NuFW 0.7.1 est sorti, proposant un nouveau système pour le SSO

Posté par  (site web personnel) . Modéré par Nÿco.
Étiquettes :
0
30
juin
2004
Sécurité
La version 0.7.1 de NuFW est sortie la semaine dernière. NuFW est un parefeu authentifiant basé sur Netfilter.

Il permet de :
- réaliser un filtrage par utilisateur (même sur les machines multi-utilisateurs)
- définir la qualité de services par utilisateur
- suivre de l'activité des utilisateurs (utilisant syslog, MySQL ou PostgreSQL)

La version 0.7.1 introduit une nouvelle option qui permet de réaliser une table de suivi des connexions authentifiées en temps réel. Le stockage SQL de cette table permet de réaliser un système d'authentification unique centralisé.

Un module Apache, mod_auth_nufw, utilisant cette méthode pour réaliser l'authentification vient d'être publié en GPL. Il est donc désormais possible de s'authentifier de manière transparente sur un ensemble de serveurs Apache utilisant ce module.

Aller plus loin

  • # Des rpm?

    Posté par  (site web personnel) . Évalué à 4.

    C'est bien beau et j'ai envie de tester
    seul probleme:
    J'vé pas le compiler sur mon serveur quand meme :)
    donc si une généreuse ame pouvait faire ou trouver des rpm pour tout ca
    (enfin surtout le serveur les client j'ai une LFS et une knoppix donc les rpm :)

    • [^] # Re: Des rpm?

      Posté par  (site web personnel) . Évalué à 1.

      Knoppix est basée sur une Debian, donc des paquets debian peuvent convenir aussi. Mais bon, une knoppix pour faire office de firewall, ce n'est pas prévu pour.
      À la rigueur, le LiveCD Gibraltar conviendrait mieux ;-).

  • # Experience ?

    Posté par  . Évalué à 7.

    A première vue ça a l'air plutôt bien foutu, certains auraient ils un retour d'experience à faire sur ce produit ?

  • # Comme Packet Filter ?

    Posté par  . Évalué à 1.

    Juste comme ca, quelqu'un voit la difference avec ce que fait Packet Filter sur BSD ? si oui, quelle est-elle ?

    • [^] # Re: Comme Packet Filter ?

      Posté par  (site web personnel) . Évalué à 4.

      La différence avec authpf (partie de PF "ressemblant" à NuFW) est décrite dans la FAQ.

      Pour faire bref et en français :
      authpf fait IP=USER. Donc il n'est résistant ni au NAT ni aux machines multiutilisateurs. Et donc ,dans ces deux cas, les permissions de chaque utilisateur sont égale à la somme des permissions des utilisateurs telles que vu par le système de filtrage.

      NuFW ne fait pas cette association et authentifie individuellement les connexions. Il n'y a aucune approximation.

      Ce n'est pas le cas de authpf qui repose sur la connexion SSH. Donc, si on déconnecte brutalement le client SSH, le serveur ne peut détecter immédiatement la déconnexion. Il y a donc un laps de temps pendant lequel les permissions associées à l'IP restent présentes et il est donc possible de se subsituer à la machine ayant acquises les permissions tout en conservant ces mêmes permissions. Ce n'est pas le cas avec NuFW qui authentifie chaque connexion de manière fiable.

  • # Pour la santé ?

    Posté par  . Évalué à 5.

    Quelqu'un saurait-il si c'est compatible avec la CPS (carte de professionnel de santé) ?

    • [^] # Re: Pour la santé ?

      Posté par  (site web personnel) . Évalué à 3.

      V'là une question qu'elle est bonne.
      J'ai jeté un coup d'oeil, je n'ai pas trouvé.

      Si par hasard tu trouves la réponse (positive ou négative), tu peux me prévenir stp? (adresse dlfp.org) Ca m'intéresse énormément.

      merci

      • [^] # Re: Pour la santé ?

        Posté par  . Évalué à 1.

        Bon, alors, combien sommes-nous ici à chercher des solutions de sécurisation et de confidentialité de données "médicales" ? :)

        Je suis sûr que vous connaissez déjà ce site : http://www.gip-cps.fr/(...) je dois dire que je ne sais pas trop ce qu'il raconte, mais il doit bien apporter quelques réponses ? (je l'ai bookmarké mais n'ai pas encore le temps de le consulter plus que ça)

        • [^] # Re: Pour la santé ?

          Posté par  (site web personnel) . Évalué à 2.

          Bon, alors, combien sommes-nous ici à chercher des solutions de sécurisation et de confidentialité de données "médicales" ? :)

          bin, au moins 3 :o)

          J'ai déjà passé un bout de temps sur le site du gip-cps, mais je ne pense pas qu'il apporte les réponses que l'on veut. Il explique ce que c'est la CPS, un peu de commercial, et des liens pour demander les kits de développement, mais rien de bien technique.

    • [^] # Re: Pour la santé ?

      Posté par  (site web personnel) . Évalué à 2.

      Si j'ai bien compris, la CPS permet une authentication des professionnels du monde de la santé. Cette authentication doit donc être utilisable pour s'interfacer avec NuFW (et ainsi controler les flux réseaux au sein d'un hopital par exemple), mais tout le travail reste à faire :
      - récupération des certificats de la carte sur le poste client
      - vérification du certificat sur le serveur NuFW

      Le travail est conséquent mais il ne me semble pas insurmontable.

      • [^] # Re: Pour la santé ?

        Posté par  (site web personnel) . Évalué à 2.

        Si j'ai bien compris, la CPS permet une authentication des professionnels du monde de la santé.

        Exact.
        Une CPS contient des infos sur le professionnel (nom, prénom, lieu de pratique, spécialité...) et des certificats émis par le gip-cps qui permettent de l'autentifier de façon sure.

        récupération des certificats de la carte sur le poste client

        Il existe des API java et C pour s'interfacer avec la carte, extraire les infos et les certificats, signer des données... Je les ai utilisées (enfin, les API java, avec JNI qui s'interface avec une dll en C) sous windows, mais elles existent aussi sous linux et mac, bien que je ne les ai jamais testées.

        vérification du certificat sur le serveur NuFW

        Il suffit de se connecter à l'annuaire du gip-cps, accessible à tous.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.