Bastille-Linux

ArticleCategory:

System Administration

AuthorImage:

TranslationInfo:

Original in fr Frédéric Raynal

AboutTheAuthor:

Frédéric Raynal prépare une thèse en informatique sur le tatouage d'images à l'INRIA. Il participe également au développement de Bastille-Linux.

Abstract:

Sortie début Juin, la version 1.1 de Bastille-Linux n'est pas une nouvelle distribution de Linux mais un ensemble de scripts qui permet de mieux protéger son système de vulnérabilités potentielles. La démarche des auteurs étant très pédagogique, on apprend énormément uniquement en installant ces scripts.

ArticleIllustration:

[Illustration]

ArticleBody:

Introduction

En terme de sécurité, Linux est plus performant que certains autres systèmes d'exploitation. Toutefois, toutes les distributions ne sont pas égales devant cette question. Bastille-Linux propose un ensemble de mesures à prendre pour protéger son système. Initialement écrit pour la distribution Red Hat, la dernière version fonctionne également avec d'autres distributions.

Le projet est dirigé par Jon Lasser (coordinateur principal) et Jay Beale (développeur principal). Sont également impliqués de nombreux autres développeurs, beta-testeurs et concepteurs.

Avant toute chose, soyons clair : Bastille-Linux N'est PAS une nouvelle distribution de Linux ! Il s'agit en fait d'un ensemble de scripts, écrits en perl et destiné à renforcer la sécurité de Linux.

Le terme de sécurité se limite ici à l'aspect informatique : comment éviter que des personnes indésirables accèdent à votre machine ? Bastille-Linux apporte un élément de réponse en modifiant les installations initiales qui sont réalisées par les diverses distributions.

Une tâche de base de tout administrateur est de connaître les besoins de ses utilisateurs, non seulement pour les satisfaire, mais également pour éviter de laisser tourner des programmes qui ne servent à personne sur le réseau ... mais qui peuvent contenir des vulnérabilités dangereuses pour celui-ci. Comme le répétait sans cesse un de mes mentors en informatique : moins tu en fais, mieux c'est ;-] Il parlait certes de complexité des algorithmes, mais ceci reste terriblement vrai pour l'administration : l'opulence nuit car elle fournit de nouveaux angles d'attaques. Pour limiter les vulnérabilités sur un système, il ne faut donc y installer que les choses dont on a réellement besoin.

Bastille-Linux cherche à minimiser les possibilités d'attaques d'une machine Linux. Pour y parvenir, les concepteurs de ce logiciel ont une démarche très pédagogique : ils expliquent pas à pas le rôle de ce qu'ils proposent de faire.

Présentation

Au moment où j'écris cet article, Bastille-Linux en est à la version 1.1.0, sortie dans la première quinzaine du mois de Juin.

Indépendamment de son évidente utilité, Bastille-Linux se montre extrêmement pédagogique. Les scripts fonctionnent en posant des questions précises. Souvent, avec ce genre d'approche, les questions sont au moins aussi incompréhensibles que les réponses et l'utilisateur ne sait pas quoi faire. Ici, les concepteurs cherchent à éduquer l'utilisateur. Ils expliquent le contexte de la question, ainsi que les conséquences liées aux réponses possibles. Ceci fait de Bastille-Linux un outil facilement accessible.

Pour les utilisateurs plus avancés, les sources, écrites en perl, constituent un modèle de clarté (si, si, c'est possible ;-) : les commentaires qui les parsèment décrivent précisément la manière dont les actions sont entreprises.

Voici quelques caractéristiques de la version 1.1.0 :

Bastille-Linux est découpé en modules. Dans l'esprit, on distingue les modules d'utilité générale (au nombre de 4) et ceux inclassables parmi les précédents, plutôt destinés à des aspects précis ( des logiciels comme sendmail, FTP, ... ou des particularités comme le boot ou des démons inutiles)

Les modules généraux concernent les aspects suivants :

  1. installation d'un garde-barrière (firewall)
  2. mise à jour des versions des logiciels du système
  3. réalisation d'un audit sur les programmes SUID-root
  4. désactivation et restriction des services inutiles
Les autres modules portent sur des aspects plus spécifiques. Certains se consacrent aux failles ouvertes par des logiciels lorsqu'ils sont mal configurés (sendmail ou FTP par exemple), d'autres reconfigurent quelques services de manière moins permissive (PAM, syslog, ...)

Certaines mesures se recoupent offrant ainsi plusieurs niveaux de protection (ceci s'oppose au précepte de mon mentor ... mais il faut aussi savoir s'émanciper ;-) Il faut protéger chaque service, ou chaque vulnérabilité potentielle, par l'intermédiaire de tous les moyens possibles. Dans ce cas, si l'un échoue, les méthodes restantes se dressent à nouveau pour empêcher votre système d'être compromis.


 
 


Installation ou "promenons nous dans les scripts tant que le loup n'y est pas"

Les versions antérieures de Bastille-Linux ne fonctionnent que sur des systèmes vierges, ce qui n'est plus le cas de la dernière. Toutefois, il faut bien comprendre que tout ce que fait Bastille n'est d'aucune utilité (ou presque) si votre système est déjà compromis. Il est donc préférable, non pas vis-à-vis du logiciel mais bien pour une question de sécurité, d'installer Bastille-Linux sur un nouveau système. Ceci étant clairement établi, passons maintenant aux choses sérieuses : l'installation !

Bastille-Linux est disponible sous forme d'archive .tgz sur le site bastille-linux.sourceforge.net. Cette archive ne fait que 134 Ko. Un fois téléchargée, il faut la décompresser (tar xzf Bastille-1.1.0.tgz).

Quatre scripts gèrent Bastille-Linux :

Pour installer Bastille-Linux, il faut être root sur le système puisque les scripts vont modifier des fichiers de configuration. L'installation la plus courante se fait donc en lançant d'abord InteractiveBastille.pl. L'utilisateur répond alors à une série de questions (qui seront détaillées plus loin). Ensuite, on lance BackEnd.pl et c'est terminé ! On trouve alors une trace de toutes les modifications dans le répertoire /root/Bastille/undo.

Quelques remarques avant de commencer.

  1. le script suppose par défaut qu'il est exécuté dans le répertoire /root/Bastille ... ceci sera changé dans une très prochaine version et il pourra être lancé de n'importe où (en fait, ce doit déjà être le cas au moment où vous lisez ces lignes)
  2. deux modules proposent la création de comptes ... et supposent que les shadow passwords sont utilisés sur votre système. Ceci est le cas dans l'installation par défaut ... mais vérifiez que /etc/passwd ne contient bien aucun mot de passe et que /etc/shadow n'est accessible qu'à root et qu'il contient bien les mots de passe!
  3. Bastille-Linux ne gère pas encore les liens entre les modules, comme ils peuvent l'être lors de la configuration du noyau (ce sera fait dans une prochaine version). Il faut donc prendre garde aux réponses fournies dans un module et aux incidences qu'elles peuvent avoir. Ainsi, vous pouvez très bien dire, dans le module IPChains de bloquer le port 2049 et maintenir NFS dans la liste des démons actifs du module MiscellaneousDaemons (NFS se sert de ce port).

Modules pas à pas

Afin de bien comprendre les étapes pas à pas, je reprends dans cette partie les questions posées par Bastille-Linux. Je garderai les questions en Anglais, tout en proposant une traduction. La lettre entre [ ] indique la réponse par défaut (N -> No, Y -> Yes).

IPChains

Ce module sert à configurer un garde-barrière. Bien que ce ne soit pas indispensable pour protéger son système, ceci permet de contrôler le trafic réseau vers et depuis sa machine. On ne peut pas se contenter de bloquer le trafic par l'intermédiaire du firewall, il faut aussi reconfigurer les démons (rappelez-vous que plusieurs "couches" de sécurité ne sont pas inutiles).

Le principe de ce script est excellent. Il considère 2 interfaces réseau : celle en communication avec l'extérieur, donc très sensible, et celle sur un réseau local. Le but du jeu est de déterminer les services auxquels ont droit les machines et de bloquer les autres. Par défaut, tout ce qui vient de l'extérieur est refusé. Ensuite, le script met en place des règles pour autoriser certains services.

Le script prend en charge à la fois les protocoles TCP, UDP et ICMP. Il propose des listes de services à surveiller ou à bannir pour chacun de ces protocoles. Détailler ici toute la démarche entreprise par Bastille-Linux pour la mise en place d'un garde-barrière serait trop long, mais la lecture du script et des commentaires permet de s'en sortir sans difficulté. Toutefois avoir des connaissances minimum est nécessaire avant de se lancer dans l'utilisation de ce module.


 

PatchDownload - Mises à jour

Les mises à jour constituent un élément important pour conserver l'intégrité de son système. Dans les derniers mois, bind et piranha, (pour ne citer qu'eux) ont connu de graves problèmes de sécurité. Ils ont été très rapidement corrigés dans la mesure où, le code étant public, des personnes ont immédiatement proposé des solutions.

Malheureusement, ce script ne fonctionne pas encore très bien. Sa mise en oeuvre est assez complexe puisqu'il faut déterminer les packages installés, puis, parmi eux, ceux qui disposent d'une mise à jour. Il faut ensuite télécharger celle-ci, vérifier qu'elle n'a pas été altérée (soit par des pirates, soit par le transfert) avant de l'installer. Une grosse difficulté est que cette étape dépend très fortement de la distribution employée.

Pour l'instant, Jay Beale conseille de réaliser cette étape manuellement, mais de ne surtout pas la négliger. Une version fonctionnelle de ce module est en cours de développemnt et devrait être disponible rapidement.

FilePermissions - Permissions des fichiers

Ce module est inspiré par un document de l'équipe SANS. Le but est de déterminer les programmes qui ne devront être accessibles qu'à root (ou à un membre du groupe root), ceux qui devront conserver le bit SUID, etc ...

AccountSecurity - Sécurité des comptes

Un pirate commence souvent par compromettre un compte utilisateur (ou un compte système).  Quelques mesures simples rendent la tâche plus complexe et permettent de détecter d'éventuelles intrusions.

BootSecurity - Sécurité au boot

Les options proposées dans ce module abordent légèrement la sécurité physique d'une machine. Il s'agit de prévenir les failles des versions précédentes qui laissent n'importe qui ayant un accès physique à la console se ménager un accès privilégié (i.e. root). Il suffisait en effet, au prompt de LILO, de lancer le mode single (LILO : linux single) et on se retrouvait avec un gentil shell appartenant à root ;-P

Il faut bien comprendre que ces mesures ne suffisent pas. En effet, pour protéger physiquement un ordinateur, il faut également mettre un mot de passe sur le BIOS, interdire de booter sur n'importe quoi d'autre que le disque dur installé dans le boîtier, et verrouiller ce même boîtier pour empêcher un intrus d'ajouter son propre disque, ... Ces mesures ne sont vraiment pas nécessaires dans la majorité des cas et révèlent une paranoïa latente lorsqu'elles sont mises en oeuvre sans véritable raison.

D'un point de vue logiciel, certaines mesures élémentaires offrent un compromis raisonnable à celles évoquées ci-dessus :

SecureInetd - Sécuriser Inetd

Le but de ce module est donc de restreindre et désactiver tous les services superflus. En effet, des pirates peuvent découvrir des failles de sécurité exploitables dans n'importe quel service possédant des privilèges, il est donc nécessaire de restreindre à la fois les services et leurs privilèges.

Par exemple, une erreur dans le DNS de la Red Hat 6.0 permet de passer root à distance. Désactiver ce service ou en diminuer les privilèges protège de ce désagrément.

Certains protocoles, comme les r-commands déjà évoqués , mais aussi ftp ou telnet se révèlent être très vulnérables. D'autres permettent à un attaquant de se renseigner (finger ou identd par exemple) sur les comptes existant sur une machine, etc ... Beaucoup de ces services sont pris en charge par tcp_wrapper  (to wrap signifie envelopper) qui offre un contrôle sur qui accède à un service donné (par l'intermédiaire des fichiers /etc/hosts.{allow, deny}). Ensuite, une fois que le wrapper a décidé si le client pouvait accéder au service désiré, la requête est transmise au serveur correspondant.

Cette partie manque encore de souplesse et devrait être complètement revue dans les versions ultérieures.

Rappelons, avant de continuer, que "le réseau" repose essentiellement sur un modèle client-serveur. Il faut donc bien savoir, pour chaque service, si vous vous situez du côté client ou du côté serveur. Par exemple, ne pas faire tourner de serveur web sur sa machine n'empêche nullement de naviguer sur Internet : votre navigateur fait office de client.
 

DisableUserTools - Désactivation des outils utilisateurs

Ce module, très court, est absolument indispensable sur un serveur. Classiquement, un pirate commence par accéder à une machine en se servant d'un compte utilisateur normal. Ensuite, il recompile quelques programmes sur la machine même pour exploiter ses faiblesses. Ce module désactive le compilateur C sur la machine pour tout autre utilisateur que root.

Donc, si cette machine est uniquement un serveur, sur lequel personne ne devrait compiler quoi que ce soit, alors il faut supprimer le compilateur.

ConfigureMiscPAM - Configuration de PAM

Le but de ce module est de permettre de limiter les risques d'attaques de type Déni de Service - ces attaques bloquent un système en le surchargeant (ex : remplir une partition de fichiers core, ping de la mort, etc ...)

PAM signifie "Pluggable Authentification Module". Il s'agit d'une bibliothèque qui permet à l'administrateur du système de choisir comment chaque application authentifie ses utilisateurs, quels sont ses droits, les ressources dont il dispose, et ainsi de suite.

Logging

syslog est un des services les plus importants pour détecter si une machine a été compromise. Ce démon enregistre certains des évènements qui se produisent sur le système. On peut choisir de paramètrer le niveau d'information enregistré.

Il est à noter que si on a choisi un nombre minimal de services, toute anomalie dans les fichiers /var/log devrait se voir très rapidement puisque peu d'informations y seront sauvegardées. Au contraire, lorsque votre système supporte plusieurs serveurs inutiles, les fichiers /var/log deviennent énormes et donc, plus difficiles à exploiter (mise en place de scripts dédiés nécessaires).

Ce module ajoute de nouveaux contrôles dans le fichier /etc/syslog.conf.

MiscellaneousDaemons - Divers démons

Toujours dans un souci de minimisation, ce module active uniquement les serveurs dont vous avez réellement besoin au démarrage du système. Par défaut, pratiquement tous les services sont inutiles et sont donc désactivés. Vous pouvez les réactiver à l'aide de la commande chkconfig.
 
Services  Description
apmd Sert à contrôler les batteries sur les portables.
NFS et samba Pour gérer des systèmes de fichiers partagés ... sources de nombreuses vulnérabilités bien que très utiles sur des réseaux hétérogènes.
atd Tout ce qui est fait via atd peut l'être également par cron.
PCMCIA services Selon que vous disposiez de matériel PCMCIA, ce qui est fréquent sur les portables mais beaucoup plus rare sur les stations
dhcpd Serveur pour distribuer des adresses IP temporaires. Ce genre de service est soit fourni par le Fournisseur d'Accès Internet (FAI), soit utilisé sur une réseau local.
gpm Sert en mode console (texte) pour gérer la souris. A moins de travailler souvent en mode console, ce service ne sert à rien.
news server Peu de personnes ont besoin de faire tourner un serveur de news sur leur machine ... en général, le FAI s'en charge.
routage Comme pour le serveur de news, le FAI s'en charge : il s'agit de votre DNS. 
NIS Service très pratique sur un réseau local ... mais source de tant de problèmes d'un point de vue sécurité !!!
snmpd Serveur destiné à l'administration de réseau (statistiques, gestion, utilisateurs, ...)
sendmail Il n'a pas besoin de tourner en mode démon pour vous permettre de recevoir et envoyer du courrier. De plus, si vous recevez le courrier de votre FAI via POP ou IMAP, sendmail ne vous sert vraiment à rien et comme ce programme a une longue liste de failles ...

 

Sendmail

Comme stipulé précédemment, sendmail est un service qui gère le courrier. Son histoire est remplie de vulnérabilités, provoquées par la diversité des tâches que doit accomplir un serveur de courrier et des privilèges nécessaires pour y parvenir (résolution de noms, informations pour syslog, etc...). Indépendamment de ses faiblesses, sendmail permet d'obtenir des informations sur l'existence d'un utilisateur sur un serveur donné. Par exemple, les commandes sendmail EXPN et VRFY permettent à une personne de savoir si un compte utilisateur existe.

sendmail n'a pas besoin de tourner en tant que démon pour vous permettre d'émettre et de recevoir du courrier. Pour une utilisation personnelle, sendmail ne sert vraiment à rien car il suffit d'utiliser un client mail quelconque (netscape, rmail, pine, mutt, etc...) pour envoyer vos courriers. Pour en recevoir, vous pouvez activer sendmail à intervalle régulier pour aller vérifier le contenu de votre boîte.
 

RemoteAcces - Accès à distance

Il est souvent utile de pouvoir se connecter à une machine sans être physiquement proche d'elle. Nous avons vu que les r-tools permettent ceci mais de manière non-sécurisée. Bastille-Linux propose de télécharger ssh. Il s'agit d'un logiciel qui crypte les données (et donc les mots de passe) qui circulent au travers d'une connexion.

Avant de continuer, rappelons quelques lois  françaises récentes sur la cryptographie. Ce type de logiciel doit faire l'objet d'une déclaration auprès du Service Central de la Sécurité des Systèmes d'Information (SCSSI). Il existe 2 types de déclarations :

  1. déclaration d'utilisation : permet à une personne, et seulement à elle, d'utiliser le logiciel ;
  2. déclaration de fourniture : permet à quelqu'un de devenir fournisseur (plus de formalités pour les autres utilisateurs).
La déclaration se présente sous la  forme d'un formulaire à retourner au SCSSI.

Qu'est-il donc légal d'utiliser en France ? Après avoir fait la déclaration adéquate, on peut utiliser un logiciel dont la longueur de la clé de session ne dépasse pas 128 bits. Précisons bien ce qu'est une clé de session. Il s'agit de la clé qui servira à crypter les données. Cette clé de session est construite pas à pas par le client et le serveur : elle résulte d'un protocole d'échange de clés (Diffie-Hellman dans la plupart des cas). Le principe consiste à construire une clé à l'aide d'un morceau de clé de chacun des participants. Ensuite, cette clé de session sert à crypter les données à l'aide d'un algorithme symétrique (i.e. que  la même clé est utilisée pour crypter et décrypter les données). Ainsi, DES qui sert à crypter les mots de passe sous Unix, est un algorithme symétrique qui possède une clé de 56 bits.

Maintenant, une clé de 128 bits est-elle suffisante pour garantir la confidentialité et la sécurité de la transaction : OUI ! Même si aujourd'hui DES est reconnu comme n'étant "plus très sûr", les meilleures attaques ne se sont pas à la portée de tous. D'autre part, une erreur assez répandue est de croire qu'une clé de longueur 2k est 2 fois plus difficile à trouver qu'une clé de longueur k. En fait, si la difficulté croît bien, elle croît beaucoup plus vite que la taille de la clé. Pour une clé de longueur k, il existe 2^k clés possibles (et donc 2^2k pour une clé de longueur 2k). Donc en multipliant la taille de la clé par  2, on ajoute  clés possibles ! Quand on constate la difficulté actuelle pour casser DES (56 bits), on imagine bien que des clés de session de 128 bits offrent une sécurité inviolable (sous réserve que l'algorithme de cryptage/décryptage ne recèle pas de faille).  Du point de vue d'un attaquant,  augmenter cette limite  fait seulement  passer la difficulté d'un niveau impossible à un niveau "encore plus impossible".

4 logiciels  offrent des services assez similaires ... mais un seul est  légal en France :

  1. ssh 1.2.x : un système client-serveur pour établir des connexions cryptées ;
  2. ssh 2.x : le même que le premier, mais avec moins de failles et plus de possibilités ;
  3. OpenSSH : une version similaire à la précédente mais sous licence BSD ;
  4. ssf : comme ssh, mais adapté à la législation française (c'est le seul parmi les 4 à disposer d'une déclaration de fourniture).

Les modules restant concernent encore des services. Pour eux, la politique mise en oeuvre peut sembler surprenante : on commence par en limiter les privilèges puis ils sont arrêtés. Contrairement aux apparences, ces deux mesures ne sont pas contradictoires. En effet, ces services peuvent très bien être réactivés un jour, soit par mégarde, soit par un intrus ... alors autant continuer à limiter leurs possibilités.
 

DNS

Un DNS (Domain Name Server - ou Serveur de Nom de Domaine) permet de faire le lien entre une adresse IP et un nom de machine, et réciproquement . Par exemple, l'adresse 198.186.203.36 correspond à www.bastille-linux.org. La fonction essentielle de ce type de serveur s'appelle BIND (to bind signifie, entre autre, lier en Anglais). Dernièrement, une attaque type DoS a été découverte contre BIND. Elle peut être évitée en ne donnant accès au DNS qu'à un petit sous-ensemble de répertoires sur la machine (on peut changer le répertoire racine - par défaut / - à l'aide de la commande chroot avant d'exécuter une commande ou un script)

Apportons quelques précisions techniques avant de détailler le comportement de Bastille-Linux. Le démon associé à se service s'appelle named. Sa configuration vient du  fichier /etc/named.conf.
 

Apache

Apache est le serveur web le plus utilisé sur Internet. Un tel serveur est utile uniquement dans deux cas :
  1. pour héberger un site: pour cela vous avez besoin d'une adresse IP fixe. Les FAI possèdent de telles adresses ce qui n'est pas le cas de leurs clients ;
  2. pour tester ses propres pages web : dans ce cas, il suffit d'activer le serveur (/etc/rc.d/init.d/httpd start) au moment approprié.
Les fichiers pour configurer ce démon sont dans le répertoire /etc/httpd/conf. Un serveur web, comme tout autre serveur, peut être une véritable invitation à visiter votre machine, voire à lui nuire, s'il est mal configuré. Ceci peut s'avérer très ennuyeux dans certains cas. Dans le cas d'une banque par exemple, si les noms de clients sont visibles (voire leurs mots de passe) ... aller voir sur www.kitetoa.com, vous ne serez pas déçus ;-)
 

Printing - Imprimer

Une seule question se pose ici : allez-vous imprimer à partir de votre machine. Si ce n'est pas le cas, Bastille-Linux désactive le démon lpd et retire le bit SUID à lpr et lprm.

FTP

D'un point de vue sécurité, FTP pose pas mal de problèmes. Par exemple, les mots de passe circulent en clair lors de l'initialisation de la transaction. Il en va de même pour les données, ce qui est problématique si elles sont confidentielles (des données médicales, financières, etc...)

De plus, on a découvert dernièrement quelques failles dans wu-ftpd. Si vous devez laisser tourner ce serveur, Bastille-Linux se propose de pas mal limiter ses moyens. Rappelons qu'il n'est nullement besoin de faire tourner un serveur FTP pour émettre des requêtes FTP.

Le fichier qui contrôle les accès au serveur FTP est /etc/ftpacces.

Derniers trucs et astuces

Comme je l'ai déjà souligné, Bastille-Linux est un formidable outil pédagogique. Les commentaires des questions sont précis. Quand des aspects restent opaques, des nombreuses ressources sont disponibles pour trouver les précisions recherchées. Un bon moyen d'apprendre sur un thème donné est de n'utiliser que le module voulu.

Pour cela, il suffit de faire une copie de sauvegarde du fichier contenant les questions. Ensuite, vous éditez le fichier Questions.txt. Chaque module commence après le mot-clé FILE ... il ne vous reste plus qu'à conserver ce qui vous intéresse.

/root/Bastille >> cp Questions.txt Questions.txt-orig
/root/Bastille >> emacs Questions.txt BackEnd.pl &
/root/Bastille >> ./InteractiveBastille

Les mesures présentées par Bastille-Linux ne suffisent évidemment pas à garantir la sécurité de votre système :

  1. aucun système n'est fiable à 100% ;
  2. d'autres mesures sont indispensables pour compléter celles prises par Bastille-Linux.
Parmi les mesures indispensables à ajouter, on peut immédiatement penser à un analyseur des fichiers de log (portsentry, snort, snplog, etc ...), l'utilisation du patch de http://www.openwall.com pour le noyau (pile non exécutable, restrictions des droits sur les répertoires /tmp et /proc, etc...).

Le sécurisation d'un système est une route longue et difficile. Cela nécessite de se tenir perpétuellement au courant des dernières failles de sécurité (via des mailing listes comme bugtraq sur le site de securityfocus par exemple).

Conclusion

Bastille-Linux propose de sécuriser une distribution assez mal réputée sur ce plan là. Vous me direz : "dans ce cas, pourquoi ne pas en utiliser une autre ?" Certes ... mais la Red Hat (Mandrake - les différences sont minimes) offre certains côtés sympathiques. Le but de cet article n'est pas de promouvoir (ou d'enfoncer) une distribution par rapport à une autre. Après tout, dans le logiciel libre, la liberté de choix est un des atouts. En fait, cet article vise plusieurs buts. Tout d'abord, vous montrez les soucis permanents d'un administrateur qui vit dans l'angoisse de voir son réseau détruit par quelques pirates destructeurs en mal de frissons. Par ailleurs, cet outil vous permet de faire une visite très complète de la configuration d'un système Linux. Dans cette optique, c'est un formidable moyen, non seulement pour les néophytes mais également pour les utilisateurs plus expérimentés, de découvrir les arcanes de la configuration d'un système Linux.

Les deux préceptes fondamentaux et généraux sont le minimalisme et la profondeur. Moins il y a de services sur votre machine Linux, moins il y a de failles. Pour chacun de ces services, plusieurs protections valent mieux qu'une ... mais ceci est à double tranchant car une protection mal configurée (ou la conjonction de plusieurs) peut se retourner contre vous.

Enfin, pour terminer, signalons que la prochaine version s'appellera BUS, pour Bastille Unix Security. Il s'agira d'un savant mélange entre Bastille-Linux et Msec (Mandrake Security Project), lui-même devenu Usec (Unix Security Project).


 
 

Références