Question : derrière un routeur, utilisez-vous un pare-feu ?

falke · 16-10-2022 09:31:15

Bonjour,

cela fait plusieurs années (en fait depuis l'apparition des box-adsl/fibre, faisant office de routeur), que je n'utilise plus

de pare-feu sur mon réseau local.

J'estime (j'estimais) que le routeur de la box me protégeait suffisamment efficacement :
Aucune redirection de port, on peut demander au routeur de ne pas répondre aux pings etc...)
Bien entendu, je suis conscient que je peux m'infecter moi-même, si je télécharge n'importe quoi et ouvrir à mon insu des flux vers l'extérieur, mais dans la pratique je suis très prudent.

J'utilise des paquets debian uniquement, ne clique pas sur n'importe quel lien, ni sur internet ni dans les mails.. passe systèmatiquement par un vpn. Mots de passe solides (j'utilise Keepass pour les générer
et m'en souvenir)

Bref, je me sens relativement à l'abri d'intrusions. Mais ai-je tord ?

Un post récent m' a un peu fait douter (fichier de conf corrompu...) . On m'a fait utiliser Debsums, mais je constate que la modification du fichier n'est pas vue, au contraire d'un
autre fichier de conf que j'avais effectivement modifié (concernant snapper, gestionnaire de snapshots Btrfs). Je me demande aussi s'il me serait utile d'utiliser un IDS, mais bon
je suis pas une grande banque :-).

Ne devrais-je pas finalement en mettre un , comme on installe un antivirus sur linux pour protéger la propagation de virus à d'autres os que linux via le mail par exple...

J'aimerais avoir votre avis là-dessus car si je peux faire quelque chose de plus , pour ma sécurité et celle des autres, je le ferais bien volontiers..

merci

otyugh · 16-10-2022 09:44:43

Le sujet a déjà été adressé ici :
https://debian-facile.org/viewtopic.php?id=32287 (et je trouve que l'avis de vvv22 est le plus sérieux sur la question, moi je fais qu'heberger des pageperso et des services pour mes amis avec mon serveur

)

Bref, je me sens relativement à l'abri d'intrusions. Mais ai-je tord ?

Oui, on ne devrait jamais trop se sentir en sécurité en informatique

Ne devrais-je pas finalement en mettre un , comme on installe un antivirus sur linux pour protéger la propagation de virus à d'autres os que linux via le mail par exple...

Pour moi c'est un "non" radical. C'est le "on ne peut pas ne rien faire" face au terrorisme ou à la pédophilie, résultant en des mesures ridicules qui font mal en donnant l'impression d'avoir adressé le problème.

Pis pour revenir à ton problème qui a causé ce poste... Essaye d'imaginer la gueule du "hacker" qui a bougé deux lignes dans un fichier des configuration CUPS ? Ça ressemble tellement plus à 300% à une erreur humaine...

passe systèmatiquement par un vpn.

Tu dois être désinformé, les VPN ne te protègent de rien, c'est pas leur rôle.

Dernière modification par otyugh (16-10-2022 09:53:28)

raleur · 16-10-2022 09:51:16

falke a écrit :

J'estime (j'estimais) que le routeur de la box me protégeait suffisamment efficacement

La box est sous le contrôle total d'un tiers (le FAI). Rien que cela devrait suffire à ne lui accorder aucune confiance. Ce n'est pas comme si des box n'avaient jamais été l'objet de piratage massif, hein...

D'autre part ça a peut-être changé mais fut un temps, la freebox ne faisait aucun filtrage du trafic IPv6, et sachant que les machines du LAN reçoivent des adresses IPv6 globales (publiques), je n'ai pas besoin de faire un dessin.

Concernant l'utilité d'un pare-feu sur les machines, je réserve mon opinion.

otyugh · 16-10-2022 09:57:49

raleur a écrit :

falke a écrit :
J'estime (j'estimais) que le routeur de la box me protégeait suffisamment efficacement

La box est sous le contrôle total d'un tiers (le FAI). Rien que cela devrait suffire à ne lui accorder aucune confiance.

C'est vrai ; et on peut dire la même chose de tous les smartphone/téléphones du monde, et en moindre mesure des machines qui contiennent ne serais-ce qu'un seul composant non open-hardware... Ou qui a installé le moindre logiciel non libre.

On est à la merci de ceux qui ne nous laissent pas aller voir ce qu'ils font "en vrai", et parfois même quand on peut lire le code, ils pourraient nous trahir à tout instant ! (on est tous à la merci de chaque ligne qu'on ajoute à notre sources.list, à chaque mise à jour !).

La "sécurité" est largement une question de confiance, finalement. Qu'on accorde aveuglément (quand le code source ou le matériel n'est pas ouvert ; ça arrive régulièrement à nous tous !), c'est un acte de foi.

Extrait de "rage against the machin" 2015 avec Jeremie Zimermann (ex Quadrature) https://gnuw.arzinfo.pw/data/par_person … rdware.mp3

Dernière modification par otyugh (16-10-2022 10:09:37)

Mugen · 16-10-2022 11:09:57

Bonjour
J'ai UFW d'installé et quand je vois les logs de journalctl il y a plein d'adresse IP qui sont bloquées, est ce que c'est des tentatives d'intrusion ?
Je n'y connais rien du tout en réseau mais avoir UFW me rassure, c'est peut-être un effet placebo je sais pas

otyugh · 16-10-2022 11:22:26

bartaba a écrit :

Je n'y connais rien du tout en réseau mais [...] ça me rassure

Si je bloque tous mes ports par défaut et que je lance un logiciel de bittorent, je vais avoir plein de tentatives tout à fait légitimes et voulues de connexion sur des ports bloqués...

'Fin moi, si ça te rassures, vas-y hein, c'est pas cher.

Je suis sûr que la personne qui a posé ce portail se sent beaucoup mieux d'avoir bloqué LE SEUL PORT d'accès à ses fleurs.

Dernière modification par otyugh (16-10-2022 11:43:44)

Mugen · 16-10-2022 13:43:58

@otyugh le truc c'est que même si je n'ai aucune application réseau ouverte (navigateur compris), j'ai quand même ces lignes UFW BLOCK dans journalctl, je ne sais pas d'où ça vient

otyugh · 16-10-2022 14:05:29

Ouvre un sujet et donne tes logs, quelqu'un pourra t'aider à comprendre ? La solution face à l'inconnu ne devrait pas d'installer des trucs et d'avoir une image de bouclier vert en tous cas

Dernière modification par otyugh (16-10-2022 23:16:49)

naguam · 16-10-2022 14:06:28

Bah faut regarder le type de requète, le type d'addresse etc.
En ipv4 tu peux recevoir du broadcast, ou encore du mdns et autres protocole de discovery.
Ce sont des paquets légitimes dans un LAN.

Dernière modification par naguam (16-10-2022 14:06:47)

vv222 · 16-10-2022 21:15:55

De mon côté rien n’a changé depuis la discussion que otyugh a partagée : pas de pare-feu sur mes machines, que ce soit les postes qui se trouvent derrière le modem/routeur de mon FAI commercial ou les serveurs accessibles publiquement sur Internet.

Je n’utilise pas non plus d’antivirus, d’instance de fail2ban ni de poudre verte. Mon approche de la sécurité est qu’on ne l’améliore pas en installant des "machins", mais au contraire en en réduisant le nombre au maximum.

TyZef · 17-10-2022 02:42:21

vv222, pour la poudre verte ça se prend comment ? et où s'en procurer ?

vite !!! répond !!!!!!!!!

otyugh · 17-10-2022 09:34:51

J'ai commencé à faire une page de soins informatique alternatifs, si vous en voyez passer à l'avenir, osez le MP !
https://tk.arzinfo.pw/?p=/informatique/ … /index.gmi

greg40 · 17-10-2022 14:10:48

Bonjour,
Je ne me sent pas non plus de faire une confiance aveugle à des "box" internet propriétaire sur lesquelles on ne maîtrise rien.
Séparer ses réseaux locaux avec du routage ne me parait pas déconnant quand il y a des windows ou autres Android connecté dessus et qui peuvent servir de vecteur d'attaque dans le LAN non ?

J'avais regardé pour un petits routeur tout fais avec une interface simple (pas trop cher juste avec 2 ou 3 ports) pour séparer mon réseau pro (pour le travail) de mon réseau perso mais sans rien trouver de convainquant

otyugh · 17-10-2022 14:59:17

Je ne me sent pas non plus de faire une confiance aveugle à des "box" internet propriétaire sur lesquelles on ne maîtrise rien.

Si tu utilises un smartphone ou si (horreur) tu l'a déjà branché une fois en USB à ton ordi, tu pars déjà en enfer de la mauvaise sécurité de toute façon. (et je suis prêt à parier que 90% des gens y sont sinon plus). Je ne suis pas sûr de comprendre pourquoi il faudrait se focaliser sur le routeur comme point de vulnérabilité particulier quand tout composant non open-hardware et tout paquet non-libre est déjà un saut du "olhala, j'espère qu'il y a pas trop de back door dedans qui sera découverte de mon vivant".

Mais si vraiment il faut faire quelque chose au niveau du routeur, la solution est évidente. Passer à un membre de la FFDN et acheter un vrai routeur. Leur forfait sont légèrement plus chers. https://www.ffdn.org/fr/membres

Dernière modification par otyugh (17-10-2022 16:08:48)

Kristen · 17-10-2022 15:18:03

otyugh a écrit :

Si tu utilises un smartphone ou si (horreur) tu l'a déjà branché une fois en USB à ton ordi, tu pars déjà en enfer de la mauvaise sécurité de toute façon. (et je suis prêt à parier que 90% des gens y sont sinon plus).

Mince, je n'avais jamais pensé à ça ! C'est ce que je fais assez souvent

naguam · 17-10-2022 15:52:24

Tout est une question de gestion du risque.

otyugh · 17-10-2022 16:17:16

Ou de non gestion de risque parce que y aller proprement est trop coûteux vu qu'il y a 0 volonté politique d'avoir des technologies fiables.
...C'est plutôt activement l'inverse - au nom du terrorisme, de la pédophilie, tout ça. Comme pour tant d'autres choses, on ne peut que faire tant en tant qu'individu, surtout quand il s'agit d'objets aussi complexes.

Dernière modification par otyugh (17-10-2022 16:23:29)

greg40 · 17-10-2022 16:26:36

Si tu utilises un smartphone ou si (horreur) tu l'a déjà branché une fois en USB à ton ordi,

Et oui bien sur je le fait
Bon après c'est un Pixel (à jour donc) avec zéro app installé dessus (à part K9mail)

Je ne suis pas sûr de comprendre pourquoi il faudrait se focaliser sur le routeur comme point de vulnérabilité particulier quand tout composant non open-hardware et tout paquet non-libre est déjà un saut du "olhala, j'espère qu'il y a pas trop de back door dedans qui sera découverte de mon vivant".

Pas sur de comprendre... Je disais juste que séparer les réseaux locaux après la "box" si tu as des choses sensibles chez toi (pour moi c'est mon poste de travail).
Ma femmes bosse avec un Windows et certains invités ont une connexion sur le wifi de la maison.

Après on est bien d'accord, la sécu y-a pas de fin, il faut faire des compromis.

otyugh · 17-10-2022 17:22:46

Bon après c'est un Pixel (à jour donc) avec zéro app installé dessus (à part K9mail)

"Google pixel", ouf. Un moment j'ai cru que t'étais chez une multinationale qui a fondé sa fortune sur la vente d'information personnelle ! ^^'

Pas sur de comprendre..

Je dis que si tu t’inquiètes d'être compromis, j'ai un peu l'impression qu'on est en mode pansement sur des hémorragies ouvertes quoi.
Après pour aller diamétralement dans le sens inverse, je connais que des entreprises informatique qui connectent les ordis infectés sur leur seul réseau local - depuis au moins dix ans - et ils ont pas fait faillite encore (haha, étudier l'effet iatrogène des dépanneurs informatique, ça serait tellement magique comme étude à faire). Quelque part si en théorie le risque est conséquent, en pratique c'est pas si net parce que nombre de praticiens font le pire et que ça leur retombe pas dessus (encore) visiblement. ...Jusqu'à ce que ça leur tombe dessus un jour !

Dernière modification par otyugh (17-10-2022 17:25:34)

Debian-facile

#1 16-10-2022 09:31:15

Question : derrière un routeur, utilisez-vous un pare-feu ?

#2 16-10-2022 09:44:43

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#3 16-10-2022 09:51:16

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#4 16-10-2022 09:57:49

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#5 16-10-2022 11:09:57

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#6 16-10-2022 11:22:26

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#7 16-10-2022 13:43:58

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#8 16-10-2022 14:05:29

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#9 16-10-2022 14:06:28

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#10 16-10-2022 21:15:55

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#11 17-10-2022 02:42:21

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#12 17-10-2022 09:34:51

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#13 17-10-2022 14:10:48

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#14 17-10-2022 14:59:17

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#15 17-10-2022 15:18:03

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#16 17-10-2022 15:52:24

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#17 17-10-2022 16:17:16

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#18 17-10-2022 16:26:36

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

#19 17-10-2022 17:22:46

Re : Question : derrière un routeur, utilisez-vous un pare-feu ?

Pied de page des forums