Sondage Dix ans après, quel mécanisme de contrôle d'accès utilisez-vous pour votre système d'exploitation ?

Posté par  . Licence CC By‑SA.
Étiquettes :
5
25
fév.
2023

En cherchant ici du contenu, des avis et des retours d’expériences sur les différentes propositions logiciels (LSM) qui essayent d’augmenter le niveau de sécurité de nos systèmes Linux, j’ai beaucoup trouvé de ressources de la décennie dernière.

Je vous propose donc d’actualiser ce sondage en partageant vos pratiques en la matière, ce que soit sur vos ordinateurs personnels, professionnels ou vos serveurs.

  • Plutôt AppArmor, SELinux, ou GrSecurity ?
  • Les autres propositions semblaient vraiment anecdotiques sur le dernier sondage et c’est uniquement ce dernier qui me les a fait découvrir, certains ici les utilisent ?
  • Est-ce que vos ordinateurs fixes/mobiles/serveurs sont concernés ?
  • SElinux :
    167
    (15.5 %)
  • AppArmor :
    156
    (14.5 %)
  • grsecurity :
    6
    (0.6 %)
  • capabilities :
    18
    (1.7 %)
  • le cloud ! :
    24
    (2.2 %)
  • autre (en commentaire) :
    14
    (1.3 %)
  • eh ben en fait alors je... rien peut-être ? :
    691
    (64.2 %)

Total : 1076 votes

Journal Nouvelle version de HomeBox

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
17
24
déc.
2022

Nouvelle version de Homebox, pour Noël.

Il y aura sans doute quelques petits bugs d'installation, j'attends donc vos retours, et votre participation. Notamment la doc.

Installation et caractéristiques du système

  • Génération d'un installateur Debian personnalisé avec chiffrement complet du disque et installation entièrement automatique.
  • Déverrouillage du système au démarrage en entrant la phrase de passe via SSH ou avec un Yubikey.
  • Installation des paquets uniquement à partir de Debian stable (Bullseye).
  • Génération automatique de certificats letsencrypt en utilisant le (…)

Forum Linux.debian/ubuntu Aide : Temps de boot anormalement long

Posté par  . Licence CC By‑SA.
Étiquettes :
2
17
nov.
2022

Bonjour à tous,

J'essaie d'aider quelqu'un pour résoudre un temps de boot anormalement long.

Je vous décris les étapes pour savoir ou intervenir.

-démarrage du PC portable
-menu grub -> Ubuntu LTS 16.04
-affichage de l'image chargement d'Ubuntu (les 3 petits points) -> tourne pendant 2 minutes au lieu de 3 secondes
-affichage de l'écran de login

Lignes ou l'on identifie le temps de 2 minutes :

Nov 13 18:05:00 jojo-HP-EliteBook-8440p rsyslogd: [origin software="rsyslogd" swVersion="8.16.0" x-pid="1177" x-info="http://www.rsyslog.com"] exiting on signal
(…)

Forum Linux.général trouver les services systemes systemd

Posté par  . Licence CC By‑SA.
Étiquettes :
0
25
oct.
2022

Bonjour,
Je cherche à durcir la sécurité grace au guide de l'anssi (https://www.ssi.gouv.fr/uploads/2018/01/guide_preconisations-pare-feux-zone-exposee-internet_anssi_pa_044_v1.pdf)

Parmis les mesures, il y a la configuration du umask pour l'utilisateur et pour les services systemes (en définissant une directive UMask dans le fichier .service).

J'ai listé mes services systemes avec systemctl --type=service et j'obtiens: 

  UNIT                                                  LOAD   ACTIVE SUB     DESCRIPTION                                                                  
  accounts-daemon.service                               loaded active running Accounts Service                                                             
  acpid.service                                         loaded active running ACPI event daemon                                                            
  alsa-restore.service                                  loaded active exited  Save/Restore Sound Card State                                                
  apparmor.service                                      loaded active
(…)

Journal Utiliser Podman en mode rootless pour exécuter en service des containers rootless

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
40
29
avr.
2022

Hello,

J'ai eu l'occasion de remonter mon serveur et tous ses services suite à un bug sur le système de fichier.

Je pouvais juste remonter les sauvegardes de ma Debian 11 Bullseye, mais j'avais prévu une nouvelle machine et je voulais en profiter pour refaire à la main les installations des services.

J'emploie Debian et j'utilise donc d'habitude les paquets Debian.

Mais, bien sûr, j'ai certains services, comme Firefox Sync et Grafana, qui ne sont pas disponible dans les répertoires (…)

Journal utiliser ubuntu sans snap

Posté par  . Licence CC By‑SA.
Étiquettes :
13
1
avr.
2022

bonjour, étant assez nouveau sous ubuntu (usage pro uniquement et pas trop de choix, le seul à être supporté par l'it ) , je ne sais comment réparer une install snap cassé (ou plutôt son interaction avec apparmor tunable/globals) .

sachant que la résolution n'est pas évidente, j'ai préféré ne rien chercher à comprendre, plutôt à contourner l'utilisation de snap sous ubuntu (installation de firefox ESR, et de chrome depuis le site web de chromium) .

Et franchement, ubuntu tuera (…)

Journal Durcir nginx et PHP avec systemd

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
56
3
fév.
2022

Dans une installation Linux-nginx-PHP classique, on a:

  • systemd qui doit orchestrer les services et s'exécute en root (inévitable)
  • nginx qui reçoit les les requêtes web et les répartit, notamment vers php-fpm. Il fonctionne avec un processus maître qui fonctionne en root pour se mettre en écoute sur le port 443 et des workers, non privilégiés, qui traitent les requêtes
  • php-fpm qui tourne sous root, reçoit les requêtes vers des scripts PHP de la part de nginx et les répartit vers (…)

Forum Linux.debian/ubuntu Ubuntu long to start

Posté par  . Licence CC By‑SA.
Étiquettes :
0
7
fév.
2021

Bonjour à tous,
Mon Ubuntu est long a démarrer, et ce depuis que je l'ai installé.
Rapport dmesg:

[    0.276979] TCP: Hash tables configured (established 65536 bind 65536)
[    0.277009] UDP hash table entries: 4096 (order: 5, 131072 bytes, linear)
[    0.277031] UDP-Lite hash table entries: 4096 (order: 5, 131072 bytes, linear)
[    0.277070] NET: Registered protocol family 1
[    0.277075] NET: Registered protocol family 44
[    0.277085] pci 0000:00:02.0: Video device with shadowed ROM at [mem 0x000c0000-0x000dffff]
[    0.277352]
(…)

Journal Faciliter la configuration d'un ordinateur portable (ou fixe) sous Debian GNU/Linux 10 (Suite)

Posté par  . Licence CC By‑SA.
Étiquettes :
12
24
mai
2020

Bonjour à tous,

Dans un journal précédent j'évoquais un projet nommé my-deb-laptop-bash développé en bash et permettant de faciliter la configuration d'un ordinateur portable (ou fixe) sous Debian GNU/Linux 10 Buster.

Aujourd'hui, je viens vous parler d'un nouveau projet similaire nommé my-deb-laptop-ansible, et développé avec ansible.

En résumé, il s'agit de :
- faire une installation classique d'une Debian 10 Buster
- installer des pré-requis (ansible, openssh, clé ssh, git, etc.)
- télécharger le code du projet avec (…)

Forum Linux.debian/ubuntu Plantage en boucle

Posté par  . Licence CC By‑SA.
Étiquettes :
0
10
avr.
2020

Bonjour à tous, ayant du temps j'ai voulu me lancer dans une manip qui sans que je comprenne pourquoi à complétement planter mon raspberry pi 0. Pourtant, j'ai uniquement voulu installer certbot et generer un certificat en local…
Mais mantenant le systeme ne parviens pas à booter correctement, on dirait que les erreurs commence avec 

[FAILED] Failed to start Journal Service.
See 'systemctl status systemd-journald.service' for details.
[ TIME ] Timed out waiting for device ▒▒v/disk/by-partuuid/e724c016-01.
[DEPEND
(…)

Journal Auto-Hébergement avec HomeBox

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
28
23
déc.
2019

Nouvelle version de HomeBox, pour Noël.

Après plusieurs mois de travail, de quelques développeurs, notamment Frédéric et moi même, une nouvelle version de la solution d'auto-hébergement a été publiée. Pour l'instant, pas de numéro de version, mais plutôt un branche "master" sur github.

https://github.com/progmaticltd/homebox

Je rappelle que c'est pour l'instant une version qui se déploie avec Ansible, elle ne s'adresse actuellement pas aux néophytes qui voudraient faire de l'autohébergement en quelques clics, mais plutôt aux personnes soucieuses de sécurité.

Installation

(…)

Forum Linux.général Comment interdire par défaut, l'accès aux réseaux pour toutes les applications ?

Posté par  . Licence CC By‑SA.
Étiquettes :
3
4
oct.
2019

Bonjour,
Tout est dans le titre.
J'aimerais que toutes applications se voient—par défaut—interdites d'accès à toutes les interfaces réseaux.
Un fichier de configuration permettrait de remédier à cela : 

ALL_INTERFACES=eno1 enp3s0

# Ping peut accéder aux 2 interfaces
Ping                /bin/ping                                 $ALL_INTERFACES

# Eclipse peux accéder qu'à une seule interace
Eclipse             /opt/eclipse/java-2019-03/eclipse/eclipse enp3s0

# Python3 (lancé par Eclipse) : idem
Eclipse/Python3     /usr/bin/python3                          IDEM

# Tous les processus lancés depuis Eclipse/Python3 : full access
Eclipse/Python3/ALL ALL                                       $ALL_INTERFACES

Alors j'ai vu (…)