues, ou ses subordonnés. Je ne connais pas la boîte mais, c'est typiquement une faute lourde.
Les deux personnes sur place ne savent plus où il est, et ne veulent surtout pas le revoir. Plus d'un an que ça dure : elles deviennent bourriques.
Si sa hiérarchie accepte ça de sa part (je le sais, donc elle encore mieux), je ne comprends pas...

Oui : il a cassé les câbles. Et oui aussi, le type a l'air réellement très calé.

L'une des Debian était en RAID. D'ailleurs mal fagoté selon Râleur. Confer mon sujet sur le raid.
J'ai eu un mal de chien à récupérer ce que je pouvais. Merci Râleur

Les smartphones : sauvegarde des données, et restauration usine. Là aussi, des bizarreries s'affichaient, ça coupait... Et le code d'accès : modifié sur les deux.

La box.
Je n'ai pas pu lui faire une restauration usine. Elle n'affichait plus le menu. La propriétaire a changé d'IP publique (enfin, j'ai téléphoné au FAI).
La box a été changée. Je lui ai attribué un psw béton pour entrer dedans. J'ai dû y aller avec mon PC portable. Plus rien ne fonctionne, dans l'appart.
La TV : OK. Grâce au support du FAI. Là aussi, des routages... Il a fallu tout reseter.

Réseau WiFi : quelqu'un, sur place, n'a guère le choix. Un CPL. Donc, je mettrai en place un filtrage par Mac adresse.
Et clef WiFi béton aussi, nom du SSID pipo, mais pas caché : les réseaux cachés sont rares : ils peuvent attirer l'attention.
Quant à la "clef de sécurité", alors là ! Ca saute en moins d'une minute. D'où le filtrage.

Il va y avoir deux UC Debian dans cette maison. Installées par moi.

C'est là que je suis mal. Très très mal...

Je dois sécuriser deux bécanes, face... à un type plus calé que moi et qui se passionne pour le hacking.

Première sécurité : empêcher le piratage du routeur (enfin : la box, qui en est un).
VPN ? Ca va gêner pour certaines boîtes mails. Mais je le ferai si nécessaire.

Purée !! Les petits génies, quand ils pètent les câbles, ils font vraiment c*** les enfants de la Patrie, hein !!

raleur · 29-06-2020 21:38:26

Lupa a écrit :

je mettrai en place un filtrage par Mac adresse

Inefficace contre un attaquant un minimum compétent car usurper une adresse MAC est très facile.

Lupa a écrit :

Première sécurité : empêcher le piratage du routeur (enfin : la box, qui en est un).
VPN ?

Je ne vois pas en quoi un VPN aiderait à empêcher le piratage de la box.

Accessoirement, je ne ferais pas plus confiance à une box (sous le contrôle total du FAI) qu'à un hot-spot public.

Lupa · 29-06-2020 21:55:07

Formidable !
Enfin une bonne nouvelle !

Donc, un routeur derrière la Box ? Et Open DNS, déjà ça.
Et pas de WiFi. Chez moi, d'ailleurs, je ne l'active pas.
Le VPN : il cache au moins l'IP publique... Sans cette IP, on peut pirater une box ?

Je sens qu'il va me prendre la tête ce type.
Merci de m'avoir répondu. Je suis fatigué. Pas encore mangé.
Ce type...

otyugh · 29-06-2020 21:58:39

Contre n'importe quel attaquant, le plus simple c'est de ne pas se faire connaître (si ton adresse ne tourne que dans un cercle restreint, pas grand monde n'ira te chercher) et de limiter la surface (donc les services qu'on expose au public).

Pis faut tout reinstaller aussi. Ça me semble évident. >_<

Et si tu n'a pas la compétence et que l'enjeu est professionnel, embauche quelqu'un de qualifié...

raleur · 29-06-2020 22:21:29

Lupa a écrit :

Le VPN : il cache au moins l'IP publique

Seulement aux machines avec lesquelles on communique via le VPN. Au mieux, ça perturberait d'éventuels mouchards encore présents sur le réseau.

Lupa · 30-06-2020 10:50:38

Bonjour à tous.

@otyugh : bien sûr ! Je vais réinstaller. Tous les dd : je les ai déjà repartitionnés et reformatés (après sauvegarde).
Embaucher... Ca va leur coûter une fortune. Et je préfère apprendre à les sécuriser.

@raleur : des mouchards encore là ? Soit. Mais... où ? Sur quelle bécane ? J'ai tout reformaté. Et je les ai aidées à déconnecter ce fatras de bidules bizarres.
A l'heure actuelle, il n'y a plus RIEN de ce qu'il avait installé lui. J'y ai veillé.

Donc, pas de solution, sauf à mettre en place un UTM (chez un particulier !!).

Je dois installer Debian en le sécurisant au mieux. Ici, vous savez faire. Mais s'il pirate la box, là...

otyugh · 30-06-2020 12:11:57

Ici, vous savez faire.

Je ne sais pas si quiconque ici fait de la sécurité informatique en pain quotidien ? En général on a des bonnes pratiques et des notions de bon sens, mais de là parler sécurité... "It's a stretch" comme qu'on dirait en anglais.

Lupa · 30-06-2020 12:19:00

Vous avez tous raison.
C'est à moi de connaître mes limites. Oui, l'enjeu est professionnel. Et oui, je dois reconnaître mes limites.
Je ne suis qu'une petite association, laquelle n'emploie pas. C'est la cliente qui paiera. Pas trop, quand-même...

Et là, oui, je dois faire appel à quelqu'un. En travaillant à ses côtés, j'en apprendrai.
Si je ne voulais pas voir mes ropres limites, je ne serais plus qu'un pignouf.
Quel ch**** ce mec !

Merci à tous.
Vous m'avez bien aidé.

otyugh · 30-06-2020 13:02:09

Comment je ferai moi : rester aux bonnes pratiques, ne rien faire de spécial. Garder une solution de backup solide (si on a *vraiment* peur, faire un cold backup, hors ligne, qu'on fera manuellement). En cas de problème venant de lui, demander a la police et recharger les anciens backup. Eux ont aussi quelques experts là-dedans, au fond. Un individu fait des erreurs, et même s'il n'en fait pas, ça lui fera assez peur pour se calmer.

La menace contre un néophyte marche beaucoup mieux que de mettre à execution ses menaces et de risquer de se retrouver en garde à vue. Il y a un monde entre menacer quelqu'un d'un couteau et de le planter.
Je sais pas si tu peux poser une main courante s'il a fait des menaces et que tu as une trace écrite ? Ça peut servir, ne serais-ce que pour faire peur.

Il y a un aspect "romancé" absolument abusé sur les hackerz. C'est rien de si mystique, et les jeunes n'ont pas de talent spécial qui les rend surpuissant non plus (le cinéma, c'est le cinéma : on adore l'idée du jeune défoncé qui pisse du code incroyable... Je... Je me demande combien de théorème de maths ont été rédigé sous LSD par des gens enervés, mais à priori c'est assez marginal). La plupart des intrusions se font en utilisant des outils développés par d'autres, sur des vulnérabilités découverts par d'autres. Ce n'est pas parce que quelqu'un a l'air d'etre capable de faire des choses qu'il sait ce qu'il fait. Honnêtement les seuls vrais gens qui touchent à la sécurité que je connais ne sont pas impressionnant du tout, parce qu'ils t'expliquent ce qu'ils font - et dès qu'on t'expliques un truc, ça devient beaucoup moins impressionnant

Dernière modification par otyugh (30-06-2020 13:19:47)

raleur · 30-06-2020 15:20:07

Lupa a écrit :

des mouchards encore là ? Soit. Mais... où ? Sur quelle bécane ? J'ai tout reformaté. Et je les ai aidées à déconnecter ce fatras de bidules bizarres.

S'il n'y en a pas, je ne vois pas en quoi la non utilisation d'un VPN permettrait au vilain de découvrir l'adresse IP de la box plus facilement. Il n'a quand même pas piraté les services auxquels tes utilisateurs se connectent ? A moins que certains de ces services diffusent l'adresse IP source de la connexion (certains serveurs de mail, NNTP) ? Dans ce cas mieux choisir ses services.

Dernière modification par raleur (30-06-2020 15:22:18)

Lupa · 30-06-2020 18:48:14

Bonsoir.

@otyugh :

1/ Oui : backup régulier. Et pas dans le Cloud. Lequel, d'ailleurs ? Je doute qu'on me demande de leur monter un serveur Owncloud. Là, oui, on peut sécuriser. Beaucoup. Fail2ban,
redirection vers un site à c** dans l'un des hôtes virtuels d'Apache, etc... Pas le 443 pour le HTTPS. Etc...

2/ "Ne rien faire de spécial" : c'est-à-dire ?

3/ "néophyte" ? J'ai dû mal me faire comprendre. C'est un pro. Un administrateur réseaux. Pas du tout un un petit rigolo. Il a fondu les plombs... mais ses compétences restent les mêmes, hélas !

4/ "les seuls vrais gens qui touchent à la sécurité que je connais ne sont pas impressionnant du tout, parce qu'ils t'expliquent ce qu'ils font - et dès qu'on t'expliques un truc, ça devient beaucoup moins impressionnant " ça, c'est très, très intéressant.

4/ Sans sa boîte, je rappelle qu'il avait la même réputation. Alors :
- soit la hiérarchie ne lui a pas donné le feu vert. Le genre de truc qui fait virer un mec, en principe.
- soit la hiérarchie lui a donné le feu vert. Pourquoi ? Soupçons sur un ou deux collaborateurs ? Mais pas tous ! C'est rigoureusement illégal.

5/ Tu me fais penser à un truc : tout ce dont je sais qu'il l'a piraté, c'était de l'intérieur... Chez lui, la boîte, etc. Là, forcémeent, c'est plus facile. Mais il a peut-être piraté autre chose : ça, je n'en sais rien.

@raleur : Oui. Il a le contrôle de plusieurs de leurs boîtes mail, et leur en a retiré l'accès (psw modifié). Les bals (pour un pro, je trouve ça bizarre) laposte.net ! Même plus de support. Facile pour lui : il les avait créées, et c'était son téléphone portable qui servait à récupérer les comptes en cas de mots de passe oublié, ou de blocage. Plus d'autres, sur un réseau social très connu. Notamment sous Linux. Grâce à la commande git, j'ai pu installer des drivers que je ne trouvais pas.

2/ S'il a un scanner d'IP, je peux quand-même empêcher la box de répondre au ping ? Là, ce sera plus dur pour lui de pénétrer la box ? Sauf infestation de l'une des deux bécanes avec un mail malicieux, qui donnerait accès à la bécane, et, de là, au routeur. Reste le psw super béton de son interface de gestion. Je n'y suis pas allé molo !

Dernière modification par Lupa (30-06-2020 18:50:34)

vv222 · 30-06-2020 19:44:52

Je ne comprends vraiment pas toute ta réflexion ici, alors que tout ça peut se régler très simplement :

1. Aller échanger la box en boutique du FAI, pour s’assurer d’avoir du matos "propre" ;
2. Bazarder toutes ces histoires de switchs et autres routeurs, il semble évident que tes clients (?) n’ont pas besoin d’une installation aussi complexe ;
3. Après sauvegarde des données à conserver, ré-installation fraîche des postes utilisateurs (Debian ou autres).

Et c’est tout. Le reste, c’est à mon avis des difficultés que tu t’ajoutes pour pas grand chose.

raleur · 30-06-2020 21:44:07

Lupa a écrit :

S'il a un scanner d'IP, je peux quand-même empêcher la box de répondre au ping ?

Quel intérêt ? Soit il connaît l'adresse IP publique et n'a rien à cirer que la box réponde au ping ou pas, soit il ne la connaît pas et n'a aucun moyen de la différencier de toutes les autres box du voisinage.

ubub · 30-06-2020 23:16:48

Bonsoir, je rejoins les reflexions de vv222

Et c’est tout. Le reste, c’est à mon avis des difficultés que tu t’ajoutes pour pas grand chose.

Il faut pas prendre ces gens là pour des surhumains, comme le dit Oytugh, même si ils sont balezes et qu'y faut faire gaffe et que on se sent petit
« Les tyrans ne sont grands que parce que nous sommes à genoux » de Pierre Victurnien Vergniaud, célèbre avocat, homme politique et révolutionnaire français.
https://fr.wikipedia.org/wiki/Discours_ … volontaire
Le 50% ou plus d'un agresseur est que sa victime aie peur et se laisse impréssionner/
pour lire : https://www.debian.org/doc/manuals/debi … the_system
y'a aussi un chapitre « que faire en cas de piratage » je crois bien 'mais je l'ai pas retrouvé et/ou faut lire tout le bouquin, mais c'est tres interressant)
Bonne chance, te laisses pas faire ni impressionner,
amitiés

31hud · 01-07-2020 07:18:13

Bonjour,

Un truc qui pourrait le dissuader de jouer aux plus malins : https://www.legifrance.gouv.fr/affichCo … e=20110316 .
Si les preuves d'accès et de modifications sont réunies, il aura beaucoup de mal à défendre sa position.

Lupa · 01-07-2020 18:33:59

Bonjour à tous et merci pour vos réponses

@vv222 : c'est fait; D'ailleurs, la box a été remplacée. Elle n'affichait plus le menu, donc pas de restauration usine possible.
Plus psw d'accès béton. Majuscules, minuscules, caractères spéciaux plus des chiffres. Généré par KeePass, et modifié par moi : je décale, j'ajoute, je retire. Plus d'algo de génération du psw. Unique solution : attaque en brute force.

De l'intérieur, bien sûr. Bloqué l'accès de l'extérieur. Tout reformaté, après sauvegarde et désinfection. Clamav a trouvé des trucs.
Non : plus de routeurs dont elles n'ont aucun besoin.
Quant aux autres bidules électroniques bizarres, que je n'ai jamais vus nulle part, le ménage est fait

@raleur : c'est vrai.

@31hud : je suis passé derrière lui, sur les deux bécanes. Son .bash_history, ses clefs ssh, tout est sauvegardé.
De là à prouver quelque chose... Mais la date des clefs est très parlante. Je n'ai pas pu, moi, paramétrer ces connexions ssh à cette date-là. Et pour cause : je ne connaissais pas son épouse - qui ne l'est plus. Je la comprends.

Conclusion

C'est moins méchant que ce que je pensais.

J'ai eu hier soir au téléphone un ami. Il est directeur technique d'une grosse structure para-publique. Il dirige l'informatique de cette structure. Je l'ai vu débuter. A l'époque, on se rencontrait comme ça, la fleur au fusil, suite à des annonces "Echange de logiciels" dans les gratuits d'annonces des années 80. Il a répondu à l'une des miennes. Et il est devenu ingénieur.

Aujourd'hui, je suppose que l'HADOPI n'aimerait pas du tout, voyez ? Quant à faire publier une pareille annonce, alors là...
Je ne veux choquer personne, mais comment apprendre l'informatique sauf à être fils d'archevêque... On avait tous besoin de softs, sans arrêt, sans arrêt...
J'ai même croisé un programmeur Cobol sur gros systèmes et sur PC. Il m'a beaucoup appris. Beaucoup.

Ce que me dit cet ami rejoint à peu près ce que vous dites.

1- Sauvegarder tout. C'est fait.

2- La box est changée. Et la propriétaire a suivi mon conseil : elle a changé d'IP publique. Mais l'IP... on s'en fout. Dixit lui-même. Voirs plus bas.

3- Restauration usine de tous les smartphones. C'est fait. Il m'a approuvé. Reste une tablette plus un ordi : je vais m'occuper d'eux. Je leur ai bien précisé de ne surtout pas les redémarrer sans moi.

4- Virer tous les bidules bizarres. C'est fait.

5- C'est là que ça devient intéressant...

En fait, il suffit de fermer tous les ports. On bloque tout trafic entrant.
Les ports non listés dans la gestion des ports (Freebox Revolution), sont bloqués par défaut.
Lorsque Thunderbird et Firefox voudront ouvrir des ports, la requête est INTERNE. Donc, légitime. Et, aussitôt les ports ouverts pour faire leur boulot, ils se referment.
Du coup, même si le type découvrait l'IP de la box : on s'en fout ! Tout trafic entrant est bloqué.

Et pas de WiFi. Je ferai poser un câble Ethernet.

Pas mal, non ?

Dernière modification par Lupa (02-07-2020 10:12:04)

jarek · 02-07-2020 12:50:58

C'est quoi "tous les bidules bizarres" ?

Lupa · 02-07-2020 13:21:56

Bonjour

Ca, si je savais !

Ce que je connais :
Un routeur. Bon.
Un TP-Link tlsg3424 : bon. Mais pas de bouton de reset, il n'y en n'a pas. Et l'IP au dos du truc a été modifiée. Par lui, forcément. Lorsque je le connecte, ma box ne le voit même pas dans le DHCP. J'ai pris des risques à le connecter à mon réseau local, mais juste pour voir. Ben, je ne le vois pas sur le réseau, et je ne peux pas entrer dedans avec la prise console. Ca clignote : il marche. Mais... je ne vais pas plus loin avec lui.

Le reste ?
C'est indescriptible.
Des trucs ressemblant à des switch USB et réseaux, avec des prise jack aussi (??).
Plus d'autres trucs comme ça avec un emplacement (on dirait) pour cartes micro-sd : en plus des Ethernet et USB...
Une webcam que le fille a découverte connectée à une Wii. La fille s'est servie de la Wii il y a des lustres, mais ne savait PAS qu'il y avait un webcam derrière !

Et le reste ? Des bidules électroniques (dirait-on) mais je n'ai pas de compétence en électronique. Des tas de bidules !! Il y en avait partout, derrière la TV et dans la chambre de Madame. Partout...
Tout a été déconnecté par moi.
Et je leur ai dit de ne surtout pas rebrancher ça au secteur !
Je vais chercher quand-même s'il n'y a pas d'autres webcam qu'elles n'ont pas vues et moi non plus.

C'est la caverne d'Ali Baba du petit espion, ou du bricoleur.
Pas sympa à regarder.
Tiens, d'ailleurs : (au début, j'ai pensé qu'il avait de l'humour) leur SSID : enfer

Ca te parle ?

Ah ! Aussi un truc bizarre. MP

Dernière modification par Lupa (02-07-2020 13:36:19)

jarek · 02-07-2020 16:23:13

C'était de la curiosité, bien au-delà de mes compétences dans ce domaine . . .

Debian-facile

#1 29-06-2020 20:52:45

Je dois sécuriser deux uc Debian... face à un admin réseaux.

#2 29-06-2020 21:38:26

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#3 29-06-2020 21:55:07

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#4 29-06-2020 21:58:39

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#5 29-06-2020 22:21:29

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#6 30-06-2020 10:50:38

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#7 30-06-2020 12:11:57

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#8 30-06-2020 12:19:00

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#9 30-06-2020 13:02:09

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#10 30-06-2020 15:20:07

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#11 30-06-2020 18:48:14

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#12 30-06-2020 19:44:52

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#13 30-06-2020 21:44:07

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#14 30-06-2020 23:16:48

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#15 01-07-2020 07:18:13

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#16 01-07-2020 18:33:59

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#17 02-07-2020 12:50:58

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#18 02-07-2020 13:21:56

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

#19 02-07-2020 16:23:13

Re : Je dois sécuriser deux uc Debian... face à un admin réseaux.

Pied de page des forums