Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Confinement de processus graphiques

Ekinoks

Bonjour,

J'aurais aimé avoir vos avis sur quelle procédure suivre lorsque l'on souhaite exécuter un binaire (avec interface graphique) potentiellement malveillant (donc toute application non open source).

L'idéal serait de pouvoir lancer l'application comme ça :

secure_exec ./leBinaire

et être sur que quelque soit le binaire exécuté, notre système reste saint.

Vous avez la connaissance d'un outil aussi simple d'utilisation que ça pour isoler un processus ?

En cherchant sur internet, je suis tombé sur quelques méthodes permettant d'isoler un processus :
- machine virtuelle style virtualbox : un peu trop usine a gaz.
- chroot : Est-ce que c'est suffisamment sécurisé ?
- lxc : Peut-on exécuter des applications graphiques ?

Que conseillerez-vous comme méthode ?

Merci

jplemoine

Ekinoks a écritmachine virtuelle style virtualbox : un peu trop usine a gaz.

oui. C'est un peu "prendre un marteau pour écraser une mouche"

Ekinoks a écritchroot : Est-ce que c'est suffisamment sécurisé ?

oui. je pense que c'est bon mais je ne sais pas faire facilement

Ekinoks a écritlxc : Peut-on exécuter des applications graphiques ?

je ne connais pas.

[supprimé]

Je suis un adepte du chroot. --> https://wiki.debian.org/fr/Chroot
Ce dernier est très proche du jail de FreeBSD par exemple. --> https://www.freebsd.org/doc/fr_FR.ISO8859-1/books/handbook/jails.html
Je ne connais pas lxc non plus 😉

Ekinoks

Merci pour vos réponses, je vais partir sur un chroot alors 😃

Ekinoks

Ça marche très bien 😃

Si ça intéresse quelqu'un voici un petit script qui permet de lancer une commande en chroot en faisant simplement :

secure nom_de_la_commande

fichier secure :

#!/bin/bash

PATH_CHROOT="/chroot" 	# Creer un chroot et donner le lien ici

if [ $# -lt 1 ]; then
	echo "Erreur : commande à exécuter à donner en argument."
	exit 1
fi

if [ ! -d "$PATH_CHROOT/tmp/rep" ];then
	sudo mkdir $PATH_CHROOT/tmp/rep
fi

sudo mount --bind $(pwd) $PATH_CHROOT/tmp/rep

sudo chroot /chroot /bin/bash -c "cd /tmp/rep && $*"

sudo umount $PATH_CHROOT/tmp/rep

exit 0

Ne pas oublier de remplacer la valeur de PATH_CHROOT...