Journal Paranoïa ...

Posté par saorge le 10 juillet 2003 à 13:38.

Étiquettes : aucune

juil.

2003

Bonjour,

Voilà, bon, c'est sans doute un signe avant-coureur de paranoïa aigüe, mais, c'est promis, je me soignerai ... un jour !
Donc, voici la situation :
- je télécharge un binaire sur un site a priori valide ;
- je n'ai pas de fichier md5 me permettant de valider que le binaire est bien tel que souhaité par le webmaster ;
Comment faire pour être sûr que ce binaire est sain ?
Je cherche une méthode plus ou moins humaine (je ne programme pas en assembleur !).
Donc, voici le fruit de ma réflexion actuelle :
- lister les appels de fonctions (commande nm) ;
- exécuter le binaire dans un environnement de test, et essayer de logger toutes ses actions (mais cela, je ne sais pas si c'est possible, et donc comment faire) ;
- exécuter le binaire avec un strace (c'est pas la même chose que nm ?) ;
- ... euh, ouais, c'est à peu près tout.

Et pour recadrer, je compte faire appel à un service du style de dyndns.org, ou no-ip.org ; mais bon, je tiens à dormir sur mes deux oreilles. Enfin, disons plutôt que je tiens à pouvoir vérifier ce que fait le programme quand bon me semble ;-))

# Re: Paranoïa ...

Posté par Nelis (site web personnel) le 10 juillet 2003 à 13:42. Évalué à 2.

- ne pas oublier de prendre ses petites pilules roses
- coder le client qui enregistre mon ip moi même
- [^] # Re: Paranoïa ...
  
  Posté par saorge le 10 juillet 2003 à 14:08. Évalué à 1.
  
  Les miennes sont bleues
  - [^] # Re: Paranoïa ...
    
    Posté par Woodstock le 10 juillet 2003 à 14:14. Évalué à 3.
    
    Non, ce n'est pas pour la même patologie...
    
    Les bleues, en général c'est à partir d'un certain âge... sauf contre indication cardiaque.
# Re: Paranoïa ...

Posté par Sidoine de Wispelaere le 10 juillet 2003 à 13:47. Évalué à 9.

Palladium sera la solution à tous tes problèmes. Il perm... Mais, qu'arrive-t-il à mes XP ? Non je v
# systrace

Posté par free2.org le 10 juillet 2003 à 13:48. Évalué à 1.

je crois que systrace (ne pas confondre avec strace) a été concu aussi pour exécuter des binaires inconnus en toute sécurité (sandbox interactive de tous les appels systèmes !)

on peut aussi s'en servir pour blinder les clients et serveurs internet qui un jour ou l'autre font l'objet d'une attaque (par overflow par exemple)
- [^] # Re: systrace
  
  Posté par saorge le 10 juillet 2003 à 14:09. Évalué à 1.
  
  OK, je note, et je vais potasser la doc.
# Re: Paranoïa ...

Posté par Alexandre Boeglin le 10 juillet 2003 à 14:17. Évalué à 1.

tu peux simplement utiliser le service dyndns.org avec le "client" ddclient qui est un script perl, ce qui augmente les chances de pouvoir le lire et le comprendre.

``apt-get install ddclient'' et c'est tout.

@++
- [^] # Re: Paranoïa ...
  
  Posté par Nap le 10 juillet 2003 à 14:24. Évalué à 1.
  
  [root@redhat72-test root]# apt-get install ddclient
  bash: apt-get: command not found
  
  ca marche pas :(
  - [^] # Re: Paranoïa ...
    
    Posté par Ramso le 10 juillet 2003 à 14:39. Évalué à 4.
    
    mauvaise distrib, changer distrib....
    
    ;)
- [^] # Re: Paranoïa ...
  
  Posté par saorge le 10 juillet 2003 à 14:47. Évalué à 1.
  
  Ah, alors là, c'est nickel.
  J'apt-get dès que possible.
# Re: Paranoïa ...

Posté par neuro le 10 juillet 2003 à 14:27. Évalué à 1.

pour info, avec dynu (www.dynu.com) tu recompile tes sources....
ça t'évitera plein de manips douteuses ;o)
# Re: Paranoïa ...

Posté par ckyl le 10 juillet 2003 à 14:36. Évalué à 2.

- je télécharge un binaire sur un site a priori valide ;
- je n'ai pas de fichier md5 me permettant de valider que le binaire est bien tel que souhaité par le webmaster

Y'a un truc que je comprend pas la :

Cas 1 :
======

Archive ok, md5 ok

Ca peut dire deux choses. La premiere est que je vais bien tout va bien... La deuxieme que le serveur s'est fait rooté et que le binaire et le md5 ont ete modifies (bin oui faudrait etre debile pour ne modifier que le binaire)

Cas 2 :
======

Archive ok, md5 pas ok (voir la cas 1 pour le mechant tres con) ou probleme de telechargement....

Bref md5 ne permet ABSOLMENT pas de verifier si un binaire est sain, uniquement si le telechargement s'est mal passe. Si ma memoire ne me joue pas des tours dans MISC (3/4/5 ?) il y a justement un article sur les problemes de packaging linux et la secu.

A la limite les signatures GPG comblent ce probleme. Puisque meme si la machine est pirate il faut connaitre la pv key pour pouvoir changer le .sign. Mais si tu as le root sur la machine d'un dev ce n'est pas tres compliquer de recuperer la passphrase de celui-ci.

Apres ton truc peu etre interessant, notament pour regarder les differences entres plusieurs versions et verifie un possible trojanage du binaire.

On finira par une citation de thompson pour dire que meme si tu compiles toi meme t'es jamais certain de rien (c'est ce que les citations ca fait bien il parait)

The moral is obvious. You can't trust code that you did not totally create yourself. (Especially code from companies that employ people like me.)
- [^] # Re: Paranoïa ...
  
  Posté par Ramso le 10 juillet 2003 à 14:45. Évalué à 2.
  
  On finira par une citation de thompson pour dire que meme si tu compiles toi meme t'es jamais certain de rien (c'est ce que les citations ca fait bien il parait)
  
  The moral is obvious. You can't trust code that you did not totally create yourself. (Especially code from companies that employ people like me.)
  
  pour l'anectode, thompson concluait ainsi un article dans lequel il expliquait qu'il avait inséré du code pour le moins personnel dans les premières versions du compilateur c d'unix.
  quand le programme de login était compilé avec ce compilateur, ce dernier insérait une backdoor à la volée.
  les sources du programme de login étaient « saines » alors que le binaire...
  
  mes deux centimes
  - [^] # Re: Paranoïa ...
    
    Posté par ckyl le 10 juillet 2003 à 19:41. Évalué à 1.
    
    http://www.acm.org/classics/sep95/(...) pour l'histoire entiere.
    
    Et les "premieres versions" on durées un moment :-)
    
    Je pense que ca relativise pas mal le cote c'est libre c'est forcement secure !
- [^] # Re: Paranoïa ...
  
  Posté par saorge le 10 juillet 2003 à 14:54. Évalué à 1.
  
  Oui, oui, j'avais bien compris le principe de md5, c'est bien pour cela que j'ai écrit :
  je n'ai pas de fichier md5 me permettant de valider que le binaire est bien tel que souhaité par le webmaster
  OK, l'expression "tel que souhaité par le webmaster" aurait dû être remplacé par "tel que souhaité par la personne l'ayant mise là ainsi que le fichier md5". Mon truc ne concernait que la validité de ce que j'avais téléchargé, pas que le site était devenu non sûr.
  Mais c'est vrai qu'en y réfléchissant, j'aurais pû rajouter ce préjudice à ma liste.
  Pour la citation de Thompson, je ne la connaissais pas, mais c'est bien, ce type aime inspirer la confiance ;-))
# Re: Paranoïa ...

Posté par Ramso le 10 juillet 2003 à 14:38. Évalué à 1.

n'oublie pas la commande strings qui permet de sortir tout ce qui ressemble à du texte « humainement lisible » d'un binaire.

c'est aussi avec cette commande qu'on voit des références à bsd dans les binaires de certains programmes microsoft en ligne de commande :)
- [^] # Re: Paranoïa: une nécessité
  
  Posté par B. franck le 10 juillet 2003 à 15:22. Évalué à 1.
  
  un bon backdoor implémente un minimum de cryptage
  pour les chaînes qu'il utilise...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.