Faire un don ! | | style | statistiques | contactez-nous | plan | lettre d'information

Liens connexes

Dépêche modérée par

: "Why OpenBSD Will Never Be as Secure as Linux"

Posté par Alain Tésio (page perso, ). Modéré le 11 mai 2001.
Ca ressemble à un troll mais c'est bien le titre d'un article de securityportal.

Il ne compare pas les avantages intrinsèques des deux systèmes mais mentionne plusieurs moyens de sécuriser Linux non disponible sur OpenBSD, dont les arguments sont une configuration "secure by default" (bof ...) et un code mieux audité.

- WireX : Immunix, distribution Linux orientée sécurité : SubDomain pour restreindre les fichiers accessibles à un programme, StackGuard et FormatGuard pour les bugs dus à des dépassements de buffer et les chaînes de formatage.

- openwall : piles user non exécutable, plus de liens et pipes dans /tmp

- Argus PitBull LX : Discretionary Access Control, restrictions à l'accès aux devices et aux ports (flexible, moins lourd qu'un chroot). Attention, kernels binaires seulement !

- NSA SELinux : similaire à PitBull, mais PitBull ressemble un peu à l'inspecteur gadget de la sécurité tandis que les patches de la NSA ont apparemment un design plus cohérent, j'ai l'impression que les designers ont une "big picture" du noyau, mais c'est plus délicat à paramétrer.

- LIDS : bloque certains éléments de configuration qui ne sont plus modifiable sans un accès physique à la machine.

- Medusa DS9 : plus ou moins la même chose que les précédents ?


L'auteur annonce un article "Why Linux Will Never be as Secure as OpenBSD" pour la semaine prochaine, donc il ne faut prendre le titre provocateur au pied de la lettre.

Personnellement j'ai participé au crack contest openhack sur une machine avec PitBull LX et j'ai été impressionné par sa résistance, un hacker a pu avoir un shell root avec un exploit connu mais n'a pas pour autant pu créer le fichier demandé dans la racine à cause du Discretionary Access Control.

Apparemment la sécurisation globale d'un système passe par la mise en place de tels mécanismes qui n'ont pas les limites du "Mandatory Access Control", on ne peut pas tout faire à coups de chmod.

> Lire la dépêche (45 commentaires, moyenne: 0,6).  

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Troll ??

Posté par Blackknight (Jabber id, page perso, ) le 11/05/2001 à 08:54. (lien). Évalué à 1.

C'est peut-être pas un troll mais ça y ressemble un peu quand même.
Ceci dit, j'étais en train de lire l'article et j'ai été interrompu par le téléphone donc j'y retourne mais rien que le titre est fait pour troller à mort. Faites donc gaffe aux titres que vous donnez aux news (quoique des fois, il y a que comme ça qu'on attire les commentaires).

A ce sujet

Posté par Anonyme () le 11/05/2001 à 09:00. (lien). Évalué à 0.

Chaque système a du bon et du moins bon en sécurité. Et puis si OpenBSD a moins d'outils de sécurité que Linux, c'est ptet parce qu'il en a moins besoin ;)

Pour la semaine prochaine on a déjà le titre...

Posté par un nain_connu () le 11/05/2001 à 09:09. (lien). Évalué à 1.

A la fin de l'article : Next week: "Why Linux Will Never be as Secure as OpenBSD".

Article à lire

Posté par Blackknight (Jabber id, page perso, ) le 11/05/2001 à 09:09. (lien). Évalué à 1.

Cet article a le mérite de présenter des outils Linux de sécurisation pas forcément connus mais intéressants. De là à faire cette présentation sur fond de lutte fratricide entre *BSD et Linux, fallait oser. Peut-être que cela tend à prouver qu'OpenBSD était une référence en matière de sécurité et que la comparaison était bonne.
J'attends en tous les cas l'article de la semaine prochaine Why Linux will never be as secure as OpenBSD pour voir ce qu'il va donner.

OpenBSD secure par défaut

Posté par orebokech () le 11/05/2001 à 09:25. (lien). Évalué à 1.

Je crois que l'auteur de la news a pas trop compris la signification du 'Secure par défaut' de OpenBSD... Le fait est que OpenBSD est bien plus sécurisé après l'installation qu'une distribution de Linux moyenne.
Exemple : sur un campus où toutes les machines sont reliées au réseau et ont une ip fixe, tu n'as pas idée du nombre de boulets qui installent une Mandrake et qui laissent un nombre incalculable de ports ouverts, menaçant leur machine et tout le réseau par la même occasion. Quand tu n'y connais rien, tu ne choisis pas forcément le niveau 'Sécurité maximale' de Mandrake...
Donc
=> pour un utilisateur expérimenté, il y a moyen d'atteindre un niveau de sécurité comparable avec tous les OS (que ce soit avec Linux, OpenBSD ou FreeBSD)
=> pour un néophyte, OpenBSD est bien plus sécurisé par défaut.

Mais le problème est que les néophytes n'installent pas OpenBSD :o)

Feebsd et autre c'est que pour debuter...

Posté par Anonyme () le 11/05/2001 à 10:52. (lien). Évalué à 0.

ces plateformes, proche d'unix, sont des vraies passoir a hacker.

L'objectif final c'est de connaitre BSD pour mieux comprendre Linux...

Appelons un chat, un chat

Posté par miod () le 11/05/2001 à 13:01. (lien). Évalué à 1.

On peut résumer le propos de Kurt au point suivant :
- Linux, comme OpenBSD sont des systèmes de classe C, comme tous les Unix ;
- il existe des extensions sur Linux qui lui permettent d'atteindre la classe B, ce qu'on appelle en anglais non pas les «secure» operating systems mais les «trusted» operating systems.

Donc, effectivement, il est possible de rendre un système Linux plus «pointu» en terme d'authentification, droits des utilisateurs, etc.

D'un autre côté, s'il existe des problèmes sous-jacents (on peut par exemple penser au bug dans la gestion des capacités dans les noyaux Linux <= 2.2.18), la sécurité est toute relative, et c'est peut-être l'objet de la «revanche» dans son article de la semaine prochaine.

Que conclure de l'article ?

Que si vous avez des besoins en sécurité pour lesquels un système de classe C ne suffit pas, vous avez tout intérêt à préférer Linux à OpenBSD, car pour l'instant il n'existe pas de « chemin de migration» possible pour OpenBSD. Ceci pourrait changer si des projets comme TrustedBSD étaient menés à terme et portés sur OpenBSD, mais c'est loin d'être encore le cas.

Pas la peine de crier au troll pour cela...

Revenir en haut de page