Recommandations de sécurité relatives à un système GNU/Linux - Historique des versions

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-29T11:58:10Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-29T11:57:52Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-29T11:57:38Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* Autres points de sécurisation ! */

2018-08-29T11:57:06Z

‎Autres points de sécurisation !

Scarpentier : /* Au niveau du noyau : */

2018-08-29T11:56:35Z

‎Au niveau du noyau :

Scarpentier : /* Au niveau userland : */

2018-08-29T11:56:22Z

‎Au niveau userland :

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-27T09:23:44Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-27T09:22:18Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-27T09:21:55Z

‎En synthèse, les recommandations minimales à respecter

Scarpentier : /* En synthèse, les recommandations minimales à respecter */

2018-08-27T09:21:10Z

‎En synthèse, les recommandations minimales à respecter

@@ Ligne 97 : / Ligne 97 : @@
 de connexion des exploitants, supervision, mises à jour, sauvegardes, etc.).
 |}
+<br>
 {| style="color: black; background-color: #ffffcc; width: 100%;"
 | style="width: 10%; background-color: #E0E6F8; text-align:center; color: #046AAF;"|

@@ Ligne 97 : / Ligne 97 : @@
 de connexion des exploitants, supervision, mises à jour, sauvegardes, etc.).
 |}
-−
 {| style="color: black; background-color: #ffffcc; width: 100%;"
 | style="width: 10%; background-color: #E0E6F8; text-align:center; color: #046AAF;"|

@@ Ligne 97 : / Ligne 97 : @@
 de connexion des exploitants, supervision, mises à jour, sauvegardes, etc.).
 |}
-<br>
 {| style="color: black; background-color: #ffffcc; width: 100%;"
 | style="width: 10%; background-color: #E0E6F8; text-align:center; color: #046AAF;"|

@@ Ligne 223 : / Ligne 223 : @@
 *Sécurité physique, notamment pour l’accès à la console locale
 <br>
-Pour pousser la sécurisation un peu plus loin, il est possible d’utiliser certaines distributions qui proposent la recompilation systématique des logiciels pour maîtriser et durcir la chaîne de compilation des paquetages (imposer par exemple que les exécutables soient relocalisables (CFLAGS="-fpie") pour que la randomisation d’adresse (ASLR) puisse être efficace, protéger le système contre les buffer overflow dans la pile (CFLAGS="-fstack-protector-all"), le durcir de manière générique (CFLAGS="-D_FORTIFY_SOURCE=2") ou encore sécuriser le chargement dynamique (LDFLAGS="-Wl,-z, relro -Wl,-z, now")). Cela nécessite toutefois un suivi et une organisation rigoureuse. Une alternative moins lourde peut consister à ne recompiler localement que certains paquetages d’une distribution classique, par exemple ceux correspondant à des démons réseau exposés à l’extérieur. À défaut, on privilégiera les distributions réputées qui proposent une politique de mise à jour de sécurité claire et sérieuse sur les distributions plus confidentielles. Il est en effet souhaitable de réduire le plus possible la fenêtre temporelle entre la découverte d’une faille dans un logiciel et le déploiement du correctifs dans la distribution considérée.
+Pour pousser la sécurisation un peu plus loin, il est possible d’utiliser certaines distributions qui proposent la recompilation systématique des logiciels pour maîtriser et durcir la chaîne de compilation des paquetages (imposer par exemple que les exécutables soient relocalisables '''(CFLAGS="-fpie")''' pour que la randomisation d’adresse '''(ASLR)''' puisse être efficace, protéger le système contre les buffer overflow dans la pile (CFLAGS="-fstack-protector-all"), le durcir de manière générique '''(CFLAGS="-D_FORTIFY_SOURCE=2")''' ou encore sécuriser le chargement dynamique '''(LDFLAGS="-Wl,-z, relro -Wl,-z, now")'''). Cela nécessite toutefois un suivi et une organisation rigoureuse. Une alternative moins lourde peut consister à ne recompiler localement que certains paquetages d’une distribution classique, par exemple ceux correspondant à des démons réseau exposés à l’extérieur. À défaut, on privilégiera les distributions réputées qui proposent une politique de mise à jour de sécurité claire et sérieuse sur les distributions plus confidentielles. Il est en effet souhaitable de réduire le plus possible la fenêtre temporelle entre la découverte d’une faille dans un logiciel et le déploiement du correctifs dans la distribution considérée.
 ==== <div style="background-color: #81BEF7">'''Notes'''</div> ====

@@ Ligne 137 : / Ligne 137 : @@
 <br>
-==== Au niveau du noyau :====
+==== '''Au niveau du noyau''' ====
 <br>
 Il est fortement recommandé de mettre en œuvre un noyau sur mesure vis-à-vis des périphériques
@@ Ligne 156 : / Ligne 156 : @@
 <br>
 <br>
 ==== <div style="background-color: #81BEF7">'''En complément, réaliser une défense en profondeur'''</div> ====

@@ Ligne 114 : / Ligne 114 : @@
 <br>
 <br>
-==== Au niveau userland :====
+==== '''Au niveau userland''' ====
 <br>
 Cela passe notamment par l’élimination des services inutiles en écoute sur le réseau (1), en priorité, ainsi que des services qui s’exécutent sous le compte root et qui ne sont pas nécessaires au fonctionnement du système (exemples : pulseaudio ou dbus). Dans le cas d’un serveur, cela passe notamment par l’élimination du serveur X, qui constitue un service particulièrement complexe et privilégié. On notera bien que le terme "élimination" pris dans ce contexte ne signifie pas nécessairement la désinstallation des programmes associés, qui peut s’avérer impossible du fait de dépendances entre paquetages. Dans un tel cas de figure, il peut s’avérer nécessaire de conserver le démon installé sur le système, mais en faisant en sorte qu’il ne soit pas lancé automatiquement. De manière complémentaire, on pourra chercher à désinstaller tous les programmes qui ne sont pas utiles dans le contexte d’utilisation légitime du système, et dont l’installation n’est pas strictement nécessaire au titre des dépendances entre paquetages. De tels programmes ne peuvent en effet servir qu’à un attaquant. A titre d’exemple, si la présence d’un compilateur ou d’un débogueur (gdb) sur le système cible n’est jamais strictement nécessaire à la mise en oeuvre d’une attaque, la disponibilité de tels outils peut souvent faciliter grandement la tâche de l’attaquant.
@@ Ligne 136 : / Ligne 136 : @@
 <br>
 <br>
 ==== Au niveau du noyau :====
 <br>

@@ Ligne 88 : / Ligne 88 : @@
 | style="width: 90%; background-color: #E0E6F8; text-align:left; color: #046AAF;"|
 Mettre en place des mesures de cloisonnement pour isoler les différents éléments applicatifs.
 |}

@@ Ligne 63 : / Ligne 63 : @@
 <br>
 |}
+<br>
 '''Note''' : Certaines mesures nécessitent une certaine expertise technique et leur mise en œuvre peut
 impacter la disponibilité du système qu’il convient de bien apprécier au préalable.
+<br>
 {| style="color: black; background-color: #ffffcc; width: 100%;"
 | style="width: 10%; background-color: #E0E6F8; text-align:center; color: #046AAF;"|
@@ Ligne 78 : / Ligne 78 : @@
 *Chiffrant les données.
 *Adaptant le noyau (suppression des éléments inutiles, application des patchs de durcissements) au contexte d’emploi envisagé.
 <br>
 |}