Netfilter m'a permis de bloquer les ports de pas mal de programmes, des programmes qui ouvraient eux-même des ports sur Ubuntu.
Quand tu installes un programme qui agit en tant que serveur, c'est que tu veux faire serveur. Si ensuite tu bloque le port en question, autant désinstaller le programme en question (ou alors le configurer correctement pour qu'il n'écoute pas sur le réseau).
on sait que un pare-feu va être "optimal" si aucun port n'est indiqué comme "Closed"
Qui est "on" ? Qu'est-ce que "optimal" ? Tu es assez vague dans tes explications...
Ah oui désolé, j'avais oublié... Comme tu l'as toi-même indiqué, tu es un débutant qui découvre au fur et à mesure la sécurité des réseaux, tout ça tout ça... Et moi ? MMmmhhh ah oui, c'est vrai, la sécurité informatique c'est mon boulot...
(cette attaque personnelle était sponsorisée par ta petite phrase "Il est gentil mdrr !". Na !)
le port 113 est toujours indiqué comme "Closed" au lieu de "SLEATH" rendant ma box bien plus visible sur le net à cause de cela [...] ce port est Closed et du coup visible pour les pirates. Ca leur facilite grandement là tâche,
visible pour les pirates ?
Qu'un port soit "closed" ou "stealth" (et non "sleath"), cela ne change pas grand chose pour un pirate.
Pour que tout le monde comprenne bien :
- un port dans l'état appelé "closed", c'est un port sur lequel la machine (la box dans le cas décrit par -pascal34-) répond "désolé, la porte est fermée, tu peux aller voir ailleurs si j'y suis"
- un port dans l'état appelé "stealth", c'est un port pour lequel la machine (la box dans le cas décrit par -pascal34-) ne répondra rien, la tentative de connexion finira en "timeout"
La seule chose que fait un port dans l'état "closed" c'est qu'avec cette réponse, le pirate peut essayer de deviner sur quel genre de système il tente d'accéder (car chaque système a sa manière de répondre, car les piles réseau des systèmes sont différentes). Ok, le pirate peut avoir un peu d'information qui lui permettent de commencer à essayer de deviner ce qu'il a comme machine en face de lui... Mais franchement... Un pirate qui attaque une machine sur le réseau de Free... Tu ne crois pas qu'il est déjà au courant qu'il attaque une Freebox !?
c'est pour ça que j'ai mis un routeur derrière ma box, et sur ce routeur entre ma Livebox et mes ordinateurs, j'ai activé le pare-feu et toutes ces petites options de pare-feu
Un pare-feu de réseau, c'est bien. Remplacer sa box par une machine qu'on gère soi-même, c'est bien.
Mais ça ne correspond pas au cas classique de la personne qui utilise sa box comme routeur.
Je rappelle qu'à partir du moment où aucune redirection n'est configurée sur la box, la machine interne n'est pas joignable tout simplement car elle a une adresse IP privée, non routable sur Internet.
Ça changera quand tout le monde sera (enfin) en IPv6, mais malheureusement c'est pas demain la veille.
Voir la page de Commentcamarche [...]
Mwahaha. Commentcamarche. Sur le sujet de la sécurité. Vraiment ?
J'ai beaucoup de respect pour CCM, on avait commencé nos sites d'aide aux béotiens ensemble, on avait même un partenariat au début, ça devait être aux alentours de 1998 ou 1999... Mais ce n'est clairement pas sur ce site-là que j'irai chercher des conseils en sécurité informatique. On y lit tellement d'énormités, sur tellement de sujets...
Du coup si on comprend bien ce que j'ai fait : [...]
Je te conseillerais de virer le "mode routeur" de ta box (si c'est faisable avec une Livebox) et de capitaliser toute la sécurité sur ton routeur, qui aura alors l'adresse IP publique : la gestion sera simplifiée car la livebox sera transparente, tu n'auras plus à t'inquiéter qu'il puisse lui arriver telle ou telle chose : elle ne fera plus office que de modem.
Sauf que quand tu lances des logiciles, tu reçois du trafic venant d'internet (Firefox, Thunderbird...etc...) donc ton PC est accessible,
Attention, lancer un logiciel client et recevoir du trafic n'a rien à voir avec une ouverture de port !
qu'est-ce qu'on fait pour lutter contre l'IP SPOOFING sur Ubutnu ?
Le spoofing est un cas très rare, il est très difficile à mettre en œuvre pour un pirate, trop difficile pour qu'un simple PC lambda motive à essayer de faire ça. Après, si on parle d'un PC "confidentiel défense", bien sûr, il faut s'y pencher.
[...] /proc/sys/net/ipv4/conf/all/rp_filter [...]
Le
reverse path filtering fonctionne de la manière suivante :
1/ quand la machine reçoit un paquet, elle vérifie par quelle interface ce paquet arrive
2/ la machine vérifie alors que l'adresse IP source du paquet est joignable par l'interface d'où le paquet arrive
3a/ si l'adresse source est bien joignable par l'interface d'où le paquet est arrivé, le paquet est accepté
3b/ si l'adresse source est joignable par une autre interface, le paquet est ignoré
Par conséquent, à partir du moment où on n'a qu'une seule interface active sur une machine (c'est le cas de l'écrasante majorité des postes de travail), le rp filtering est tout bonnement inutile.
C'est utile sur un routeur, et encore... Ça permet juste de valider qu'un paquet provient du bon endroit : si l'IP spoofing a lieu en amont de ton réseau (chez ton FAI, sur le serveur distant, etc), le noyau n'y verra rien, car les paquets viendront bien par la bonne interface. Donc le seul spoofing qui sera détecté c'est quand une machine interne essaiera de se faire passer pour une machine publique ou inversement. L'attaque en question est très limitée car de toute manière le paquet de réponse ne pourra pas arriver vers le serveur qui essaie de spoofer, la réponse suivant le routage classique et sortant par la "bonne" interface.
Donc le conseil que tu donnes est totalement inutile sur un poste de travail et a un intérêt limité sur un routeur personnel.
Non la règle sur IPV6 ne sert pas à "rien", à cause de cela [...]
La règle sur IPv6 sert autant "à rien" que la règle en IPv4, pour les raisons que je viens d'exposer.
Concernant le lien que tu as donné sur l'autoconfiguration IPv6, je t'ai déjà répondu dans une autre discussion.
Il y a un risque, mais encore une fois c'est assez limité ; surtout sur un réseau personnel.
un nmap sur mon Pc Ubuntu (depuis un ordi sous Windows) m'en a trouvé d'autres
Je suis prêt à parier que pour chacun on pourra trouver une explication rationnelle et une solution qui n'implique pas le pare-feu ; par exemple arrêter le logiciel serveur qui écoute sur le port incriminé, si tu ne veux pas qu'il soit joignable autant l'enlever plutôt que de le laisser tourner et bloquer les paquets.
on va laisser les découvrir par nos lecteurs
Dans le genre FUD, tu es fort...
donc un type qui aura réussi à avoir un accès à ton PC n'est pas dangereux pour ta vie privée, et tes données, aucun soucis.
Encore une fois, rien à voir.
Sur un PC de type poste de travail classique, sous Ubuntu, maintenu à niveau, sans pare-feu ou avec pare-feu ça ne changera rien car le pare-feu ne bloquera rien.
Si tu t'amuses à installer plein de serveurs à tort et à travers, c'est autre chose : mais là, il vaut mieux apprendre à gérer un système plutôt que de faire comme sous Windows, installer des milliers de choses et tout bloquer avec un pare-feu.
Il faut arrêter de croire (et surtout de faire croire) qu'un pare-feu est une sécurité ultime. Un pare-feu de poste de travail sert juste à combler les lacunes en terme d'administration de gens qui installent tout et n'importe quoi ou de systèmes mal sécurisés.
Pour qu'un type n'accède pas à un PC, il est bien plus efficace de ne pas installer n'importe quoi et surtout de maintenir son système à jour.
Car même si un port est ouvert avec un logiciel serveur en écoute, à partir du moment où il n'y a pas de faille exploitable ou de configuration hasardeuse on ne craint rien.
ça c'est valable pour un PC qui n'est jamais branché sur Internet bla bla bla
Non, c'est valable pour un PC qui n'a aucun port en écoute et qui est à jour du point de vue de la sécurité de ses logiciels.
PC sur Internet = risques RÉELS DIVERS et VARIÉS
Risques contre lesquels un pare-feu ne peut pas grand chose, voire rien du tout !
Aller mettre ses données sur un CLOUD, les rendant ainsi directement accessible au moindre péquin du réseau qui possède le cloud
Là tu exposes bien ta méconnaissance crasse du sujet. Un espace de stockage en cloud n'est pas nécessairement un espace de stockage public. As-tu déjà utilisé ne serait-ce que Dropbox ?
encore pire, ce serait d'y déposer ses données chiffrées [...] les mecs peuvent directement se mettent à attaquer par force brute tes fichiers chiffrés
Brute force ? Sur un chiffrement solide (algos récents, tout ça), le brute force n'a aujourd'hui aucune efficacité, sauf peut-être à y mettre les moyens (ferme de superordinateurs, etc).
NETFILTER [...] à quoi il servirait ce logiciel ?
Je me demande d'ailleurs pourquoi Cannonical le met toujours dans les dépôts
Netfilter fait partie intégrante du noyau Linux. Pourquoi Canonical (avec deux "n", pas trois) le laisse dans le noyau ? Car parfois on en a besoin.
Sinon, les milliers de drivers présents dans le noyau, tu les charges tous ? Non parce que, pourquoi Canonical les laisse dans le noyau ? Ils pourraient faire un noyau ultra léger qui ne contient que les drivers pour ton propre matériel, ce serait tellement plus simple pour toi !
[...] les hackers [...]
Certains cheveux se hérisseraient en lisant quelqu'un qui essaie de donner des leçons de sécurité (comme toi) utiliser le terme "hacker" comme synonyme de "vilain pirate". Comme quoi, les médias de masse ont une forte influence, hein...
http://fr.wikipedia.org/wiki/Hacker_(s%C3%A9curit%C3%A9_informatique)
http://fr.wikipedia.org/wiki/Hacker_(universit%C3%A9)
TOR, car il protège ta vie privée tellement bien
J'ai parlé de "solutions telles que Tor". C'est le plus populaire. Mais je n'aime pas Tor. Oui il y a des failles, oui il y a des attaques possibles. Comme pour tout système informatique.
De toute manière, mon avis sur la vie privée a déjà été donné. Tu veux une vraie vie privée ? Coupe Internet.
pour rester Anonyme sur la toile [...] Activer son pare-feu [...]
Aucun rapport entre le pare-feu et la vie privée. Un pare-feu ne rend pas anonyme. Tu induis les gens en erreur, c'est très méchant de ta part.
pour rester Anonyme sur la toile [...] fournisseur de VPN [...] qui ne garde AUCUN LOGS
Sauf qu'il n'y a pas que les logs. À partir du moment où tu es connecté, tu es identifiable. Et si tu utilises constamment ton fournisseur de VPN, alors à tout moment tu es pistable, car tu y es connecté.
Bref la sécurité en 2014 veut dire bien plus de choses que tu ne sembles le penser Tiramiseb.
Bref la sécurité en 2014 veut dire bien plus de choses que tu ne sembles le penser -pascal34-.
Plutôt que de remettre en cause ce que les spécialistes du domaine consentent à t'expliquer ici, essaie de réfléchir et de ne pas t'arrêter à des bouts d'informations que tu glânes ci et là.
l'autre jour que je te disais que tu pensais comme un papi !
Moi je te dis que tu penses comme un débutant et que tu as encore pas mal de choses à apprendre en terme de sécurité informatique.
Au début de ma carrière professionnelle, il y a un peu plus de 10 ans, je pensais comme toi, je voulais mettre des pare-feux partout, parce que j'avais lu plein de trucs sur plein de sujets différents, du même acabit que ce que tu cites à longueur de posts. Et ce n'est qu'ensuite que j'ai réellement appris la sécurité informatique, après avoir effleuré de manière très artificielle et avec plein de préjugés, comme toi actuellement...
Pour conclure, je répéterai un principe très simple à retenir : la sécurité d'un système d'informations doit être relative à la sensibilité de ce qu'on veut y protéger.
On ne met pas une "muraille de Chine" autour d'une capsule de bière et on ne met pas des murs en carton sur un bunker anti-nucléaire.
(wow, 50 minutes pour écrire ce message ! il faut vraiment que je sois particulièrement dévoué pour "perdre" ce temps alors qu'à côté j'ai un vrai travail, qui parle de Shorewall, de TLS, de SSH, etc avec une deadline dans 2 jours)
