Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Question sur GUFW

tiramiseb

Netfilter (dont j'ignorait l’existence) est-t-il activé par défaut dans tout noyau Linux ?

Netfilter est généralement présent et actif mais aucune règle n'est en place : par défaut, tout est autorisé.

pourquoi activer gufw ?

C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile. C'est inutile.

Relis toute cette discussion si tu n'as pas encore compris.

pires57

c'est un non-respect des protocoles, juste pour cacher des informations qui pourraient montrer que la machine n'est pas sécurisée : ça a peut-être été généralisé par les chantres de la « sécurité par l'obscurité

Absolument d'accord, c'est comme toutes ses conneries qu'on peut lire sur comment modifier le port d'écoute ssh pour protéger ... cela ne sert strictement à rien et on peut très facilement retrouver le port d'écoute utilisé.

[supprimé]

tiramiseb a écrit
[...]

Cas 1/ aucun logiciel serveur n'est en place sur cette machine, qui est maintenue à jour

[...]

C'est une explication très claire. Merci !
J'ajouterai juste un 7e cas (auquel je pense depuis ma première intervention) : celui des ordinateurs portables dont la configuration peut approcher les différents cas que tu décris (serveurs divers...) et surtout pouvant être amené à se connecter un peu partout 😉

tiramiseb

J'ajouterai juste un 7e cas [...] : celui des ordinateurs portables [...] pouvant être amené à se connecter un peu partout

Dans les cas que je présente, l'endroit où on se connecte importe peu : je considère qu'on est dans un réseau non sûr.

Par conséquent :
- si le portable en question est maintenu à jour et n'a pas de serveur, c'est le cas 1
- si le portable en question est maintenu à jour et a un ou plusieurs serveurs, c'est le cas 3
- si le portable en question est maintenu à jour et a un ou plusieurs serveurs mal configuré(s), c'est le cas 5
- si le portable en question n'est pas maintenu à jour et n'a pas de serveur, c'est le cas 2
- si le portable en question n'est pas maintenu à jour et a un ou plusieurs serveurs, c'est le cas 4
- si le portable en question n'est pas maintenu à jour et a un ou plusieurs serveurs mal configuré(s), c'est le cas 6

[supprimé]

tiramiseb a écrit
J'ajouterai juste un 7e cas [...] : celui des ordinateurs portables [...] pouvant être amené à se connecter un peu partout
Dans les cas que je présente, l'endroit où on se connecte importe peu : je considère qu'on est dans un réseau non sûr.

Par conséquent :
- si le portable en question est maintenu à jour et n'a pas de serveur, c'est le cas 1
- si le portable en question est maintenu à jour et a un ou plusieurs serveurs, c'est le cas 3
- si le portable en question est maintenu à jour et a un ou plusieurs serveurs mal configuré(s), c'est le cas 5
- si le portable en question n'est pas maintenu à jour et n'a pas de serveur, c'est le cas 2
- si le portable en question n'est pas maintenu à jour et a un ou plusieurs serveurs, c'est le cas 4
- si le portable en question n'est pas maintenu à jour et a un ou plusieurs serveurs mal configuré(s), c'est le cas 6

Ok, ... mais alors dans quel cas considères-tu un parefeu comme « nécessaire » ? Et selon toi, comment expliquer que l'ANSSI (et d'autres documentations de diverses distributions Linux) continue dans sa documentation à recommander son utilisation ? Là, il y a truc qui doit m'échapper...

(Je te taquine un peu, mais tu avoueras que l'usage du parefeu reste ultra recommandé... ce qui ne facilite pas la compréhension 😉 )

tiramiseb

dans quel cas considères-tu un parefeu comme « nécessaire » ?

Je considère un pare-feu nécessaire dans les cas où on ne maîtrise pas ce qui peut être en écoute.
Il y a plusieurs cas de figure, dont notamment les trois suivants :
- on n'est pas maître de ce qui tourne sur le PC que l'on utilise (genre le système d'exploitation est un peu "bloatware"... suivez mon regard)
- on administre un réseau sur lequel il y a des utilisateurs (donc pare-feu de réseau)
- on installe n'importe quoi sans réfléchir (donc on se met volontairement dans une situation où on ne maîtrise pas sa machine)

[supprimé]

tiramiseb a écrit
dans quel cas considères-tu un parefeu comme « nécessaire » ?
Je considère un pare-feu nécessaire dans les cas où on ne maîtrise pas ce qui peut être en écoute.
Il y a plusieurs cas de figure, dont notamment les trois suivants :
- on n'est pas maître de ce qui tourne sur le PC que l'on utilise (genre le système d'exploitation est un peu "bloatware"... suivez mon regard)
- on administre un réseau sur lequel il y a des utilisateurs (donc pare-feu de réseau)
- on installe n'importe quoi sans réfléchir (donc on se met volontairement dans une situation où on ne maîtrise pas sa machine)

Parfait, nous sommes donc bien d'accord :-)
Merci !

tiramiseb

Deux autres cas me viennent à l'esprit :

1/ on est obligé d'avoir un port ouvert alors qu'on n'en voudrait pas, alors on peut le fermer avec le pare-feu.

C'est par exemple le cas quand on a plusieurs interfaces réseau et un logiciel qui ne peut pas être configuré quant aux interfaces sur lesquelles écouter : si on veut qu'il ne desserve qu'un réseau, on bloque avec le pare-feu sur les autres réseau.

Autre cas de figure assez similaire, quand on veut sécuriser un flux avec stunnel et que le logiciel en question ne peut pas être configuré pour n'écouter que sur 127.0.0.1, on peut filtrer son "vrai" port pour n'autoriser que le port sécurisé.

2/ on veut limiter les accès à certaines adresses IP.

Par exemple, chez un de mes anciens employeurs, on gérait des serveurs de nos clients en télémaintenance. Pour limiter les risques, on configurait leur pare-feu de réseau afin de n'autoriser que nos adresses IP.

Cela dit, cela implique deux risques :
- il y a toujours la possibilité pour l'attaquant de faire du spoofing (bien que ça soit loin d'être hyper simple, hein)
- si on se retrouvait derrière une autre adresse IP, on ne pouvait pas accéder aux machines de nos clients (par exemple un jour on a eu une panne de courant, on est allés travailler chez l'un d'entre nous comme solution de repli, il y a certains clients chez lesquels on n'aurait pas pu se connecter)

[supprimé]

tiramiseb a écritDeux autres cas me viennent à l'esprit :

1/ on est obligé d'avoir un port ouvert alors qu'on n'en voudrait pas, alors on peut le fermer avec le pare-feu.

C'est par exemple le cas quand on a plusieurs interfaces réseau et un logiciel qui ne peut pas être configuré quant aux interfaces sur lesquelles écouter : si on veut qu'il ne desserve qu'un réseau, on bloque avec le pare-feu sur les autres réseau.

Autre cas de figure assez similaire, quand on veut sécuriser un flux avec stunnel et que le logiciel en question ne peut pas être configuré pour n'écouter que sur 127.0.0.1, on peut filtrer son "vrai" port pour n'autoriser que le port sécurisé.

2/ on veut limiter les accès à certaines adresses IP.

Par exemple, chez un de mes anciens employeurs, on gérait des serveurs de nos clients en télémaintenance. Pour limiter les risques, on configurait leur pare-feu de réseau afin de n'autoriser que nos adresses IP.

Cela dit, cela implique deux risques :
- il y a toujours la possibilité pour l'attaquant de faire du spoofing (bien que ça soit loin d'être hyper simple, hein)
- si on se retrouvait derrière une autre adresse IP, on ne pouvait pas accéder aux machines de nos clients (par exemple un jour on a eu une panne de courant, on est allés travailler chez l'un d'entre nous comme solution de repli, il y a certains clients chez lesquels on n'aurait pas pu se connecter)

Il y a également les cas détaillés dans le hors série de « Linux Identity » dédié à la sécurité sous Ubuntu (n°23) qui donnent matière à réflexion 😉

[supprimé]

Bonjour !

L'histoire , du pare feu ma toujours intéressé, j'ai moi même posté un sujet dessus
Je reconnais les compétences de tiramiseb

Je serais intéressé par le livre le Pujolle et le lien donné n'a pas l'air de fonctionner chez moi

je vois 2 versions

ICI

ET la

s'agit t'il bien de cela

je voudrais comprendre le réseau

et aussi
Sécurité informatique

D'avance Merci

tiramiseb

Oui ce sont bien ces livres.
Prends bien sûr la version la plus récente.

[supprimé]

Entendu Merci

[supprimé]

rudix a écritEntendu Merci

Je l'ai acheté ici il est dans sa huitième édition (huitième de façon automatique en version PDF) : http://izibook.eyrolles.com/produit/3104/9782212257861/Les%20reseaux

Très bien écrit et assez accessible, mais pour que justement il soit assez accessible, il faut absolument faire comme l'auteur le dit dans les premières pages, le lire dans l'ordre du livre, comme un roman finalement, on ne prend pas un roman de 375 page en le commençant par la 221 ème 😉 Bien qu'une fois assimilé on puisse aller plus facilement au chapitre qui nous intéresse bien sûr, car il est aussi, fait pour cela (le Pujolle pas le roman).

finalement si tu as bien compris ce que j'ai dit, c'est bien évidemment que ce livre, EST FAIT POUR LES DÉBUTANTS pffff ! ET LES PROS (ce que tu deviendras!) 😃

[supprimé]

Merci -pascal34- pour tes commentaires !

la sécurité est un sujet important de nos jours sur internet
je ne suis pas du genre a installer n’importe quoi

mais je pense qu'il faudrait peut être faire un cour , a beaucoup de monde
sur ce qu'est un réseau , moi le premier , a partir de la , les problèmes de sécurité,
et de pare feu apparaîtraient plus clair a beaucoup .enfin je pense

je commande le livre ce soir

[supprimé]

De rien, bonne lecture, je le trouve passionnant, pourtant je n'y connais pas grand chose !

[supprimé]

Mon livre Pujolle les réseaux a été livré ce matin , ce n'est pas un format de poche !

je pense que c'est ce qu'il me fallait

Haleth

Ok, ... mais alors dans quel cas considères-tu un parefeu comme « nécessaire » ?

Un parefeu, c'est génial pour faire de la modification de paquet à la volée.
Sinon, son utilité varie entre "rien" et "pas grand chose".

Enfin, j'ai une vision des gens adultes, avec un truc entre les oreilles, et un minimum responsable .. naïf que je suis;

tiramiseb

Haleth: espèce de troll ! :p

rudix a écritce n'est pas un format de poche !

Ah oui non, c'est plutôt à classer dans la catégorie des "pavés", voire des monolithes 😃

Bonne lecture ! 😉

[supprimé]

rudix a écritMon livre Pujolle les réseaux a été livré ce matin , ce n'est pas un format de poche !

je pense que c'est ce qu'il me fallait

Tu as donc le format papier, génial, car j'ai trouvé deux pages avec des phrases non finies dans le format pdf ! Il faudra que je te demande quelles sont ces phrases complètes si tu les as sur le papier. (si tu veux (ou peux) ?) Merci d'avance Rudix...

: o )

[supprimé]

oui j'ai le format papier ,

@-pascal34-

si ce n'est pas trop long a écrire bien sur , et en restant dans la légalité vis a vis de l'éditeur
si tu as des numéros de pages ?

« Page précédente Page suivante »