[Linux] Question
Fermé
ZombieBot0001
Messages postés
41
Date d'inscription
samedi 20 juillet 2019
Statut
Membre
Dernière intervention
26 septembre 2019
-
Modifié le 11 sept. 2019 à 16:08
mamiemando Messages postés 33079 Date d'inscription jeudi 12 mai 2005 Statut Modérateur Dernière intervention 23 avril 2024 - 20 sept. 2019 à 14:11
mamiemando Messages postés 33079 Date d'inscription jeudi 12 mai 2005 Statut Modérateur Dernière intervention 23 avril 2024 - 20 sept. 2019 à 14:11
A voir également:
- [Linux] Question
- Linux mint - Télécharger - Systèmes d'exploitation
- Diskinternals linux reader - Télécharger - Stockage
- Linux live usb creator - Télécharger - Outils Internet
- Play on linux - Télécharger - Divers Utilitaires
- Distribution linux - Guide
1 réponse
mamiemando
Messages postés
33079
Date d'inscription
jeudi 12 mai 2005
Statut
Modérateur
Dernière intervention
23 avril 2024
7 749
12 sept. 2019 à 12:04
12 sept. 2019 à 12:04
Bonjour,
Est-ce que configurer linux en lecture seule via "mount -o remount,ro /" est sûr à 100% d'empêcher tous les types de modification dans le dossier ?
Si le système de fichier est monté en lecture seule, effectivement, personne ne peut le modifier tant qu'il est monté ainsi. Ceci inclue root. Tu peux d'ailleurs essayer en cherchant un point de montage monté en
Par exemple chez moi
Les hackers peuvent-t'ils quand même apporter certaines modification ?
Tout dépend de ce le hacker est déjà parvenu à faire. Sans entrer dans les détails de comment faire (car ce n'est pas le but du forum) :
Quelques conseils pour se prémunir d'une attaque sont :
Bonne chance
Est-ce que configurer linux en lecture seule via "mount -o remount,ro /" est sûr à 100% d'empêcher tous les types de modification dans le dossier ?
Si le système de fichier est monté en lecture seule, effectivement, personne ne peut le modifier tant qu'il est monté ainsi. Ceci inclue root. Tu peux d'ailleurs essayer en cherchant un point de montage monté en
ro(
mount | grep "ro," | awk '{print $3}') et vérifier tu arrives à écrire dedans en root.
Par exemple chez moi
/sys/fs/cgroupest monté en
roet voici ce que j'obtiens :
(root@silk) (~) # touch /sys/fs/cgroup/toto
touch: impossible de faire un touch '/sys/fs/cgroup/toto': Système de fichiers accessible en lecture seulement
Les hackers peuvent-t'ils quand même apporter certaines modification ?
Tout dépend de ce le hacker est déjà parvenu à faire. Sans entrer dans les détails de comment faire (car ce n'est pas le but du forum) :
- Son premier but sera d'augmenter progressivement ses droits de sorte à avoir un shell root en exploitant les éventuelles failles présentes.
- S'il est parvenu a avoir un shell root il peut potentiellement remonter
/
enrw
(à vérifier). - S'il a accès physiquement à la machine, il peut intervenir avant le démarrage du système. En outre, grub permet de démarrer le système avec des options qui peuvent permettre de contourner certaines mesures de protection. Depuis le BIOS, on peut permettre de démarrer sur un média autre que le disque dur, ce qui permet à un pirate de commencer à travailler sur la machine,
Quelques conseils pour se prémunir d'une attaque sont :
- Maintenir son système à jour (pour limiter le nombre de failles de sécurité).
- Interdir les authentifications par mot de passe quand c'est possible (par exemple, pour ssh, en forçant l'utilisation de clés ssh). Le cas échéant prévoir des mots de passe forts qui sont brute-forçables.
- Les protections réseaux usuelles (
fail2ban
,iptables
,snort
...). - Ne pas changer les droits associés aux fichiers du système (comprendre
chmod
etchown
pour autre chose que des utilisateurs, c'est une erreur). De manière générale, être rigoureux sur les droits. - Chiffrer le disque dur (voir luks et lvm) pour éviter les modifications via un live CD/USB.
- Mettre un mot de passe dans le BIOS pour limiter les modifications via un live CD/USB (NB: c'est une protection contournable si on a accès physiquement à la machine).
- Pour les serveurs, les tenir dans une salle fermée à clé pour limiter les accès physiques.
- Ne pas ouvrir de fichiers qui ne sont pas de confiance, ne pas insérer de disque qui ne sont pas de confiance.
Bonne chance
13 sept. 2019 à 12:55
13 sept. 2019 à 15:41
Déjà, un petit merci eut été le bienvenu, par rapport à la réponse détaillée de mamiemando ;-\
Quant à ta nouvelle question, il te suffit de relire le 1er message pour avoir la réponse.
14 sept. 2019 à 19:29
20 sept. 2019 à 14:11
Enfin, comme je l'expliquais, un système de fichier ro n'est pas une fin en soi. Certains répertoires ne peuvent pas être purement en ro (e.g. , , ). De plus un système est fait pour être utilisé (sinon c'est un peu comme dire j'ai une voiture et je la laisse au garage). C'est pourquoi dans mon long message, je t'expliquais comment protéger proprement un système.
Bonne chance