Bonjour,
J'aimerais à travers ce sujet recenser le maximum de points de sécurité et de confidentialité à traiter, les classer et les développer afin d'écrire un article qui expliquerait comment sécuriser un poste de travail Ubuntu LTS
pour une utilisation standard et aussi comment sécuriser son environnement (réseau ...). L'article serait réétudié et mis à jour à la sortie de chaque nouvelle LTS.
Définition de l'utilisation standard d'un poste Ubuntu LTS (à compléter) :
- Utilisation du poste comme client uniquement et éventuellement comme serveur SSH,
- Utilisation des dépôts officiels à jour,
- Utilisation éventuelle de dépôts tiers (aux risques et périls de l'utilisateur) uniquement lorsqu'ils fournissent des paquets supplémentaires non fournis par les dépôts officiels.
Ci-dessous une liste "brute" concernant les points à aborder. Pour ceux que cela intéresse :
- Dans un premier temps, pouvez-vous la compléter ou à la corriger ?
- Dans un second temps nous l'organiserons pour regrouper les thèmes communs et définir un plan.
- Dans un troisième temps, nous répondrons à tous les points.
- Et enfin, nous rédigerons un article.
1. Bugs Reporter (whoopsie, kerneloops, apport, crashreporter firefox, crashreporter thunderbird, ..., ?) :
- Qu'envoient-ils réellement comme information ?
- Où envoient-ils les informations ?
- Peut-on sans crainte utiliser les "bugs reporter" dans un environnement contenant des données confidentielles ?
- Logs relatifs aux bugs reporter (informations recueillis, URL de destination ...) => fichiers logs / mot clés
2. Contrôler les ports et connexions :
- Obtenir des informations sur les connexions en cours avec la commande netstatb (paramètres, comment lire la sortie de la commande ...),
- Obtenir la liste des ports ouverts avec commande nmap,
- Logs relatifs aux connexions et ports utilisés => fichiers logs / mot clés
- Autres solutions ?
3. Parefeu (ufw/iptables) :
- Bloquer toutes les connexions entrantes (qui n'ont pas été initiées par l'hôte),
+ Autoriser les connexions entrante vers notre serveur SSH,
+ Autoriser les connexions entrante vers notre serveur SSH en filtrant par IP sources,
- Bloquer des connexions en sortie ?
+ Existe t-il une liste noire d'IP internet ?
- Logs relatifs à ufw/iptables => fichiers logs / mot clés
- Comment tester son parefeu ?
4. Rootkit :
- Qu'est-ce qu'un rootkit ?
- Comment s'en protéger ?
5. Protéger son LAN (livebox, bbox ...) :
- WIFI
+Type de clé à utiliser (WPA ...) ?
+ WPS => Bonne ou mauvaise solution, y-a-t-il des failles connues ? Quelles recommandations à ce sujet ?
+ Filtrage par adresse MAC ?
+ Masquer son SSID ?
+ Tester la sécurité de son point d'accès Wifi via Kali Linux (wifite ?)
- DHCP
+ Filtrage par adresse MAC ?
+ Possibilité de sécuriser le serveur DHCP de sa box ?
- Est-il recommandé d'utiliser les serveur DNS de son FAI ou d'en utiliser d'autres (lesquels) ?
6. SSH :
- Protéger son client SSH :
+ Y a-t-il des options à activer pour renforcer la sécurité ?
- Protéger son serveur SSH :
+ Authentification par clé uniquement ?
* Algorithme de chiffrement,
* Taille de la clé,
* Contrainte sur le mot de passe,
* ssh-agent est-il fiable ?
* enregistrer le mot de passe de sa clé dans son trousseau est-il fiable ?
* Craquer le mot de passe d'une clé privée par attaque bruteforce / dictionnaire est-il "rapide" ?
* Faut-il stocker sa clé privée dans un espace sécurisé (répertoire chiffré par exemple) ?
* Fail2ban est-elle une solution alternative ou complémentaire à l'authentification par clé ?
+ Désactiver le reverse tunneling ?
+ Désactiver le X11Forwarding (si non requis) ?
+ Restreindre les utilisateurs autorisés a effectuer une connexion SSH sur l'hôte,
+ Ne pas autoriser les connexions avec le compte "root" (ou avec authentification par clé uniquement),
+ Filtrer les IP sources autorisées à se connecter (via ufw/iptables ?)
+ Autres options ?
- Logs relatifs aux connexions SSH => fichiers logs / mot clés
- Tester la sécurité de son serveur SSH ? via Kali Linux ?
7. Protéger sa "liste" de mots de passe :
- KeePassX
* Craquer le "master password" d'une base KeepassX par attaque bruteforce/dictionnaire est-il "rapide" ? KeePassX semble moins sécurisé que KeePass à ce sujet =>
http://keepass.info/help/base/security.html#secdictprotect
* Faut-il stocker sa base dans un espace sécurisé (répertoire chiffré par exemple) ?
- Solution alternative à KeePassX plus sécurisée ?
8. Navigateur (Firefox, Chromium ... ?) :
- Y-a-t-il un navigateur plus sécurisé qu'un autre ?
- Comment sécuriser firefox ?
+ Désactiver le rapport de santé est-il utile sur un environnement qui contient des informations confidentielles,
+ Désactiver les rapports d'erreur est-il utile sur un environnement qui contient des informations confidentielles,
- Les modules complémentaires :
+ adblock+ a t-il un intérêt d'un point de vue confidentialité/sécurité ?
+ noscript a t-il un intérêt d'un point de vue confidentialité/sécurité ?
+ ghostery a t-il un intérêt d'un point de vue confidentialité/sécurité ?
+ Liste blanche des modules complémentaires ?
+ Liste noire des modules complémentaires ?
- Se passer de flashplugin / utiliser une solution alternative ?
- Se passer de java / utiliser une solution alternative ?
- Enregistrement des mots de passe + utilisation d'un "mot de passe principal" ?
9. Java :
- Peut-on se passer de java ?
- Oracle Java (propriétaire) vs . OpenJDK (libre) en terme de performances/sécurité/maintenance/support ?
10. Flashplugin :
- Peut-on se passer de flash ?
- Solution alternative plus sécurisée ?
11. Protéger son serveur graphique :
- Faille de sécurité sur Xorg : une application peut lire ce que l'utilisateur saisit dans une autre application :
+ Est-ce le cas ? Faille pouvant être utilisée par un keylogger ?
+ Existe t-il un moyen de sécuriser cela ?
+ Wayland est-elle une solution + sécurisé que Xorg ? :
* Wayland est-il stable et compatible avec toutes les applications graphiques ?
* Wayland est-il supporté/installable sur Ubuntu 16.04 ?
12. Messagerie :
- Y a-til un client lourd (Thunderbird, ... ?) + sécurisé/confidentiel que les autres ?
- Y a-t-il un webmail plus sécurisé/confidentiel que les autres (laposte, gmail, yahoo ...) ?
- Client lourd thunderbird vs. webmail en terme de sécurité/confidentialité ?
- gmail vs. laposte en terme de sécurité/confidentialité ?
- Thunderbird :
+ Liste blanche des modules complémentaires ?
+ Liste noire des modules complémentaires ?
+ Information à ne jamais communiquer par mail (mot de passe, informations bancaires, ...).
+ Enregistrement des mots de passe + utilisation d'un "mot de passe principal" ?
13. Tor :
- Naviguer anonymement apporte-t-il réellement une protection niveau confidentialite et sécurité ?
- Cela comporte t-il des risques ?
- Anonymat relatif ? Projet Tor financé à 60% par l'état américain =>
http://www.cil.cnrs.fr/CIL/spip.php?article2027
14. Logs :
- Quels logs surveiller pour détecter les principaux problèmes de sécurité (auth, sshd, ifw/iptables ...)
16. Dépôts PPA :
- Est-il possible de dresser une liste des dépôts PPA "certifiés" ou considérés comme "fiable" ?
- Est-il possible de dresser une liste des dépôts PPA "stables" ?
17. Proctection des données :
- Chiffrement des partitions (LUKS) :
+ Personnnaliserldes contraintes sur les mots de passe ?
+ Craquer le mot de passe d'une clé privé par attaque bruteforce / dictionnaire est-il "rapide" ?
+ Possibilité d'utiliser un keyfile au lieu d'un mot de passe ?
* Est-ce plus sécurisé ?
* Comment utiliser de façon fiable son keyfile au démarrage du système ? (via une clé USB ?)
* Où stocker son keyfile ? dans un espace sécurisé (clé USB dans un tiroir fermé à clé ? ...) ?
+ Sauvegarde des en-tetes ? où les stocker ? dans un espace sécurisé (répertoire chiffré sur une clé USB dans un tiroir fermé à clé ? ...) ?
+ Risques liés au chiffrement des partitions (dépannage et récupération des données plus compliqués ...).
- Chiffrement de patrimoine (container / coffre fort)
+ Quelle solution ? trueCrypt, EncFS ... ?
+ Craquer les mot de passe d'un "coffre-fort" par attaque bruteforce / dictionnaire est-il "rapide" ?
+ Possibilité d'utiliser un keyfile au lieu d'un mot de passe ?
* Est-ce plus sécurisé ?
* Où stocker son keyfile (clé USB dans un tiroir fermé à clé ? ...) ?
- Sécuriser le montage automatique des clés/disques USB par un mot de passe (mot de passe de l'utilisateur courant) via une règle polkit
18. Compte utilisateur :
- Personnaliser les contraintes sur les mot de passe ? (nombre minimal de caractères ...),
- Forcer un utilisateur à changer régulièrement son mot de passe (expiration du mot de passe tous les X jours),
- Tester la robustesse de son mot de passe face aux attaque par dictionnaire ou bruteforce via "john the ripper",
- Logs relatifs aux connexions utilisateurs => fichiers logs / mot clés.
19. GRUB
- Mettre un mot de passe pour empêcher la modification des options de démarage,
- Bug Ubuntu 16.04 à vérifier => lorsqu'on sécurise grub pour qu'on ne puisse pas modifier les options de démarrage, on ne peut également plus démarrer sur un ancien noyau (mot de passe requis).
20. Sécuriser BIOS :
- Mot de passe pour modifier le BIOS,
- Mot de passe pour empêcher l'accès au boot menu,
- BIOS vs. UEFI question sécurité ?
21. Sudo
- un "timestamp_timeout > 0" représente t-il un risque de sécurité ?
- Options pour sécuriser sudo ?
- Utilisation de "sudoedit" au lieu de de "sudo vim" / "sudo nano" ...
- Logs relatifs à sudo => fichiers logs / mot clés
22. Mises à jour :
- Comment installer automatiquement uniquement les les mises de sécurité ?
- Comment installer automatiquement toutes les mises à jour ?
- Comment vérifier que les mises à jour automatiques s'éffectuent bien ? => Logs : fichiers logs / mots clés
23. Les services :
- Y a-t-il par défaut des services inutiles dans l'utilisation standard d'un poste Ubuntu que l'on peut désactiver ?
24. Antivirus :
- Pertinence de l'utilisation d'un antivirus (libre),
- Automatiser l'analyse régulière des données,
- Quels sont les répertoires à exclure des analyses (/sys, /dev, /proc ? montages réseaux ? ... ?),
- Analyser les résultats d'une analyse.
25. Les bonnes pratiques :
- Ne jamais ouvrir de session graphique avec le compte root,
- N'utiliser les droits root que lorsque c'est nécessaire,
- Ne pas utiliser le même mot de passe pour différentes applications / sites ...
- Utiliser des mots de passe robustes,
- Modifier régulièrement ses mots de passes,
- Ne pas stocker des données confidentielles en clair,
Merci.
