LinuxFocus article number 225 http://linuxfocus.org

par Mark Nielsen (homepage) L´auteur: Mark travaille comme consultant indépendant et donne de son temps à des causes telles que GNUJobs.com, l'écriture d'articles, la création de logiciel libre, et le bénévolat pour eastmont.net. Traduit en Français par: Georges Tarbouriech <georges.t/at/linuxfocus.org>

"Chrooter" tous les Services sous Linux Résumé: NDT : Ne cherchez pas le verbe "chrooter" (composé à partir de la commande Unix "chroot") dans le Petit Robert ou le Petit Larousse : il n'y est pas ! Pourtant, vous le trouverez conjugué tout au long de cet article. C'est un choix délibéré pour faciliter la compréhension mais je reconnais que c'est très laid. Je réclame donc l'indulgence du lecteur pour cet horrible anglicisme. Pour me faire pardonner, il sera toujours mis entre guillemets. Les services "chrootés" améliorent la sécurité en limitant les dommages que pourrait causer un intrus ayant pénétré votre système. _________________ _________________ _________________

Introduction

Pourquoi est-ce utile ? Si quelqu'un s'introduit dans votre ordinateur, il ne pourra pas voir la totalité des fichiers de votre système. Le fait de ne pas voir vos fichiers limite les commandes qu'il peut lancer et ne lui donne pas la possibilité d'exploiter des fichiers qui seraient vulnérables. L'inconvénient majeur, c'est que ça n'empêche pas l'analyse des connexions réseau ou autre. Ainsi, vous devrez faire bien d'autres choses qui n'entrent pas vraiment dans le cadre de cet article :

• Sécuriser vos ports réseau.
• Exécuter tous les services sous un compte qui ne soit pas root. Tous vos services doivent en plus être "chrootés".
• Transférer les logs système sur une autre machine.
• Analyser les fichiers de logs.
• Rechercher les tentatives de détection de ports ouverts sur votre machine.
• Limiter les ressources cpu et mémoire pour un service.
• Activer les quotas pour les comptes utilisateurs.

RAPPELEZ-VOUS que ma manière de procéder n'est certainement pas précise à 100%. Il s'agit de ma première tentative et si tout semble bien fonctionner séparément, il devrait être facile d'affiner l'ensemble. Ce n'est que l'ébauche d'un HOWTO que je souhaite créer sur chroot.  

Comment allons-nous tout "chrooter" ?

• Syslogd sera "chrooté" pour chaque service.
• Apache sera dans /chroot/httpd.
• Ssh sera dans /chroot/sshd.
• PostgreSQL sera dans /chroot/postmaster.
• Sendmail sera "chrooté", mais malheureusement il ne fonctionnera pas sous un compte non root.
• ntpd sera dans /chroot/ntpd
• named sera dans /chroot/named

Mon script Perl pour créer des environnements "chrootés".

1. Créer le répertoire chroot.
   mkdir -p /chroot/Config/Backup
2. Télécharger Config_Chroot.pl.txt dans /chroot/Config_Chroot.pl
3. Changer la variable $Home du script perl si vous n'utilisez pas /chroot comme répertoire home.
4. Télécharger mes fichiers de configuration.

Modifiez le script perl en fonction de votre distribution.

Je me suis retrouvé en train d'écrire un article gigantesque sur chroot, mais grâce au script Perl il est devenu beaucoup plus court. En gros, après avoir "chrooté" de nombreux services, j'ai remarqué qu'ils avaient des fichiers et des configurations semblables devant également être "chrootés". Le meilleur moyen de savoir quels sont les fichiers à copier pour un service donné consiste à lire la page de manuel et de taper "ldd /usr/bin/file" pour les programmes utilisant des bibliothèques. Vous pouvez aussi "chrooter" le service que vous installez et le démarrer manuellement pour visualiser les erreurs éventuelles ou analyser ses fichiers de log.

En général, pour installer un service tapez ceci :

cd /chroot
./Config_Chroot.pl config  SERVICE
./Config_Chroot.pl install SERVICE
./Config_Chroot.pl start   SERVICE

"Chrooter" Ntpd

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
#./Config_Chroot.pl config  ntpd
./Config_Chroot.pl install ntpd
./Config_Chroot.pl start   ntpd

"Chrooter" DNS ou named

Ou, si vous voulez utiliser mon script,

cd /chroot
 # Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
#./Config_Chroot.pl config  named
./Config_Chroot.pl install named
./Config_Chroot.pl start   named

"Chrooter" Syslog et les services... et mes doléances.

• "Chrootez" syslogd pour chaque service. J'ai testé, et j'ai bien obtenu des logs. Ca ne me plaît pas puisque j'ai un service fonctionnant sous root.
• Voyons si nous pouvons nous connecter sur un site externe capable de nous fournir des logs.
• Envoyez les logs vers un fichier au lieu d'utiliser le démon syslogd. C'est probablement la meilleure option du point de vue de la sécurité, toutefois, si un intrus pénètre votre système, rien ne l'empêche de "jouer" avec les logs.
• Configurez le syslogd principal pour qu'il cherche à différents endroits l'ensemble des services. Pour cela, appliquez l'option -a à syslogd.

Si vous ne voulez pas d'un démon syslogd pour chaque service, alors ajoutez les commandes suivantes au démon principal lors de son lancement :

syslogd -a /chroot/SERVICE/dev/log

syslogd -a /chroot/ssh/dev/log -a /chroot/named/dev/log -a /dev/log

Dernière chose concernant syslogd, j'aimerais pouvoir l'exécuter sous un compte non root. J'ai essayé quelques trucs simples, mais ça n'a pas fonctionné et j'ai laissé tomber. Si je pouvais exécuter syslogd sous un compte non root pour chaque service, mes besoins en sécurité seraient comblés. Une solution de log externe est peut-être envisageable.  

"Chrooter" Apache

$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE',"","", {PrintError=>0});

if ($dbh ) {$dbh->{PrintError} = 1;}
else
  {$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE;host=127.0.0.1',"","",
      {PrintError=>1});}

Source: http://httpd.apache.org/dist/httpd/

Compilez et installez apache sur votre système dans /usr/local/apache. Utilisez ensuite le script perl.

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  httpd
./Config_Chroot.pl install httpd
./Config_Chroot.pl start   httpd

ExtendedStatus On

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

<Location /server-info>
    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

"Chrooter" Ssh

Encore une fois, nous n'allons que "chrooter" ssh et vous laisser réfléchir aux conséquences que ça implique (vous ne verrez plus la totalité du système si vous vous contentez de cette étape). Idéalement, ce serait très bien de prévoir d'enregistrer les logs de manière externe. Enfin, nous devrions utiliser OpenSSH alors que je me sers du SSH commercial pour des raisons de simplicité (ce qui n'est pas une bonne excuse).

Source: http://www.ssh.com/products/ssh/download.cfm

Installez ssh dans /usr/local/ssh_chroot. Utilisez ensuite le script Perl.

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  sshd
./Config_Chroot.pl install sshd
./Config_Chroot.pl start   sshd

"Chrooter" PostgreSQL

Source: ftp://ftp.us.postgresql.org/source/v7.1.3/postgresql-7.1.3.tar.gz

Compilez et installez postgres sur votre système dans /usr/local/postgres. Utilisez ensuite le script Perl.

cd /chroot
 # Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  postgres
./Config_Chroot.pl install postgres
./Config_Chroot.pl start   postgres

"Chrooter" Sendmail

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  sendmail
./Config_Chroot.pl install sendmail
./Config_Chroot.pl start   sendmail

Le bon côté c'est que vous pouvez toujours envoyer du courrier, ce n'est que la réception qui pose un problème. Ainsi, j'ai pu installer sendmail avec apache sans difficulté. Certains de mes scripts Perl expédient du courrier et j'avais donc besoin que les fichiers sendmail soient copiés dans la zone "chrootée" d'apache.  

D'autres choses à "chrooter".

1. Tout devrait être "chrooté", y compris sendmail, ssh, apache, postgresql, syslog, et tous les services actifs sur l'ordinateur.
2. Tout devrait se trouver sous un compte non root (il est possible que vous soyez obligé de rediriger des ports protégés vers un port non protégé). C'est d'ailleurs valable pour sendmail et syslog.
3. Les logs devraient être envoyés à l'extérieur.
4. Une partition devrait être définie pour chaque service pour limiter l'espace disque qu'un pirate est susceptible d'utiliser s'il décide d'y écrire. Vous pourriez utiliser une interface loopback pour monter des fichiers en tant que système de fichier pour certains de ces services en cas d'insuffisance du nombre de partitions.
5. Root devrait être propriétaire des fichiers qui ne changent pas.

Pour syslog, je n'ai même pas essayé, mais je dirais que ces logs devraient être possédés par un compte non root et je ne vois pas pourquoi ce ne serait pas possible. Au moins, j'ai réussi à ce que syslog soit "chrooté" pour chaque service.

Tous les services devraient être installés sous des comptes non root. Même NFS. Tout.  

Suggestions

• Utiliser deux logins pour ssh et prévoir deux démons sshd actifs.
• Trouver comment exécuter sendmail ou d'autres programmes de courrier sous des comptes non root.
• Supprimer les bibliothèques inutiles dans /lib. J'ai tout copié par paresse. Vous n'avez pas besoin de la plupart.
• Traiter les logs de syslogd en externe et voir si on peut lier syslogd à un port réseau et faire que tous les services se connectent à ce port réseau par l'interface loopback. Voir s'il est possible d'exécuter syslogd sous un compte non root.

Conclusion

Je suis à 100% pour l'idée que tous les services devraient être "chrootés" sous des comptes non root et qu'une distribution qui ne propose pas cette possibilité est impropre à l'utilisation dans un environnement de production. Je vais "chrooter" tout, autant que possible -- j'y arriverai peut-être.

J'envisage de créer un HOWTO sur "chroot". J'aimerais que quelqu'un m'aide à convertir cet article au format LyX pour pouvoir l'intégrer dans les HOWTO pour Linux.  

Références

1. Si cet article change, il sera disponible sur http://www.gnujobs.com/Articles/23/chroot.html

2005-01-14, generated by lfparser_pdf version 2.51