10.5. Sécurité des fichiers et des systèmes de fichiers

Quelques minutes de préparation et de planification avant de mettre votre système en ligne peut vous aider à le protéger ainsi que les données qu'il contient.

• Il ne devrait y avoir aucune raison pour que le répertoire « maison  » d'un utilisateur y autorise l'exécution de programmes SUID/SGID. Utiliser l'option nosuid dans /etc/fstab pour les partitions en écriture par d'autres que root. vous pourrez aussi souhaiter utiliser nodev et noexec sur la partition des répertoires des utilisateurs, ainsi que sur /var, interdisant ainsi l'exécution de programmes, et la création de périphériques caractère ou bloc, qui ne devraient jamais être nécessaires de toute façon.

• Si vous exportez des systèmes de fichier via NFS, assurez vous de configurer /etc/exports avec le plus de restrictions d'accès possibles. Cela signifie ne pas utiliser de caractères d'englobement (* ?) ni autoriser un accès pour root en écriture, et exporter en lecture seule chaque fois que c'est possible.

• Configurez le umask de création de fichier des utilisateurs le plus restrictif possible, voir Paramètres umask.

• Si vous montez des systèmes de fichier en utilisant un système de fichier réseau comme NFS, assurez vous de configurer /etc/exports avec des restrictions appropriées. Généralement, utiliser `nodev', `nosuid', et même `noexec', est désirable.

• Fixer les limites du système de fichier, au lieu de le laisser illimité comme il est par défaut. Vous pouvez contrôler des limites par utilisateurs en utilisant le module de limites de ressources PAM et le fichier /etc/pam.d/limits.conf. Par exemple, les limites pour le groupe users pourraient ressembler à cela :

  @users hard core 0 @users hard nproc 50 @users hard rss 5000

  Cela interdit la création de fichiers « core  », limite le nombre de processus à 50, et limite l'utilisation de la mémoire par utilisateur à 5Mo.

  Vous pouvez aussi utiliser le fichier de configuration /etc/login.defs pour régler les mêmes limites.

• Les fichiers /var/log/wtmp et /var/run/utmp contiennent les registres de connexion pour tous les utilisateurs de votre système. Leur intégrité doit être assurée, car ils peuvent être utilisé pour déterminer quand et d'où un utilisateur (ou un possible intrus est entré sur le système. Ces fichiers devraient aussi avoir des permissions en 644, sans affecter la marche normale du système.

• Le bit « inaltérable  » peut être utilisé pour empêcher l'effacement ou l'écrasement accidentel d'un fichier qui doit être protégé. Cela empêche aussi quelqu'un de créer un lien dur vers le fichier. Voir la page de man de chattr(1) pour plus d'information sur le bit « inaltérable  ».

• Les fichiers suid et SGID sur votre système présentent un risque potentiel de sécurité, et devraient être surveillés de près. Du fait que ces programmes donnent des privilèges particuliers aux utilisateurs qui les exécutent, il est nécessaire de s'assurer que des programmes non surs ne sont pas installés. Un coup favori des « crackers  » est d'exploiter les programmes SUID-root, puis laisser un programme suid comme porte dérobée (backdoor) pour rentrer à nouveau plus tard, même si le trou original a été bouché.

  Cherchez tous les programmes SUID/SGID sur votre système, et garder une trace de ce qu'ils sont, de sorte que vous puissiez vous rendre compte de tout changement, ce qui pourrait indiquer un intrus potentiel. Utilisez les commandes suivantes pour trouver tous les programmes SUID/SGID de votre système :

  root# find / -type f \( -perm -04000 -o -perm -02000 \)

  Vous pouvez supprimer la permission suid ou SGID sur un programme suspect avec la commande chmod, puis changez la à nouveau si vous vous rendez compte que c'est absolument nécessaire.

• Les fichiers en écriture non restreinte (world-writable), plus particulièrement les fichiers systèmes, peuvent être un trou de sécurité si un cracker obtient l'accès à votre système, et les modifie. De plus, les répertoires en écriture non restreinte sont dangereux, car ils autorisent à un cracker de créer ou effacer des fichiers à volonté. pour localiser de tels fichiers sur votre système, utilisez la commande suivante :

  root# find / -perm -2 ! -type l -ls

  et assurez vous de la cause de l'existence de tels fichiers. En utilisation normale, plusieurs fichiers seront en écriture non restreinte, même certains fichiers de /dev, et les liens symboliques,, d'où le ! -type l qui exclus ces derniers de la commande find.

• Les fichiers sans propriétaires peuvent aussi être un signe qu'un intrus est passé par là. Vous pouvez localiser les fichiers qui n'ont pas de propriétaire ou de groupe propriétaire grâce à la commande :

  root# find / -nouser -o -nogroup -print

• Trouver les fichiers .rhosts devrait faire partie de vos devoirs d'administrateur système, car ils devraient être bannis de votre système Rappelez vous qu'un cracker n'a besoin que d'un compte ouvert pour avoir l'opportunité d'accéder au réseau entier. Vous pouvez localiser les fichiers .rhosts avec la commande :

  root# find /home -name .rhosts -print

• Enfin, avant de changer les permissions de quelque fichier système, assurez vous que vous comprenez ce que vous faites, Ne changez jamais les permissions d'un fichier parce que cela semble être une manière facile pour que tout marche bien. Cherchez toujours à savoir pourquoi ce fichier à ces permissions avant de les modifier.