Journal Kiosque

Posté par  .
Étiquettes :
0
11
jan.
2008
Dan Walsh (avec l'aide d'autres évidemment) a fait un joli, mais surtout sûr, kiosque pour Linux. Un kiosque ou un compte anonyme.
Ainsi votre bécane est accessible à tout le monde (voilà qui est dans l'esprit du libre :-). Tout le monde peut se logguer (que via [xg...]dm), il n'y a pas de mot de passe. On clique sur "x guest user" et voila.

Jusqu'ici, ça n'a rien d'impression :-)
Mais, le compte est sûr aussi pour les autres comptes. Imaginez que vous avez mis de document confidentiel dans /tmp pour le partagé avec d'autres utilisateurs (fichier peut-être lisible par tout le monde (mode o+r)). L'utilisateur du kiosque ne le verra pas. Il ne pourra pas non mettre des fichiers dans /tmp qui seraient vus par d'autres utilisateurs. xguest (c'est le nom du compte) a son propre /tmp, /var/tmp, etc. Les programmes suid ne sont pas accessibles par xguest. Si par "bêtise" ou convenance vous avez fait un "chmod o+r ~", ce n'est pas grave, xguest ne pourra pas lire ce qu'il y a chez vous.
Le compte xguest est déduit à chaque logout et recréé à chaque login (il y a ainsi sécurité entre personnes qui utilisent le compte).
Il peut être configurer pour autorisé Firefox a utiliser le réseau (uniquement le firefox installé sur la bécane, pas un firefox que l'utilisateur aurait downloadé).
Il peut aussi supporté les périphérique amovible type usb pour que l'utilisateur anonyme sauvegarde ses donnés.
Le compte xguest peut-être configuré par l'administrateur avec saboyon (si le compte utilise Gnome ce qui est actuellement le cas) :
http://www.gnome.org/projects/sabayon/

Cerise sur le gateau, on peut aussi utiliser xguest depuis fast-user-switch-applet. Donc si on veut tester une applie douteuse, on bascule sur le compte xguest en 1 clique (voir 2 maxi).

Ça utilise pam (pam_selinux_permit et pam_namespace notamment) et le génialissime SeLinux (c'est vendredi). Si SeLinux n'est pas en mode actif, le compte xguest n'est pas accessible.

Plus de détails par Dan Walsh en personne :
http://danwalsh.livejournal.com/13376.html?thread=100672

Les utilisateurs de F8 peuvent tester ça avec, par exemple, un "yum install xguest".

  • # Sécurité...

    Posté par  . Évalué à 2.

    C'est bien beau, mais ça protège contre les failles d'élevation de privilège qui peuvent exister ? Ou les déni de service en provoquant un petit kernel panic, ou ce genre de choses...
    Et ça protège comment d'une faille dans SELinux ?

    • [^] # Re: Sécurité...

      Posté par  . Évalué à 0.

      Débranche ton PC si tu veux être tranquille.
      Mieux, passe le au broyeur.

    • [^] # Re: Sécurité...

      Posté par  (site web personnel) . Évalué à 1.

      > C'est bien beau, mais ça protège contre les failles d'élevation de privilège qui
      > peuvent exister ? Ou les déni de service en provoquant un petit kernel panic, ou ce
      > genre de choses...

      Je suppose que tu n'as pas le choix des logiciels que tu peux utilisé. Dans ce cas, il devient difficile de lancer des exploits sans accès à une console et sans la possibilité d'exécuter des programmes externes.

      • [^] # Re: Sécurité...

        Posté par  . Évalué à 1.

        Laisse tomber, son raisonnement est complètement bidon.
        Il demande si ça protêge lorsque les systèmes de protection sont contournés.
        Que dire à part que lorsque les systèmes de protection sont contournés, ça ne protège plus.... Par définition.

        C'est comme ça pour tous les systèmes.
        M'enfin xguest est actuellement implémenté sous Fedora. Et Fedora est probablement l'une des distributions les mieux dotées en protection (SeLinux de base ! et beaucoup plus) :
        http://www.awe.com/mark/blog/200801070918.html

        Puisque ça ne lui suffit pas, ben qu'il passe sa bécane au boyeur.

        • [^] # Re: Sécurité...

          Posté par  . Évalué à 1.

          Pour moi ça ne suffit pas, en effet. La présence d'un compte anonyme je n'aime pas du tout, c'est la seule chose que je disais.
          Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).

          • [^] # Re: Sécurité...

            Posté par  . Évalué à 1.

            > Pour moi ça ne suffit pas, en effet. La présence d'un compte anonyme je n'aime pas du tout, c'est la seule chose que je disais.

            Ben n'aimes toutes connections au réseau etc...
            Avec bittorrent (ou n'importe quoi) tu n'es pas à l'ablis "d'élevation de privilège qui peuvent exister, Ou les déni de service en provoquant un petit kernel panic, ou ce genre de choses..."

            > Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).

            Alors casse toi avec ta petite vision.
            D'autres "fans" d'autres distributions sont moins cons. Ils vont se dire que c'est intéressant et le mettre dans leur distribution. C'est toute l'intention de mon journal. Faut être très cons pour refuser les bonnes idées des autres.

          • [^] # Re: Sécurité...

            Posté par  . Évalué à 2.

            Tu préfères filer un compte classique à n'importe qui ?
            Supposons qu'un client passe dans une boite et veut aller sur le net, je préfère lui filer un compte type Xguest sachant que contrairement aux solutions existantes, SELinux veillera au grain.
            Hein, SELinux n'est pas une technologie jouet, ça a fait ses preuves pendant plus d'une décennie (SELinux a été conçu sur Mach avant d'être porté sur Linux), et on compte plus les failles qui sont bloqués par lui que ce soit sous Fedora, Debian ou toute distro qui l'implémente.

            Si SELinux tombe -faut être sévérement burné déjà pour y arriver- ben, tu auras ni plus ni moins de sécurité qu'ailleurs.

            > Quant à ta propagande pro fedora, j'en ai strictement rien à battre (et tu peux te la carrer où je pense).

            En gros, si une bonne technologie provient de Fedora, tu préféres t'en passer ? J'en ai rien à battre si tu veux retourner en 2003.

            • [^] # Re: Sécurité...

              Posté par  . Évalué à 2.

              Tu préfères filer un compte classique à n'importe qui ?
              Non bien sûr, mais laisser un compte anonyme ouvert en permanence, comme évoqué dans le journal, ça pas question.

              En gros, si une bonne technologie provient de Fedora, tu préféres t'en passer ?
              C'est juste que des conneries comme Et Fedora est probablement l'une des distributions les mieux dotées en protection j'appelle ça de la propagande.

              • [^] # Re: Sécurité...

                Posté par  . Évalué à 0.

                > laisser un compte anonyme ouvert en permanence

                C'est un compte uniquement accessible que si tu as un accès physique à la bécane. Si quelqu'un est vraiment malveillant, il a meilleur temps de la faucher.
                Si c'est la bécane que tu as chez toi, j'imagine que ce n'est pas n'importe qui vient chez toi.
                Enfin SeLinux a du "workflow". Je ne sais pas si c'est actuellement implémenté pour xguest, mais SeLinux peut attacher l'information "xguest" au paquet ip qui sont envoyé par l'utilisateur xguest. Dans une entreprise, les routeurs et autres firewall feront le tri.

                > Et Fedora est probablement l'une des distributions les mieux dotées en protection j'appelle ça de la propagande.

                Ce n'est pas de la propagande, c'est un fait :
                http://www.awe.com/mark/blog/200801070918.html

                * Firewall by default
                * Signed updates required by default
                * NX emulation using segment limits by default
                * Support for Position Independent Executables (PIE)
                * Address Randomization (ASLR) for Stack/mmap by default
                * ASLR for vDSO (if vDSO enabled)
                * Restricted access to kernel memory by default
                * NX for supported processors/kernels by default
                * Support for SELinux
                * SELinux enabled with targeted policy by default
                * glibc heap/memory checks by default
                * Support for FORTIFY_SOURCE, used on selected packages
                * All packages compiled using FORTIFY_SOURCE
                * Support for ELF Data Hardening
                * All packages compiled with stack smashing protection
                * SELinux Executable Memory Protection
                * glibc pointer encryption by default
                * FORTIFY_SOURCE extensions including C++ coverage

                Ajoutons aussi la signature des modules qui n'est pas indiquée dans cette liste. Si un cracker arriver un déposer un module sur ta bécane, il ne pourra pas le charger. Notons que c'est désactivé par défaut (sinon on ne peut pas charger les modules compilé par des tiers de confiance (on peut toujours le faire en ajoutant les clées publiques qui vont bien, mais c'est assez compliqué à faire).

                Pour xguest ici présenté, il n'y a qu'a faire "yum install xguest". Sur d'autres distribution ça serait une toute autre affaire.

                Tu connais des distributions qui font mieux ?
                Et notes bien que l'"exploit" ici n'est pas d'empiler des "trucs", mais aussi de les déployer sans (trop de) douleur dans une distribution généraliste.


                M'enfin, tu peux continuer de mettre la tête dans le sable à chaque fois que tu entends quelque chose qui ne te plait pas.

                • [^] # is not good & la logique lexicale

                  Posté par  (site web personnel) . Évalué à 2.

                  Ce n'est pas de la propagande, c'est un fait

                  Non, pas du tout. Qu'est-ce que ça prouve de faire une liste des protections de Fedora ? Quand tu fais une comparaison il faut, eh bien ça à l'air bête n'est-ce pas ? il faut comparer... Et il me semble bien que là tu fais une comparaison:
                  Fedora est probablement l'une des distributions les mieux dotées en protection

                  "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay

                  • [^] # Re: is not good & la logique lexicale

                    Posté par  . Évalué à 1.

                    Nan mais cherche pas, il a déjà pas pigé le sens de propagande...
                    Rappel :
                    propagande : Action systématique exercée sur l'opinion pour faire accepter certaines idées ou doctrines, notamment dans le domaine politique, social... [source : petit larousse grand format, ed. 1993]
                    ou encore :
                    propagande : art de propager à grande échelle des informations, fausses ou non, mais toujours partiales.

                    • [^] # Re: is not good & la logique lexicale

                      Posté par  . Évalué à 3.

                      Fedora est depuis longtemps une des premières distributions à intégrer les nouveaux éléments ajoutant de la sécurité. La liste non exhaustive t'est donnée de manière fort civile par IsNotGood, ainsi qu'un lien. J'utilise Debian. Fedora ne me convient pas mais pour d'autres raisons.

                      Plutôt que son propagandiste, IsNotGood est seulement extrêmement admiratif de Fedora. L'admiration et l'enthousiasme, c'est positif, c'est bien, ça fait avancer les choses. Il n'a pas dit que les autres distributions sont minables à ce sujet.

                    • [^] # Re: is not good & la logique lexicale

                      Posté par  (site web personnel) . Évalué à 2.

                      Oui enfin, autant il peut-être casse-pied parfois, autant ce journal est riche en infos très intéressantes. Cette fois-ci, c'est plutôt toi qui vient pinailler et ouvre les commentaires avec des grosses bêtises.
                      Après qu'il soit reparti dans des trucs agaçant (l'une des distributions les mieux dotées en protection) tu y est pour quelque chose :-)

                      "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay

                      • [^] # Re: is not good & la logique lexicale

                        Posté par  . Évalué à 1.

                        Oui j'avoue avoir posté mon premier commentaire en étant assez énervé et en n'ayant pas forcément réfléchi. L'orthographe approximative et le mépris de la grammaire me foutent en rogne,

                        • [^] # Re: is not good & la logique lexicale

                          Posté par  (site web personnel) . Évalué à 1.

                          finalement je retire ce que j'ai dit, vu ce qu'il me répond, il démarre tout seul :-)
                          faudrait relancer la méthode patrick_g (cf Appât-à-IsNotGood)

                          "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay

                    • [^] # Re: is not good & la logique lexicale

                      Posté par  . Évalué à 1.

                      > propagande : Action systématique exercée sur l'opinion pour faire accepter certaines idées ou doctrines, notamment dans le domaine politique, social... [source : petit larousse grand format, ed. 1993]


                      Pour "rappel", j'ai dit "Fedora est probablement l'une des distributions les mieux dotées en protection" dans un message d'un thread en réponse à un autre message. Je ne l'ai pas fait dans le journal, si dans tous les messages. Ce n'est pas systématique.

                      Autre "rappel", j'ai dit "probablement".
                      Autre "rappel", je n'ai jamais dit que le niveau de sécurité de Fedora était indispensable et n'ai jamais dit qu'une distribution qui n'avait pas le niveau de Fedora était une distribution "dangereuse" ou que ses utilisageurs étaient en danger.
                      Etc...

                      DONC CE N'EST PAS DE LA PROPAGANDE..

                      Dit que ça te fatique, que ça t'énerve, etc mais ce n'est pas de la propagande.

                  • [^] # Re: is not good & la logique lexicale

                    Posté par  . Évalué à 1.

                    > Et il me semble bien que là tu fais une comparaison:

                    J'ai dit "probablement".
                    Mais fait la comparaison. Tu arriverais à "certainement" que ça ne serait pas étonnant.

  • # intéressant mais...

    Posté par  (site web personnel, Mastodon) . Évalué à 1.

    Le journal est intéressant, avoir une machine avec une sorte de jail pour l'utilisateur c'est pratique pour les gens de passage qui veulent emprunter le pc pour regarder leurs mails...

    En revanche, pour le journal, s'il te plaît IsNotGood, relis-toi !
    _UNE_ perle (parmis d'autres) : "Il peut être configurer pour autorisé "

    • [^] # Re: intéressant mais...

      Posté par  . Évalué à 2.

      > _UNE_ perle (parmis d'autres)

      Sans perle, ce n'est plus un journal IsNotGood.

    • [^] # Re: intéressant mais...

      Posté par  . Évalué à -1.

      > En revanche, pour le journal, s'il te plaît IsNotGood, relis-toi !

      Pour la petite histoire.
      J'allais me relis évidemment. Mais le correcteur orthographique a changé et il souligne en petit pointillé rouge les mots douteux. Esthétiquement c'est mieux. Mais c'est peu visible et ça m'a gonflé. J'ai "donc" validé le journal sans le relire.

      • [^] # Re: intéressant mais...

        Posté par  (site web personnel) . Évalué à 2.

        Pour autant, il ne fait pas la grammaire, beaucoup de choses seraient passées à la trappe...

        En revanche il est hyper-joli et contrairement au style précédent, il ne cache pas quand un mot a un lien (ce qui était le cas auparavant à mettre les caractères en rouge gras et était très pénibles pour les relectures de dépêches).

    • [^] # Re: intéressant mais...

      Posté par  . Évalué à 5.

      _UNE_ perle (parmis d'autres)
      s/parmis/parmi ...

  • # Question

    Posté par  . Évalué à 3.

    Outre le fait que j'imagine que cela ne fonctionne que pour GNOME, quelle est la différence avec le vénérable et bien plus ancien KDE kiosktool ? Pour ce que j'en vois, Kiosktool est même plus complet, puisque l'on peut le configurer à souhait.

    http://extragear.kde.org/apps/kiosktool/

    • [^] # Re: Question

      Posté par  . Évalué à 2.

      > Outre le fait que j'imagine que cela ne fonctionne que pour GNOME

      Ça pourrait marcher avec KDE ou autre sans trop de boulot. Mais actuellement c'est que Gnome. Tout patch est le bienvenu.

      > quelle est la différence avec le vénérable et bien plus ancien KDE kiosktool ?

      Je crois que tu confonds kiosktool et sabayon.
      xguest (le projet décrit dans ce journal) peut aussi profiter à KDE. L'administrateur utilisera alors kiosktool.

      Relis attentivement :
      http://danwalsh.livejournal.com/13376.html?thread=100672

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.