Forum général.général l'utilité d'un firewall

Posté par  (site web personnel) .
Étiquettes : aucune
0
18
août
2004
De nos jours, et particulièrement en ces temps d'upgrade de Windows XP avec le SP2, on entend parler de l'extrême importance d'avoir un firewall sur sa machine.

Personnellement, je comprends parfaitement l'utilité d'un firewall placé sur un serveur d'entreprise, afin que certains ports derrière lesquels se trouvent des services qui peuvent potentiellement présenter un jour un problème de sécurité, soient en accès restreint (par exemple sur une liste précise d'IPs de clients de l'entreprise).

Par contre, là où je ne comprends plus, c'est l'utilité d'un firewall configuré automatiquement (par Windows ou par une distribution Linux), et pour un utilisateur personnel.

- puisque configuré automatiquement, je ne vois pas ce qu'il va pouvoir faire de bien utile - sauf bien sûr si des services non prévus sont en fait actifs sur la machine, et dans ce cas-là il va en bloquer l'accès pour quiconque, mais plaçons-nous hors de ce cas de figure antédiluvien en ce qui concerne Linux, et probablement Windows aussi.

- pour un utilisateur personnel, ça correspond encore moins.. de toutes façons quels services seront à l'écoute et nécessaire de protéger ? aucun dans une utilisation traditionnelle bureautique/internet..

  • # Une hypothèse

    Posté par  . Évalué à 3.

    Bonne question, je n'avais pas vu la chose sous cet angle.

    D'un autre côté, il semble bien, d'après : http://linuxfr.org/~skeespin/14980.html(...) , qu'un tel pare-feu soit nécessaire (sous Windows, s'entend).

    Donc je suppose que, dans sa configuration par défaut, Windows active certains services, du genre ssh (ou son équivalent dans le monde Microsoft), ou finger, ou autres. Ce qui me semble assez déplacé dans le cas d'un ordinateur de bureau.

    En conclusion, je pense qu'un firewall n'est nécessaire que lorsque Windows est installé avec une mauvaise configuration. Ce qui devient assez intéressant, puisque cela signifierait, pour les Windowsiens, qu'ils n'ont pas besoin d'investir dans des firewalls logiciels coûteux, parce qu'il leur suffit de reconfigurer leur système...

    Si c'est vrai, Symantec va t'en vouloir de l'avoir révélé ;-) .

    • [^] # Re: Une hypothèse

      Posté par  (site web personnel) . Évalué à 1.

      pour faire plaisir a Symantec, je rajouterais Kerio qui fait a la fois du firewall logiciel et par port/adresse et qui est gratuit pour le particulier.

    • [^] # Re: Une hypothèse

      Posté par  (site web personnel) . Évalué à 0.

      Effectivement un systeme a jour et un attention sur les pieces jointes et autre fichier rapporté peut eviter la grande majorité des virus et je parle par experience personnel, avec de longues années (genre 95=>2002) sous windows sans probleme de virus et sans antivirus ni firewall (les quelque fois ou j'ai passer un antivirus par peur de contamination il n'a rien trouvé).

  • # Virus, trojan et attaque...

    Posté par  (site web personnel) . Évalué à 3.

    Je crois qu'un des ex dernier virus a la mode se propagais par le reseau sur un port ouvert des windows (134 je crois). Dans le cas ou tu a un firewall, meme configurer automatiquement qui ne laisse entré que ce qui a ete demandé par exemple et bien le virus ne peut entrer.
    De meme dans le cadre d'un virus se progageant avec son MTA (mail transefert agent) si la personne la machine est infecté mais que seul un logiciel a le droit d'utiliser le service smtp, ledit virus ne pourat envoyer ca progeniteur par dela le net et ne contaminera personne d'autre.
    Un trojan est instalé et passe par le port x, si le firewall l'interdit de base, hop inutil le trojan.
    De meme le nombre de port ouverts de base pour des services potentiellement utilisé (c'est plus facil a mettre actif par defaut) et reguler par firewall peuvent se montrer important notament sur les systeme ou l'utilisateur doit avoir le moins de manip a faire (typiquement windows)

    Globalement parlant le firewall sert a ajouter une couche de protection suplementaire visant a proter des failles existantes (si pas encore corrigé) ou potentielles.

    • [^] # Re: Virus, trojan et attaque...

      Posté par  . Évalué à 5.

      Oui, mais qu'est-ce que ça veut dire, un "port ouvert" ?

      Bon, port ouvert, en sortie, je comprends, cela signifie que le système accèpte que les logiciels créent des sockets qui communiquent par ce port. Mais quid de l'entrée dans la machine par un port dit "ouvert"?

      Si aucun processus n'est à l'écoute du port, ce qui devrait à priori être le cas du port 134 sur une machine de bureau (où, à mon avis, il n'y a aucune raison valable pour qu'un programme se mette à l'écoute d'un port quelconque s'il n'est pas initiateur de la connection), le port est certes ouvert, mais le virus ne peut s'en servir (les données reçues sur ce port seront ignorées par le système).

      Bon, évidemment, s'il y a une faille dans TCP/IP ou UDP/IP ou autre, d'accord, je comprends qu'un virus puisse réussir une mauvaise blague (puisque cela interviendrait avant la suppression des données), mais je ne crois pas que Windows ait (actuellement) de problème de ce côté-là.

      D'autant que si tous les virus se propageaient en exploitant des faiblesses de ce type, il faudrait qu'il en existe des milliers, et suffisamment différentes les unes des autres pour que Microsoft ne parvienne pas à toutes les corriger d'un seul coup... Pas très réaliste.

      Donc il doit s'agir d'applications démarrées par le système, par suite d'une mauvaise configuration.

      • [^] # Re: Virus, trojan et attaque...

        Posté par  . Évalué à 2.

        Oui, mais qu'est-ce que ça veut dire, un "port ouvert" ?

        Bon, port ouvert, en sortie, je comprends, cela signifie que le système accèpte que les logiciels créent des sockets qui communiquent par ce port. Mais quid de l'entrée dans la machine par un port dit "ouvert"?

        Si aucun processus n'est à l'écoute du port, ce qui devrait à priori être le cas du port 134 sur une machine de bureau (où, à mon avis, il n'y a aucune raison valable pour qu'un programme se mette à l'écoute d'un port quelconque s'il n'est pas initiateur de la connection), le port est certes ouvert, mais le virus ne peut s'en servir (les données reçues sur ce port seront ignorées par le système).
        Je pense qu'il est effectivement important d'insister sur ce point.
        Le "mythe du port ouvert" est très répandu chez les windowsiens, y compris chez les utilisateurs un peu plus compétents que la moyenne. Ils pensent que le seul fait qu'un port ne soit pas bloqué par un firewall peut permettre à des intrus de passer, comme par magie. Comme si leur système était un trou béant ouvert à tous les vents, aspirant tout ce qui passe dans le coin. Quand on a appris le fonctionnement de TCP/IP sans avoir utilisé ms windows sur Internet auparavant, il est difficile d'imaginer que des gens puissent avoir des idées aussi saugrenues mais c'est pourtant le cas.
        Bien entendu les éditeurs de logiciels de ce secteur se gardent bien de dissiper ce genre de croyances populaires. C'est comme s'ils révélaient aux gens qu'arrêter d'utiliser ms outlook et msie est bien plus effiface qu'utiliser leurs produits...

        • [^] # Re: Virus, trojan et attaque...

          Posté par  . Évalué à 3.

          Par port ouvert, d'habitude, on comprend plutôt « qu'il y a quelqu'un au bout du fil», qu'un logiciel écoute à ce port et pas simplement un port non filtré par un firewall. Sinon on dira plutôt fermé, l'OS aura repondu « Le numéro que vous avez demandé n'es pas attribué actuelement »

          « Ils [ les Windowsiens ] pensent que le seul fait qu'un port ne soit pas bloqué par un firewall peut permettre à des intrus de passer, comme par magie. »

          Peut-être parce que dans ce cas c'est leur OS qui répond et qu'ils ne font pas entierement confiance à leur OS ?
          Peut-être c'est parce que leur OS leur a joué de mauvais tour par le passé ? ;-)

          En tout cas plus de paranos ça veut dire moins de serveur mail open relay, moins spam donc, moins de vers, moins d'attaque DDOS, finalement ça serait pas si mal que ça si le « mythe du port ouvert » etait aussi répandu que ce que tu a l'air de croire. Les windowsiens qui bidouillent leur « personal firewall » et qui font des scans régulierement chez sygate.com, ce sont des futurs linuxiens :) Les vrai windosiens pur et dur, ils s'en tapent d'avoir un firewall (c'est quoi d'ailleurs un firewall ?). Ils ne savent même pas qu'ils ont un IIS et plein d'autres daemon qui marchent en permanance...

          • [^] # Re: Virus, trojan et attaque...

            Posté par  (site web personnel) . Évalué à 1.

            Voila, c'est exactement ce que j'entend part port ouvert : tout port ou ta machine repond i.e. ou il y a un service actif/un logiciel qui repond. Apres il peut etre bloqué par le firewall ou non.
            Exemple bete, le port 80 est ouvert si apache ecoute dessus par exemple, apres tu peut le laisser accessible pour le reseau interne et pas pour le reseau externe grace au firewall.

    • [^] # Re: Virus, trojan et attaque...

      Posté par  (site web personnel) . Évalué à 1.

      Par firewall (sous vindaube) il faut entendre firewall niveau logiciel : Je m'explicite :
      Le lambda user, sur les conseils avisés de son amis l'informaticien Robert a installé le dernier [Zonealarm|Kerio|KasperskyAnti-Hacker] et se croit maintenant à l'abris...

      De deux choses l'une :
      1) Ces firewall ne sont pas appropriés à un utilisateur qui a la clickomania (il suffit de lancer un scan de port sur ce genre de station pour que l'utilisateur clique sur "Allow Transaction" au bout du 20ème popup!)
      2) Ces firewall sont vulnérables à l'injection de code ( on crée un thread IE et l'on n'a plus de problème de l'ordre du firewall ). En effet, qui n'a pas encore donné tous les droits à 'iexplore'?

      Pour toutes ces raisons, ce genre de firewall me paraît inutile...

      PS: J'ai déja vu des trojans utiliser les techniques d'injection de code via un thread de IE...

      Maintenant que UPnP existe, le nat ne protège même plus l'utilisateur qui est derrière son modem-routeur (Je connais des périph. dont la config par défault autorise les requètes UPnP à partir du port WAN!!!! Où va le monde?)

      J'en suis amené a me poser une question subsidiaire : A quand le premier trojan publique qui utilisera l'UPnP ?

      • [^] # Re: Virus, trojan et attaque...

        Posté par  . Évalué à 2.

        1) Ces firewall ne sont pas appropriés à un utilisateur qui a la clickomania (il suffit de lancer un scan de port sur ce genre de station pour que l'utilisateur clique sur "Allow Transaction" au bout du 20ème popup!)

        Encore un problème situé entre la chaise et le clavier... Bref, si je comprends bien, dans ce cas précis, le pare-feu ajoute un danger, puisque, sans lui, le système ignorerait toutes les requêtes extérieures silencieusement!

        2) Ces firewall sont vulnérables à l'injection de code ( on crée un thread IE et l'on n'a plus de problème de l'ordre du firewall ). En effet, qui n'a pas encore donné tous les droits à 'iexplore'?

        Euh, là, je ne te suis pas... Qu'appelles-tu "un thread ie" ?

        Si c'est "une thread", ben, si tu es parvenu à prendre le contrôle d'ie au point de lui faire exécuter les appels-système que tu veux, mieux vaut créer directement une socket et se mettre à l'écoute d'un port. D'un autre côté, ça n'explique pas comment tu as pris ce contrôle.

        A moins que tu ne parles d'autre chose?

        • [^] # Re: Virus, trojan et attaque...

          Posté par  (site web personnel) . Évalué à 2.

          Je parle bien du thread au sens courant :
          Il est possible de faire exécuter n'importe quoi comme processus fils de IE (cf misc n°5 pour les détails - http://www.miscmag.com/articles/index.php3?page=600(...) -). Or, les firewalls applicatifs font des vérifications d'intégrité des programme qu'ils 'autorisent' (md5 à la con du '.exe') ; L'avantage est que cette opération se fait en mémoire et donc, bien entendu, on peut ouvrir un socket ... autorisé ... voire même installer un trojan en tant que fils de IE. La seul limitation à la chose est que si l'on tue le père...

          J'ai vu un trojan qui utilisait cette technique circuler sur Freenet ( www.freenetproject.org ) : un prog. "infecte" IE a tous les boots...


          Désolé, mais j'ai pas le temps de développer ... en espérant que tu aît compris le fond de ma pensée...

    • [^] # Re: Virus, trojan et attaque...

      Posté par  (site web personnel) . Évalué à 3.

      Je crois qu'un des ex dernier virus a la mode se propagais par le reseau sur un port ouvert des windows (134 je crois). Dans le cas ou tu a un firewall, meme configurer automatiquement qui ne laisse entré que ce qui a ete demandé par exemple et bien le virus ne peut entrer.

      De deux choses l'une : ou ce service est utile, et alors le firewall va supprimer la fonctionnalité de ce service, donc on corrige le mauvais problème ; ou ce service est inutile, et alors le firewall bloque quelque chose qu'on pourrait tout simplement désactiver/enlever, donc on corrige encore une fois le mauvais problème.[1]

      De meme dans le cadre d'un virus se progageant avec son MTA (mail transefert agent) si la personne la machine est infecté mais que seul un logiciel a le droit d'utiliser le service smtp, ledit virus ne pourat envoyer ca progeniteur par dela le net et ne contaminera personne d'autre.

      Question de neuneu peut-être mais : ce virus possède l'identité de Outlook Express quand il envoie sa progéniture non ? Il n'est pas exécuté "comme un script" ou un handler d'attachement par outlook ?

      De meme le nombre de port ouverts de base pour des services potentiellement utilisé

      Dans le cas "utilisation traditionnelle bureautique/internet" je ne vois pas quels ports l'utilisateur a besoin d'ouvrir ? À part le p2p peut-être, mais c'est pas de l'utilisation traditionnelle d'internet ça :) Pour les jeux en réseau, tous les joueurs se connectent au serveur il me semble, il n'y a pas de connexion directe (ça permet entre autre d'éviter les emmerdements avec les réseaux NATtés d'ailleurs).


      [1] en pratique, il peut se présenter deux autres cas de figure :

      - ce service est utile pour la machine elle-même, et inutile pour l'extérieur, et présente un problème potentiel de sécurité ; mais ce cas est parfaitement traité par l'utilisation de INADDR_LOOPBACK (le kernel n'accepte de connexion sur ce port que depuis 127.0.0.1)

      - ce service est utile pour le réseau local (de confiance) et inutile pour l'extérieur ; mais dans ce cas de figure, tout réseau qui se respecte étant en NAT, personne ne peut se connecter sur une machine donnée depuis l'extérieur s'il n'y a pas une règle particulière sur le routeur pour faire cela, donc cas traité aussi

  • # Chez moi, j'en ai pas.

    Posté par  (site web personnel) . Évalué à 1.

    Salut,
    Sous linux en tout cas, sur mon ordi personnel, je ne met pas de firewall. Tout simplement parceque
    - personne m'en veux
    - Je n'est pas de données personnelle, importante sur mon ordi personnel
    - Je n'ai rien a cacher
    Je sais bien qu'on peut lancer des attaque de ma machine, toussa, mais bon ...

    J'ai juste les services qui me servent qui sont ouverts, a part ca si quelqu'un veut entrer dans ma machine pour fouiller mes films, musiques il n'a qu'a demander ca va beacoup plus vite que de cracker ma machine.

    Peut etre qu'un jour je reviendrais de cet avis, mais a l'heure actuelle, mon pc n'est pas surprotégé, et ca me va bien.
    Voila, c'est un peu ma vie mais bon, je voulais donner mon avis sur le sujet :)

    • [^] # Re: Chez moi, j'en ai pas.

      Posté par  . Évalué à 2.

      > - personne m'en veux

      1. on peux te hacker juste pour le fun
      2. on peux se servir de ta machine comme relais.
      "tu" n'es pas forcément la cible

      > - Je n'est pas de données personnelle, importante sur mon ordi personnel

      attends d'avoir un gros crah, de perdre tous tes films et ta musique, tu verras ;-)

      > - Je n'ai rien a cacher

      tu as les originaux de tous tes divx et mp3 ? :-)

    • [^] # Re: Chez moi, j'en ai pas.

      Posté par  . Évalué à 0.

      -personne m'en veux: c'est très commode de faire des bétises depuis la machine de quelqu'un d'autre
      -Je n'est pas de données personnelle, importante sur mon ordi personnel: as-tu un backup ? Combien de temps te faudra-t-il pour relancer ta machine 'from scratch ?'
      -Je n'ai rien a cacher: un pirate pourrait placer des warez ou autres joyeusetés sur ton disque dur, puis activer un serveur ftp sur ta machine, et tu te demanderais ensuite pourquoi l'accès réseau est devenu si lent ...

      • [^] # Re: Chez moi, j'en ai pas.

        Posté par  (site web personnel) . Évalué à 2.

        Je suis pas SM non plus : si un serveur ftp est ouvert, si ma connection ralentit, je le saurais quand meme.
        Sinon, j'ai des backup régulier de mon home.
        Je voulais juste dire que pour un ordi personnel, je ne m'occupe vraiment pas de la sécurité.
        Si mon ordi est planté, pas grave. C'est sur que je prend des risques, j'en suis conscient, mais j'ai pas envie de configurer un firewall qui ne serviras certainement pas. Combien de fois avez vous été attaqué sur vos ordis personnel ? (sans provocation bien sur : dire 'mon ordi est hyper sécurisé' sur irc sur un chan de hacker c'est sur que ca entraine des attaque :)

        • [^] # Re: Chez moi, j'en ai pas.

          Posté par  (site web personnel) . Évalué à 4.

          j'ai pas envie de configurer un firewall qui ne serviras certainement pas
          Je suppose que t'as pas envie de mettre une ceinture de sécurité qui ne te servira certainement pas non plus.

          pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

        • [^] # Re: Chez moi, j'en ai pas.

          Posté par  . Évalué à 2.

          Je connais une personne qui a reçu une visite de la DST: les stations de travail de son labo avaient été piratées et utilisées pour attaquer un site militaire français. En tant que responsable du labo, il a été poliment mais fermement prié de veiller à ce que ce genre de mésaventure ne se produise plus.

          Sans verser dans la parano, il faut savoir que le piratage existe. Le pirate qui rentre sur une machine ne désire qu'une chose: utiliser ses ressources. En général, ils utilisent des programmes qui scannent automatiquement des groupes d'addresses et recherchent des vulnérabilités connues.

          C'est comme dans la vie courante: on ferme la porte de sa maison à clé, on ne laisse pas de véhicule sans surveillance le moteur tournant, etc. Une machine vérolée peut causer beaucoup de problèmes à son utilisateur/gestionnaire/propriétaire.

    • [^] # Re: Chez moi, j'en ai pas.

      Posté par  . Évalué à 4.

      Si ça vous intéresse, j'ai mis au point un firewall surpuissant sous Linux. Il s'appelle "ifconfig eth0 down" ;-) (répéter la manipulation pour les autres interfaces).

      Seul défaut, il est parfois un peu trop puissant, mais qu'est-ce qu'il est sûr, alors! :-)

  • # bloquer les communications *sortantes*

    Posté par  (site web personnel) . Évalué à 2.

    Je pense que l'intérêt d'un firewall sur un poste Windows pour utilisateur "de base", c'est aussi de bloquer les communications sortantes illégitimes. Genre troyens, spywares,... Même si c'est souvent contournable, c'est une couche de sécurité en plus comme l'a dit quelqu'un d'autre.

    pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

    • [^] # Re: bloquer les communications *sortantes*

      Posté par  (site web personnel) . Évalué à 2.

      Ok, bloquer l'ouverture de ports hauts par des programmes non sollicités. Je n'avais pas pensé à cela au début (ça fait trop longtemps que je n'ai pas utilisé Windows sûrement).

      Donc ce cas de figure est totalement inutile si on utilise Linux (en tous cas pour l'instant). Ça ne résoud pas ma question car sous Linux aussi on "conseille fortement l'utilisation d'un firewall".

      • [^] # Re: bloquer les communications *sortantes*

        Posté par  . Évalué à 2.

        Donc ce cas de figure est totalement inutile si on utilise Linux (en tous cas pour l'instant).

        Ben pourquoi? Si un programme parvient à pénétrer et à s'exécuter dans ta machine, il peut aussi créer une socket sur le port de son choix, non?

        Mais j'en reviens à ma remarque, à savoir que les firewalls sont utiles pour empêcher un code malicieux de sortir de votre machine, mais pas pour l'empêcher d'y entrer.

        Si quelqu'un a un avis différent...

        • [^] # Re: bloquer les communications *sortantes*

          Posté par  (site web personnel) . Évalué à 2.

          C'est pour cela que j'ai mis "pour l'instant". C'est-à-dire que pour l'instant je n'ai jamais eu connaissance d'un programme qui peut pénétrer et s'exécuter sur une machine Linux (sans service activé). Ça pourra peut-être arriver dans l'avenir, cependant.

          • [^] # Re: bloquer les communications *sortantes*

            Posté par  . Évalué à 2.

            Je te le code tout de suite, et je te l'envoie par mail. Tu sera gentil de bien vouloir exécuter le fichier attaché, après l'avoir mis setuid root, hein, dis ? ;-)

            (Et si sendmail n'est pas activé non plus, va le chercher dans ta boîtes de courriels et rapatrie-le sur ta chère machine).

            Je crains que l'utilisateur inconscient ne soit pas l'apanage des systèmes microsoft... Pour l'instant, il n'y a que très peu de programmes malins qui tentent de tirer parti de la naïveté des linuxiens, mais ça viendra, n'aie crainte ;-) .

            • [^] # Re: bloquer les communications *sortantes*

              Posté par  . Évalué à 2.

              s/sera/seras

              CoinKoin, apprends à lire, ne serait-ce que ton propre charabia...

            • [^] # Re: bloquer les communications *sortantes*

              Posté par  (site web personnel) . Évalué à 2.

              Ça dépend aussi beaucoup de la balance fonctionnalité/sécurité (c'est ça le fond du problème du XP-SP2 en fait).

              Les vecteurs de propagation des virus sous Windows sont beaucoup les extensions débiles de IE ou Outlook, telles que ADODB.Stream. Ce type de joyeuseté n'existe pas sous Linux, et ça fait déjà une grosse différence.

              Beaucoup d'"utilisateurs naïfs de Linux" utilisent Evolution, qui est similaire à Outlook il me semble ; et pourtant Evolution n'a jamais été vecteur de contamination, à ma connaissance.

              • [^] # Re: bloquer les communications *sortantes*

                Posté par  . Évalué à 2.

                Beaucoup d'"utilisateurs naïfs de Linux" utilisent Evolution, qui est similaire à Outlook il me semble ; et pourtant Evolution n'a jamais été vecteur de contamination, à ma connaissance.

                A la mienne non plus, mais il ne faut pas oublier qu'il est aussi moins visé.

                Cela dit, je pense aussi que certaines extensions de certains programmes Windows ont à voir avec la propagation des virus.

        • [^] # Re: bloquer les communications *sortantes*

          Posté par  (site web personnel) . Évalué à 2.

          les firewalls sont utiles pour empêcher un code malicieux de sortir de votre machine, mais pas pour l'empêcher d'y entrer
          Moi je trouve justement qu'il est plus facile de faire sortir une communication, éventuellement en manipulant un process qui a accès à l'extérieur, que de faire exécuter du code par un système auquel on n'a pas accès.

          pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

          • [^] # Re: bloquer les communications *sortantes*

            Posté par  . Évalué à 2.

            Qu'est-ce que tu veux dire, faire sortir des données une fois que le code malicieux est dans la machine cible, ou avant?

            Parce que, avant, je ne vois pas trop comment tu peux faire (bon, d'accord, il doit bien exister des équivalents de la faille de la libpng sous ie, mais ça ne doit pas être simple), et après, ben, on en revient au point de départ, à savoir, comment entrer?

            • [^] # Re: bloquer les communications *sortantes*

              Posté par  (site web personnel) . Évalué à 2.

              Une fois que le code est installé évidemment.

              En fait l'idée c'est de protéger tes données (qu'on ne puisse pas les faire sortir, donc contre les spywares et virus plus spécifiques) et d'éviter qu'une fois que tu te sois pris un ver que tu le redistribues à tes voisins de réseau.

              on en revient au point de départ, à savoir, comment entrer?
              Un firewall ne peut pas grand chose contre un e-mail, un CD ou autre truc qui ne passe pas à son niveau (bloquer l'e-mail n'est pas du ressort du firewall si le client POP/IMAP est autorisé à se connecter à un serveur donné).

              pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

  • # c'est au niveau application que ça se passe

    Posté par  . Évalué à 2.

    un firewall contrôlant quelle application a accès au réseau est indispensable : il empèchera un virus/troyen installé sur la machine d'accéder aux autres machines du réseau pour les infecter, tout simplement.

    Tu peux donc ouvrir le port 80 au niveau du point de sortie de ton réseau, et sur chaque machine n'autoriser que Firefox a accéder au web.

    • [^] # Re: c'est au niveau application que ça se passe

      Posté par  . Évalué à 2.

      Oui, pour protéger les autres, mais ça ne te protège pas toi...

    • [^] # Re: c'est au niveau application que ça se passe

      Posté par  (site web personnel) . Évalué à 3.

      On se place dans le cas d'un firewall configuré automatiquement : est-ce vraiment envisageable ? Faut-il demander à l'utilisateur de déclarer quel programme va lui servir pour le web (et s'il veut aussi le ftp, et le https), quel programme pour le courrier électronique (et s'agit-il de pop ou d'imap ?), quel programme pour la messagerie instantanée (et je ne suis pas sûr que le port soit le même pour chaque type de messagerie)... et quand il veut faire de l'irc pan il faut reconfigurer son firewall.

      Je ne connais pas le firewall automatisé de XP-SP2 mais je me demande s'il est aussi compliqué que cela. Je ne vois pas le premier venu réussir à répondre à ces questions.

      Dernier point, tu parles des "autres machines du réseau", attention moi je parle des machines dont l'admin est l'utilisateur, en gros l'utilisation privée mais pas professionnelle (dans ce dernier cas l'admin connaît peu ou prou l'informatique et la configuration/sécurisation).

      • [^] # Re: c'est au niveau application que ça se passe

        Posté par  . Évalué à 2.

        On se place dans le cas d'un firewall configuré automatiquement : est-ce vraiment envisageable ? Faut-il demander à l'utilisateur de déclarer quel programme va lui servir pour le web (et s'il veut aussi le ftp, et le https), quel programme pour le courrier électronique (et s'agit-il de pop ou d'imap ?), quel programme pour la messagerie instantanée (et je ne suis pas sûr que le port soit le même pour chaque type de messagerie)... et quand il veut faire de l'irc pan il faut reconfigurer son firewall.

        2configurations possibles :

        1) si un programme non autorisé cherche à ouvrir une socket ou à faire un machin du genre, une petite fenêtre apparait demandant à l'utilisateur d'autoriser le programme en question à se connecter, et propose une option pour se rappeler de ce choix. Ce n'est pas trop contraignant à mon avis, si l'utilisateur est sensibilisé au départ ça ne pose pas de problème. Pas de configuration pénible à faire.

        2) utilisation en entreprise : l'utilisateur à de toute façon seulement droit au navigateur web et/ou au mail, tout est préconfiguré et vérouillé.

        Dernier point, tu parles des "autres machines du réseau", attention moi je parle des machines dont l'admin est l'utilisateur, en gros l'utilisation privée mais pas professionnelle (dans ce dernier cas l'admin connaît peu ou prou l'informatique et la configuration/sécurisation).

        Dans ce cas, on protège internet aussi, il faut être citoyen :)
        Et puis on a beau s'y connâitre, si un virus exploite une faille de notre pc pour nous infecter et qu'on peut le détecter par son activité réseau illégale bien que sur des ports autorisés, c'est pas plus mal je trouve...

      • [^] # Re: c'est au niveau application que ça se passe

        Posté par  (site web personnel) . Évalué à 1.

        Une firewall peut permettre l'interdiction de base d'entrée sur certian port de communication et permettre l'utilisation en entré de se port si tu est l'instigateur de la connexion. Ca te donne ce qui est communement appelé le ftp passif ou personne ne peut etablir de connection vers toi alors que toi tu peux vers les autres (qui ne sont pas dans la meme configuration que toi).

  • # Install par défaut de Win

    Posté par  . Évalué à 2.

    Le problème, c'est qu'une installation par défaut "from scratch" de windows NT, 2K, XP installe plein de services (un genre de daemon) qui écoutent sur des ports TCP ou UDP.
    Par exemple, une installation type "Workstation" (par opposition à NT Server) installe le service "Messagerie" qui permet de recevoir les messages envoyés par la commande "Net Send".

    Si tu as une machine connecté à Internet avec ce service qui tournent, il y'a de forte chance pour qu'au bout de quelques minutes tu te prennent une fenêtre "Service de messagerie : do you want vi@gr@" .

    Dans ce cas, il suffit de désactiver ce service et tu n'est plus embêté.

    Par contre, des services plus sioux s'installent, nottement le RPC, et celui-la tu en a besoin si tu veux lancer l'explorateur Windows ou utiliser certains programmes réseaux. Si tu le desactive tu risque de ne plus pouvoir te logguer. Or grâce à ce port ouvert, tu te choppe des Sasser, Nimda etc ...

    La solution est d'utiliser un FW qui va autoriser uniquement les connections en provenance et a destination de locahost sur ce port.

    Je suis d'accord qu'une machine desktop ne devrais pas avoir besoin d'un FW pour bloquer les ports en entrés.

    PS : il existe un FW opensource sous win tout petit, config à la hardcore en fichier texte. cf framasoft.

    • [^] # Re: Install par défaut de Win

      Posté par  (site web personnel) . Évalué à 2.

      Par contre, des services plus sioux s'installent, nottement le RPC, et celui-la tu en a besoin si tu veux lancer l'explorateur Windows ou utiliser certains programmes réseaux. Si tu le desactive tu risque de ne plus pouvoir te logguer. Or grâce à ce port ouvert, tu te choppe des Sasser, Nimda etc ...

      La solution est d'utiliser un FW qui va autoriser uniquement les connections en provenance et a destination de locahost sur ce port.

      Hum, il n'y a pas besoin d'un firewall pour faire cela. Pour les socket BSD c'est INADDR_LOOPBACK qui demande au kernel d'affecter cette propriété, il n'y a pas de raison que ça n'existe pas sous Windows aussi ? (je ne connais pas la programmation système sous Windows)

      • [^] # Re: Install par défaut de Win

        Posté par  . Évalué à 1.

        > il n'y a pas de raison que ça n'existe pas sous Windows aussi ?

        Ca existe... Or le fameux port RPC ( 445 je crois) sert aussi a partager ces fichiers donc doit etre aussi accessible de l'exterieur de la machine.


        Après, faut pas s'etonner d'attraper des machins ...

    • [^] # Re: Install par défaut de Win

      Posté par  . Évalué à 2.

      Bref, c'est ce qu'on disait, un problème de configuration. Ce qui est intéressant, c'est que, d'après ce que tu écris, l'installation par défaut n'est pas adaptée à l'ordinateur de bureau, ce qui est inattendu venant d'un logiciel microsoft.


      notamment le RPC, et celui-la tu en as besoin si tu veux lancer l'explorateur Windows ou utiliser certains programmes réseau. Si tu le desactives tu risques de ne plus pouvoir te logguer. Or grâce à ce port ouvert, tu te choppes des Sasser, Nimda etc ...


      Pourquoi la procédure de login a-t-elle donc besoin d'écouter le réseau?? Si c'est réellement nécessaire, il s'agit d'une erreur sévère dans la conception du système!

      D'autant plus sévère que je n'en vois vraiment pas l'intérêt...

      • [^] # Re: Install par défaut de Win

        Posté par  . Évalué à 1.

        > l'installation par défaut n'est pas adaptée à l'ordinateur de bureau

        Si, mais pas a un ordinateur connecté a internet avec pleins de vilains programmes partout. Mais j'espère que je vous apprend rien :) !

        C'est d'ailleur la le pb : la durée de vie d'un "fresh install" XP connecté a internet ne te laisse meme pas le temps de telecharger les patchs...

        >Pourquoi la procédure de login a-t-elle donc besoin d'écouter le réseau?

        J'enverrais un patch...

        • [^] # Re: Install par défaut de Win

          Posté par  . Évalué à 2.

          J'enverrais un patch...

          Envoie-le sous GPL, ils ne pourront même pas intégrer ta correction au noyau suivant :-) ! Tiens, si c'est une faille critique, ça peut être énervant, ça...

          ========>[].

  • # Commentaire supprimé

    Posté par  . Évalué à 1.

    Ce commentaire a été supprimé par l’équipe de modération.

    • [^] # Re: Presque rien à voir

      Posté par  . Évalué à 2.

      Ben c'est par la que les clients vienne interoger le serveur d'impression pour imprimer quand meme

      Dam

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.