Dan Walsh (avec l'aide d'autres évidemment) a fait un joli, mais surtout sûr, kiosque pour Linux. Un kiosque ou un compte anonyme.
Ainsi votre bécane est accessible à tout le monde (voilà qui est dans l'esprit du libre :-). Tout le monde peut se logguer (que via [xg...]dm), il n'y a pas de mot de passe. On clique sur "x guest user" et voila.
Jusqu'ici, ça n'a rien d'impression :-)
Mais, le compte est sûr aussi pour les autres comptes. Imaginez que vous avez mis de document confidentiel dans /tmp pour le partagé avec d'autres utilisateurs (fichier peut-être lisible par tout le monde (mode o+r)). L'utilisateur du kiosque ne le verra pas. Il ne pourra pas non mettre des fichiers dans /tmp qui seraient vus par d'autres utilisateurs. xguest (c'est le nom du compte) a son propre /tmp, /var/tmp, etc. Les programmes suid ne sont pas accessibles par xguest. Si par "bêtise" ou convenance vous avez fait un "chmod o+r ~", ce n'est pas grave, xguest ne pourra pas lire ce qu'il y a chez vous.
Le compte xguest est déduit à chaque logout et recréé à chaque login (il y a ainsi sécurité entre personnes qui utilisent le compte).
Il peut être configurer pour autorisé Firefox a utiliser le réseau (uniquement le firefox installé sur la bécane, pas un firefox que l'utilisateur aurait downloadé).
Il peut aussi supporté les périphérique amovible type usb pour que l'utilisateur anonyme sauvegarde ses donnés.
Le compte xguest peut-être configuré par l'administrateur avec saboyon (si le compte utilise Gnome ce qui est actuellement le cas) :
http://www.gnome.org/projects/sabayon/
Cerise sur le gateau, on peut aussi utiliser xguest depuis fast-user-switch-applet. Donc si on veut tester une applie douteuse, on bascule sur le compte xguest en 1 clique (voir 2 maxi).
Ça utilise pam (pam_selinux_permit et pam_namespace notamment) et le génialissime SeLinux (c'est vendredi). Si SeLinux n'est pas en mode actif, le compte xguest n'est pas accessible.
Plus de détails par Dan Walsh en personne :
http://danwalsh.livejournal.com/13376.html?thread=100672
Les utilisateurs de F8 peuvent tester ça avec, par exemple, un "yum install xguest".
Journal Kiosque
11
jan.
2008
# Sécurité...
Posté par Pinaraf . Évalué à 2.
Et ça protège comment d'une faille dans SELinux ?
[^] # Re: Sécurité...
Posté par IsNotGood . Évalué à 0.
Mieux, passe le au broyeur.
[^] # Re: Sécurité...
Posté par GnunuX (site web personnel) . Évalué à 1.
> peuvent exister ? Ou les déni de service en provoquant un petit kernel panic, ou ce
> genre de choses...
Je suppose que tu n'as pas le choix des logiciels que tu peux utilisé. Dans ce cas, il devient difficile de lancer des exploits sans accès à une console et sans la possibilité d'exécuter des programmes externes.
[^] # Re: Sécurité...
Posté par IsNotGood . Évalué à 1.
Il demande si ça protêge lorsque les systèmes de protection sont contournés.
Que dire à part que lorsque les systèmes de protection sont contournés, ça ne protège plus.... Par définition.
C'est comme ça pour tous les systèmes.
M'enfin xguest est actuellement implémenté sous Fedora. Et Fedora est probablement l'une des distributions les mieux dotées en protection (SeLinux de base ! et beaucoup plus) :
http://www.awe.com/mark/blog/200801070918.html
Puisque ça ne lui suffit pas, ben qu'il passe sa bécane au boyeur.
[^] # Re: Sécurité...
Posté par Pinaraf . Évalué à 1.
Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).
[^] # Re: Sécurité...
Posté par IsNotGood . Évalué à 1.
Ben n'aimes toutes connections au réseau etc...
Avec bittorrent (ou n'importe quoi) tu n'es pas à l'ablis "d'élevation de privilège qui peuvent exister, Ou les déni de service en provoquant un petit kernel panic, ou ce genre de choses..."
> Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).
Alors casse toi avec ta petite vision.
D'autres "fans" d'autres distributions sont moins cons. Ils vont se dire que c'est intéressant et le mettre dans leur distribution. C'est toute l'intention de mon journal. Faut être très cons pour refuser les bonnes idées des autres.
[^] # Re: Sécurité...
Posté par GeneralZod . Évalué à 2.
Supposons qu'un client passe dans une boite et veut aller sur le net, je préfère lui filer un compte type Xguest sachant que contrairement aux solutions existantes, SELinux veillera au grain.
Hein, SELinux n'est pas une technologie jouet, ça a fait ses preuves pendant plus d'une décennie (SELinux a été conçu sur Mach avant d'être porté sur Linux), et on compte plus les failles qui sont bloqués par lui que ce soit sous Fedora, Debian ou toute distro qui l'implémente.
Si SELinux tombe -faut être sévérement burné déjà pour y arriver- ben, tu auras ni plus ni moins de sécurité qu'ailleurs.
> Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).
En gros, si une bonne technologie provient de Fedora, tu préféres t'en passer ? J'en ai rien à battre si tu veux retourner en 2003.
[^] # Re: Sécurité...
Posté par Pinaraf . Évalué à 2.
Non bien sûr, mais laisser un compte anonyme ouvert en permanence, comme évoqué dans le journal, ça pas question.
En gros, si une bonne technologie provient de Fedora, tu préféres t'en passer ?
C'est juste que des conneries comme Et Fedora est probablement l'une des distributions les mieux dotées en protection j'appelle ça de la propagande.
[^] # Re: Sécurité...
Posté par IsNotGood . Évalué à 0.
C'est un compte uniquement accessible que si tu as un accès physique à la bécane. Si quelqu'un est vraiment malveillant, il a meilleur temps de la faucher.
Si c'est la bécane que tu as chez toi, j'imagine que ce n'est pas n'importe qui vient chez toi.
Enfin SeLinux a du "workflow". Je ne sais pas si c'est actuellement implémenté pour xguest, mais SeLinux peut attacher l'information "xguest" au paquet ip qui sont envoyé par l'utilisateur xguest. Dans une entreprise, les routeurs et autres firewall feront le tri.
> Et Fedora est probablement l'une des distributions les mieux dotées en protection j'appelle ça de la propagande.
Ce n'est pas de la propagande, c'est un fait :
http://www.awe.com/mark/blog/200801070918.html
* Firewall by default
* Signed updates required by default
* NX emulation using segment limits by default
* Support for Position Independent Executables (PIE)
* Address Randomization (ASLR) for Stack/mmap by default
* ASLR for vDSO (if vDSO enabled)
* Restricted access to kernel memory by default
* NX for supported processors/kernels by default
* Support for SELinux
* SELinux enabled with targeted policy by default
* glibc heap/memory checks by default
* Support for FORTIFY_SOURCE, used on selected packages
* All packages compiled using FORTIFY_SOURCE
* Support for ELF Data Hardening
* All packages compiled with stack smashing protection
* SELinux Executable Memory Protection
* glibc pointer encryption by default
* FORTIFY_SOURCE extensions including C++ coverage
Ajoutons aussi la signature des modules qui n'est pas indiquée dans cette liste. Si un cracker arriver un déposer un module sur ta bécane, il ne pourra pas le charger. Notons que c'est désactivé par défaut (sinon on ne peut pas charger les modules compilé par des tiers de confiance (on peut toujours le faire en ajoutant les clées publiques qui vont bien, mais c'est assez compliqué à faire).
Pour xguest ici présenté, il n'y a qu'a faire "yum install xguest". Sur d'autres distribution ça serait une toute autre affaire.
Tu connais des distributions qui font mieux ?
Et notes bien que l'"exploit" ici n'est pas d'empiler des "trucs", mais aussi de les déployer sans (trop de) douleur dans une distribution généraliste.
M'enfin, tu peux continuer de mettre la tête dans le sable à chaque fois que tu entends quelque chose qui ne te plait pas.
[^] # is not good & la logique lexicale
Posté par ZeroHeure . Évalué à 2.
Non, pas du tout. Qu'est-ce que ça prouve de faire une liste des protections de Fedora ? Quand tu fais une comparaison il faut, eh bien ça à l'air bête n'est-ce pas ? il faut comparer... Et il me semble bien que là tu fais une comparaison:
"La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
[^] # Re: is not good & la logique lexicale
Posté par Pinaraf . Évalué à 1.
Rappel :
propagande : Action systématique exercée sur l'opinion pour faire accepter certaines idées ou doctrines, notamment dans le domaine politique, social... [source : petit larousse grand format, ed. 1993]
ou encore :
propagande : art de propager à grande échelle des informations, fausses ou non, mais toujours partiales.
[^] # Re: is not good & la logique lexicale
Posté par Philip Marlowe . Évalué à 3.
Plutôt que son propagandiste, IsNotGood est seulement extrêmement admiratif de Fedora. L'admiration et l'enthousiasme, c'est positif, c'est bien, ça fait avancer les choses. Il n'a pas dit que les autres distributions sont minables à ce sujet.
[^] # Re: is not good & la logique lexicale
Posté par ZeroHeure . Évalué à 2.
Après qu'il soit reparti dans des trucs agaçant (l'une des distributions les mieux dotées en protection) tu y est pour quelque chose :-)
"La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
[^] # Re: is not good & la logique lexicale
Posté par Pinaraf . Évalué à 1.
[^] # Re: is not good & la logique lexicale
Posté par ZeroHeure . Évalué à 1.
faudrait relancer la méthode patrick_g (cf Appât-à-IsNotGood)
"La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
[^] # Re: is not good & la logique lexicale
Posté par IsNotGood . Évalué à 1.
Pour "rappel", j'ai dit "Fedora est probablement l'une des distributions les mieux dotées en protection" dans un message d'un thread en réponse à un autre message. Je ne l'ai pas fait dans le journal, si dans tous les messages. Ce n'est pas systématique.
Autre "rappel", j'ai dit "probablement".
Autre "rappel", je n'ai jamais dit que le niveau de sécurité de Fedora était indispensable et n'ai jamais dit qu'une distribution qui n'avait pas le niveau de Fedora était une distribution "dangereuse" ou que ses utilisageurs étaient en danger.
Etc...
DONC CE N'EST PAS DE LA PROPAGANDE..
Dit que ça te fatique, que ça t'énerve, etc mais ce n'est pas de la propagande.
[^] # Re: is not good & la logique lexicale
Posté par IsNotGood . Évalué à 1.
J'ai dit "probablement".
Mais fait la comparaison. Tu arriverais à "certainement" que ça ne serait pas étonnant.
# intéressant mais...
Posté par matthieu bollot (site web personnel, Mastodon) . Évalué à 1.
En revanche, pour le journal, s'il te plaît IsNotGood, relis-toi !
_UNE_ perle (parmis d'autres) : "Il peut être configurer pour autorisé "
[^] # Re: intéressant mais...
Posté par IsNotGood . Évalué à 2.
Sans perle, ce n'est plus un journal IsNotGood.
[^] # Re: intéressant mais...
Posté par IsNotGood . Évalué à -1.
Pour la petite histoire.
J'allais me relis évidemment. Mais le correcteur orthographique a changé et il souligne en petit pointillé rouge les mots douteux. Esthétiquement c'est mieux. Mais c'est peu visible et ça m'a gonflé. J'ai "donc" validé le journal sans le relire.
[^] # Re: intéressant mais...
Posté par BAud (site web personnel) . Évalué à 2.
En revanche il est hyper-joli et contrairement au style précédent, il ne cache pas quand un mot a un lien (ce qui était le cas auparavant à mettre les caractères en rouge gras et était très pénibles pour les relectures de dépêches).
[^] # Re: intéressant mais...
Posté par IsNotGood . Évalué à 1.
J'étais mal luné. C'est tout.
[^] # Re: intéressant mais...
Posté par Serge Julien . Évalué à 5.
# Question
Posté par Anonyme . Évalué à 3.
http://extragear.kde.org/apps/kiosktool/
[^] # Re: Question
Posté par IsNotGood . Évalué à 2.
Ça pourrait marcher avec KDE ou autre sans trop de boulot. Mais actuellement c'est que Gnome. Tout patch est le bienvenu.
> quelle est la différence avec le vénérable et bien plus ancien KDE kiosktool ?
Je crois que tu confonds kiosktool et sabayon.
xguest (le projet décrit dans ce journal) peut aussi profiter à KDE. L'administrateur utilisera alors kiosktool.
Relis attentivement :
http://danwalsh.livejournal.com/13376.html?thread=100672
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.