PerfMonk a écritMerci pour ton commentaire pertinent "compote" :cool:
De rien, il n'est pas encore fini 😉
8140david a écritMerci beaucoup pour ta reponse tres detaillee et utile, compotes 🙂
Je t'en prie, dans la suite arrivent encore quelques infos.
-----------------------------------------------------------------------
Pour répondre à Tiramiseb plus en détail lire ce qui suit :
-----------------------------------------------------------------------
slt,
pour ce que je dis en dessous (et pour sa compréhension), il est important de savoir ce que l'on sait des dossiers Snowden. Pour comprendre notre situation actuelle donc, vous pourrez interagir avec ce lien quand vous voulez :
http://www.01net.com/editorial/611062/comment-la-nsa-peut-bidouiller-votre-iphone-votre-wifi-votre-pc-votre-ecran/
Au lien du dessus, il est important de visiter les miniatures d'images données en fin de l'article et donc données aux gens du monde entier sur les dossiers Snowden, et ainsi
mieux étoffer notre savoir sur ce que la NSA sait déjà faire (je vous conseille vivement sa lecture évidemment, c'est passionnant tout autant qu'effrayant !!!! ).
Tiramiseb, c'est important de dire que cela ne servira à rien "entre guillemets" d’activer le pare-feu sur Ubuntu. Car il n'y a rien en écoute. Tu peux donc enfoncer le clou comme tu dis, et le rappeler dans tes messages au début ou au au milieu ou en fin de message et perséverer ainsi dans tes prochains messages. Mais si tu as peur que nous n'ayons pas très bien compris ton point de vue à ce sujet, ce sera toujours le bienvenu. Et d'ailleurs c'est gentil à toi de le dire tous les deux messages depuis que tu es sur le forum, et de le répéter sans cesse, ça te rassure et sûrement nous aussi car l'on comprend que l'on est peut-être pas si en "danger" que cela si on active pas le parefeu Ubuntu, et ce grâce à des gens comme toi pour nous le rappeler, on peut dès en faire des certitudes.
Comme il est aussi important de rappeler l'existence tout aussi logique d'autres points de personnes un peu partout sur la toile et qui commencent à dire le contraire. Notamment avec les histoires accumulées et les preuves accumulées dans les dossiers des clés usb de Snowden A ce sujet on en apprend donc un peu plus chaque mois, et ça peut peut-être pousser des particuliers, à mettre en place des solutions de pare-feu réseau, à des endroits où on sait très bien qu'elles ne servent à rien, ils font cela justement par précaution, et je pense que ces gestes pourraient être compris assez logiquement.
Toujours selon les documents de Snowden, on a vu que la NSA avait réussi à mettre des backdoor matérielles ou logicielles (ou les deux), sur tout un tas d'équipement réseau, en allant de la Box internet pour particuliers, jusqu'aux matériels qui sont à la pointe de la technologie des entreprises et des états !!! Les dossiers nous parlent de type de parefeu matériel et logiel de grandes marques comme Cisco et bien d'autres encore qui seraient déjà incriminés et depuis longtemps !!! (lire le lien au dessus).
A tout cela, continuer à dire sur un forum public que nous sommes toujours dans l'ère du temps où Ubuntu peut tourner sans problème sans un pare-feu actif, est peut-être pas une si bonne idée que cela. Si rien n'a encore été prouvé jusqu'ici (et heureusement), tout laisse à penser que la première règle de la sécurité (quelle soit d'ordre informatique, ou d'orde de la sécurité routière (par exemple)), est peut-être ressemblante à ce qui suit :
_Ne jamais occulter un système de sécurité permettant de renfoncer la sécurité d'un procédé, surtout quand ce système est connu, et qu'il est éprouvé (comme le parefeu iptables). Si on fait sauter cette règle, on peut peut-être se mettre en danger par rapport aux nouvelles technologies non dévoilées dans les dossiers Snowden. Le fait de faire sauter des règles est pour moi un problème. Par exemple rouler trop vite sur certaines portions de routes (n'importe laquelle autoroute, rue en ville etc..) va influer directement sur la distance de freinage, si on roule trop vite, ce sera directement notre distance de freinage qui en sera impacté en cas de danger, quelqu'il soit.... On mettra trop de temps pour s'arrêter, soit on mettra de ce fait des gens en danger (piétons etc...), soit on se mettra soi-même en danger...
Bref, pour l'informatique, avec l'arrivée des révélations de Snowden, cela a bouleversé le monde entier, mais vraiment, les experts étaient loin de penser tout ce que les dossiers de Snowden ont prouvé, mais alors là complètement à cent mille lieues de certaines précisions concernant le code source des logiciels d'espionnages à grande échelle par exemple... Donc le particulier, doit être prudent à partir de maintenant, et mettre en route un pare-feu sur Ubuntu ne devrait plus faire partie des choses "inutiles" en 2014.....
Petit clou donc à enfoncer aussi.
Ensuite je vais reprendre les points que tu cites au dessus.
Au point 5° tu nous dit que Forward ne sera jamais utilisé sur une machine ( enfin, selon le cas que tu nous expliques). On sait déjà que si tu veux créer une machine Virtuelle (avec VirtualBox par exemple) alors si tu as mis (par précaution par exemple) la chaîne FORWARD sur DROP (en réglan ton IPTABLES quelques semaines avant), et que tu veuilles surfer avec le système d'exploitation "Windows Seven" que tu auras installé dans ta VirtualBox à l'intérieur de ton Ubuntu), la VirtualBox ne recevra jamais de paquet internet depuis Internet justement car si FORWARD est sur DROP, les paquets déstinés à ton Windows Seven ne passeront jamais. Je préfère éclaircir ce point tout de suite avec toi et les lecteurs, car les gens qui installent des Machines Virtuelles sont de plus en plus nombreux, ils pourraient être génés avant de comprendre qu'en réglant la politique de leur chaîne IPTABLES appelée FORWARD sur DROP pourrait les ennuyer terriblement. Je dis cela car je prends parti toujours d'expliquer comment IPTABLES fonctionne car c'est la question de base de l'auteur de cette discussion ici. Donc pour une Machine Virtuelle par exemple, il faudra mettre la politique de la chaîne FORWARD sur ACCEPT évidemment.
Pour le point 6°, (qui défini dans ce que je disais au dessus quelle est la "bonne" politique à indiquer à IPTABLES pour la chaîne OUTPUT" (et qui est ACCEPT dans les réglages que je donne ma règle numéro 6°), alors là rien à dire, tu as tout dit. Je le reprends en vitesse :
_comme c'est notre ordinateur, et que l'on sait ce que l'on installe comme logiciels dessus (en respectant la règle
de ne pas sortir des dépôts officiels pour récupérer paquets et logiciels bien sûr), alors on peut tout laisser sortir, on sait très bien que notre machine n'est pas corrompue, cela facilite aussi certains logiciels "complètement normaux" à utiliser Internet depuis ta machine car c'est toi qui les lances et que tu n'auras pas mis la règle OUTPUT sur DROP. Oui j'entends par là que mettre la politique de la chaîne "OUTPUT" sur "DROP" (mais aussi d'être du coup
obligé d'appliquer des règles de "sortie" des logiciels que l'on laisse accéder à Internet sur cette chaîne OUTPUT mise en DROP) est une source d'ennuis pour l'utilisateur, c'est clairement contre-productif sur une machine qui ne serait qu'un PC de bureau qui ne fait pas serveur. Maintenant cela servira sur un serveur oui, que ce soit un serveur d’entreprise ou non. Là il faudra l'utiliser probablement. Mais comme nous partons tous du principe que votre machine n'est pas corrompue car alimentée exclusivement de dépôts officiels, et que c'est votre machine, que en ce moment elle n'est pas dans le cadre de vous avoir été restituée à la suite d'un vol etc.. bref, que la filière "confiance en Cannonical" est intacte, alors vous pouvez sans problème laisser OUTPUT sur ACCEPT, et heureusement !!!
Pour le point 7°. J'ai laissé visible le "-p" sans savoir que c'était le réglage d'office, merci de ton info. Cependant je le laisserai toujours visible dans les prochains messages que je donnerai sur les forums pour deux choses :
_Avant sur IPTABLES il fallait préciser "-t filter" pour les règles à instaurer sur la table "filter", ensuite cela a changé, les concepteurs du logiciel IPTABLES se sont rendus compte qu'ils pouvaient faire en sorte que si "rien n'est précisé", alors ce sera la table "-t filter" qui sera utilisée par défaut ! Et comme les administrateurs d'IPTABLES agissaient quasiment toujours sur la table "-t filter", cela leur à fait des choses en moins à taper dans leurs terminaux, pour faire évoluer IPTABLES à "chaud" (dès qu'ils en avaient besoin...).
Donc je laisserai toujours mes indications "-p" et "-t filter" en place sur les lignes de commandes IPTABLES que je donne aux autres ici et ailleurs aussi pour le point suivant :
_cela montre où doivent être inséré ces spécifications dans une commande IPTABLES, car si on veut mettre une règle sur une autre table qui serait par exemple "-t raw" (pour atteindre la table "raw" dasn ce cas précis), cela montre à quel endroit précisément dans la commande IPTABLES on doit mettre la précision "-t raw" pour atteindre la table "raw" !!! Voilou.
Pour le point 8° tu as raison,il est mis en place ici si on a dans l'idée d'utiliser le paquet "Bind9" (que l'on trouve dans les dépôts Ubuntu), et donc en faisant cela, on précise à IPTABLES de laisser le chemin ouvert pour utiliser Bind9.
Bind9 comme on le sait, permet de résoudre les requêtes DNS directement sur notre machine, comme cela, si on est derrière un VPN (Virtual Privat Network) et que celui-ci laisse fuiter nos requêtes DNS, elles ne seront visibles par personne, car nous les faisont en "interne", sur notre interface "lo" dont l'adresse est 127.0.0.1. Donc voilà à quoi sert cette ligne via IPTABLES. Pour prévoir le passage à Bind9 aux utilisateurs qui auraient compris leurs intérêts à faire leur propre requêtes DNS en interne lorsqu'ils surfent avec leur VPN 😉 cela sera près d'avance pour eux.
----------------------------------------------------------------------
Oups, je m'excuse auprès du Forum_Ubuntu-France, je suis le membre "compotes", j'ai perdu mon mot de passe, pour répondre aujourd'hui j'ai créé un nouveau compte, mais là, j'ai bien noté mon mot de passe, encore mes excuses.
