"Chrooter" tous les Services sous Linux

ArticleCategory:

AuthorImage:

TranslationInfo:[Author and translation history]

original in en Mark Nielsen

en to fr Georges Tarbouriech 

AboutTheAuthor:

Abstract:

ArticleIllustration:[This is the title picture for your article]

ArticleBody:

Introduction

Pourquoi est-ce utile ? Si quelqu'un s'introduit dans votre ordinateur, il ne pourra pas voir la totalit� des fichiers de votre syst�me. Le fait de ne pas voir vos fichiers limite les commandes qu'il peut lancer et ne lui donne pas la possibilit� d'exploiter des fichiers qui seraient vuln�rables. L'inconv�nient majeur, c'est que �a n'emp�che pas l'analyse des connexions r�seau ou autre. Ainsi, vous devrez faire bien d'autres choses qui n'entrent pas vraiment dans le cadre de cet article :

• S�curiser vos ports r�seau.
• Ex�cuter tous les services sous un compte qui ne soit pas root. Tous vos services doivent en plus �tre "chroot�s".
• Transf�rer les logs syst�me sur une autre machine.
• Analyser les fichiers de logs.
• Rechercher les tentatives de d�tection de ports ouverts sur votre machine.
• Limiter les ressources cpu et m�moire pour un service.
• Activer les quotas pour les comptes utilisateurs.

RAPPELEZ-VOUS que ma mani�re de proc�der n'est certainement pas pr�cise � 100%. Il s'agit de ma premi�re tentative et si tout semble bien fonctionner s�par�ment, il devrait �tre facile d'affiner l'ensemble. Ce n'est que l'�bauche d'un HOWTO que je souhaite cr�er sur chroot.

Comment allons-nous tout "chrooter" ?

• Syslogd sera "chroot�" pour chaque service.
• Apache sera dans /chroot/httpd.
• Ssh sera dans /chroot/sshd.
• PostgreSQL sera dans /chroot/postmaster.
• Sendmail sera "chroot�", mais malheureusement il ne fonctionnera pas sous un compte non root.
• ntpd sera dans /chroot/ntpd
• named sera dans /chroot/named

Mon script Perl pour cr�er des environnements "chroot�s".

1. Cr�er le r�pertoire chroot.
   mkdir -p /chroot/Config/Backup
2. T�l�charger Config_Chroot.pl.txt dans /chroot/Config_Chroot.pl
3. Changer la variable $Home du script perl si vous n'utilisez pas /chroot comme r�pertoire home.
4. T�l�charger mes fichiers de configuration.

Modifiez le script perl en fonction de votre distribution.

Je me suis retrouv� en train d'�crire un article gigantesque sur chroot, mais gr�ce au script Perl il est devenu beaucoup plus court. En gros, apr�s avoir "chroot�" de nombreux services, j'ai remarqu� qu'ils avaient des fichiers et des configurations semblables devant �galement �tre "chroot�s". Le meilleur moyen de savoir quels sont les fichiers � copier pour un service donn� consiste � lire la page de manuel et de taper "ldd /usr/bin/file" pour les programmes utilisant des biblioth�ques. Vous pouvez aussi "chrooter" le service que vous installez et le d�marrer manuellement pour visualiser les erreurs �ventuelles ou analyser ses fichiers de log.

En g�n�ral, pour installer un service tapez ceci :

cd /chroot
./Config_Chroot.pl config  SERVICE
./Config_Chroot.pl install SERVICE
./Config_Chroot.pl start   SERVICE

"Chrooter" Ntpd

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
#./Config_Chroot.pl config  ntpd
./Config_Chroot.pl install ntpd
./Config_Chroot.pl start   ntpd

"Chrooter" DNS ou named

Ou, si vous voulez utiliser mon script,

cd /chroot
 # Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
#./Config_Chroot.pl config  named
./Config_Chroot.pl install named
./Config_Chroot.pl start   named

"Chrooter" Syslog et les services... et mes dol�ances.

• "Chrootez" syslogd pour chaque service. J'ai test�, et j'ai bien obtenu des logs. Ca ne me pla�t pas puisque j'ai un service fonctionnant sous root.
• Voyons si nous pouvons nous connecter sur un site externe capable de nous fournir des logs.
• Envoyez les logs vers un fichier au lieu d'utiliser le d�mon syslogd. C'est probablement la meilleure option du point de vue de la s�curit�, toutefois, si un intrus p�n�tre votre syst�me, rien ne l'emp�che de "jouer" avec les logs.
• Configurez le syslogd principal pour qu'il cherche � diff�rents endroits l'ensemble des services. Pour cela, appliquez l'option -a � syslogd.

Si vous ne voulez pas d'un d�mon syslogd pour chaque service, alors ajoutez les commandes suivantes au d�mon principal lors de son lancement :

syslogd -a /chroot/SERVICE/dev/log

syslogd -a /chroot/ssh/dev/log -a /chroot/named/dev/log -a /dev/log

Derni�re chose concernant syslogd, j'aimerais pouvoir l'ex�cuter sous un compte non root. J'ai essay� quelques trucs simples, mais �a n'a pas fonctionn� et j'ai laiss� tomber. Si je pouvais ex�cuter syslogd sous un compte non root pour chaque service, mes besoins en s�curit� seraient combl�s. Une solution de log externe est peut-�tre envisageable.

"Chrooter" Apache

$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE',"","", {PrintError=>0});

if ($dbh ) {$dbh->{PrintError} = 1;}
else 
  {$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE;host=127.0.0.1',"","",
      {PrintError=>1});}

Source: http://httpd.apache.org/dist/httpd/

Compilez et installez apache sur votre syst�me dans /usr/local/apache. Utilisez ensuite le script perl.

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  httpd
./Config_Chroot.pl install httpd
./Config_Chroot.pl start   httpd

ExtendedStatus On

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

<Location /server-info>
    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

"Chrooter" Ssh

Encore une fois, nous n'allons que "chrooter" ssh et vous laisser r�fl�chir aux cons�quences que �a implique (vous ne verrez plus la totalit� du syst�me si vous vous contentez de cette �tape). Id�alement, ce serait tr�s bien de pr�voir d'enregistrer les logs de mani�re externe. Enfin, nous devrions utiliser OpenSSH alors que je me sers du SSH commercial pour des raisons de simplicit� (ce qui n'est pas une bonne excuse).

Source: http://www.ssh.com/products/ssh/download.cfm

Installez ssh dans /usr/local/ssh_chroot. Utilisez ensuite le script Perl.

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  sshd
./Config_Chroot.pl install sshd
./Config_Chroot.pl start   sshd

"Chrooter" PostgreSQL

Source: ftp://ftp.us.postgresql.org/source/v7.1.3/postgresql-7.1.3.tar.gz

Compilez et installez postgres sur votre syst�me dans /usr/local/postgres. Utilisez ensuite le script Perl.

cd /chroot
 # Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  postgres
./Config_Chroot.pl install postgres
./Config_Chroot.pl start   postgres

"Chrooter" Sendmail

cd /chroot
# Supprimez le commentaire de la ligne suivante si vous n'utilisez pas mon
fichier de configuration.
 # ./Config_Chroot.pl config  sendmail
./Config_Chroot.pl install sendmail
./Config_Chroot.pl start   sendmail

Le bon c�t� c'est que vous pouvez toujours envoyer du courrier, ce n'est que la r�ception qui pose un probl�me. Ainsi, j'ai pu installer sendmail avec apache sans difficult�. Certains de mes scripts Perl exp�dient du courrier et j'avais donc besoin que les fichiers sendmail soient copi�s dans la zone "chroot�e" d'apache.

D'autres choses � "chrooter".

1. Tout devrait �tre "chroot�", y compris sendmail, ssh, apache, postgresql, syslog, et tous les services actifs sur l'ordinateur.
2. Tout devrait se trouver sous un compte non root (il est possible que vous soyez oblig� de rediriger des ports prot�g�s vers un port non prot�g�). C'est d'ailleurs valable pour sendmail et syslog.
3. Les logs devraient �tre envoy�s � l'ext�rieur.
4. Une partition devrait �tre d�finie pour chaque service pour limiter l'espace disque qu'un pirate est susceptible d'utiliser s'il d�cide d'y �crire. Vous pourriez utiliser une interface loopback pour monter des fichiers en tant que syst�me de fichier pour certains de ces services en cas d'insuffisance du nombre de partitions.
5. Root devrait �tre propri�taire des fichiers qui ne changent pas.

Pour syslog, je n'ai m�me pas essay�, mais je dirais que ces logs devraient �tre poss�d�s par un compte non root et je ne vois pas pourquoi ce ne serait pas possible. Au moins, j'ai r�ussi � ce que syslog soit "chroot�" pour chaque service.

Tous les services devraient �tre install�s sous des comptes non root. M�me NFS. Tout.

Suggestions

• Utiliser deux logins pour ssh et pr�voir deux d�mons sshd actifs.
• Trouver comment ex�cuter sendmail ou d'autres programmes de courrier sous des comptes non root.
• Supprimer les biblioth�ques inutiles dans /lib. J'ai tout copi� par paresse. Vous n'avez pas besoin de la plupart.
• Traiter les logs de syslogd en externe et voir si on peut lier syslogd � un port r�seau et faire que tous les services se connectent � ce port r�seau par l'interface loopback. Voir s'il est possible d'ex�cuter syslogd sous un compte non root.

Conclusion

Je suis � 100% pour l'id�e que tous les services devraient �tre "chroot�s" sous des comptes non root et qu'une distribution qui ne propose pas cette possibilit� est impropre � l'utilisation dans un environnement de production. Je vais "chrooter" tout, autant que possible -- j'y arriverai peut-�tre.

J'envisage de cr�er un HOWTO sur "chroot". J'aimerais que quelqu'un m'aide � convertir cet article au format LyX pour pouvoir l'int�grer dans les HOWTO pour Linux.

R�f�rences

1. Si cet article change, il sera disponible sur http://www.gnujobs.com/Articles/23/chroot.html