A BlackDruid et novo009,

La question des impressions est une bonne illustration de la sécurité: il faut écrire dans un répertoire qui est bien protégé mais pour lequel un utilisateur lambda n'a pas les droits utiles. Si on lui confère les droits root, il bénéficierait ainsi de droits allant très au-delà de ce qui est nécessaire pour l'impression. On passe donc pas un utilisateur spécifique, ayant les droits sur le répertoire et sur ce répertoire seulement, et dont l'utilisateur hérite des droits. Et cet utilisateur spécifique n'a pas de shell de connexion en sorte que, si l'on invoque une connexion en son nom, on ne pourra rien en faire. Voilà pour le mécanisme.

La question au point de départ était: connexion en session graphique sous root. Puis elle a dévié en : il n'est pas nécessaire d'avoir un utilisateur root. Puis elle a obliqué encore sur le thème: sur un système bien administré, on n'a pas besoin de root voire d'autres utilisateurs que l'utilisateur principal. Puis elle a encore dévié ... Sans considérer les déclarations à l'emporte-pièce, les affirmations non étayées (cybervirem va maintenant expliquer comme depuis le net on peut voir que root est en session et accéder aux droits root) et j'en passe.

L'effet est effectivement assez négatif mais on ne doit pas supporter les approximations ou oukazes sans explication aucune.

Je regrette simplement d'avoir voulu expliquer pas à pas:

1- que le connexion en session graphique de root ne génère pas en soi de trou de sécurité supplémentaire mais ouvre un risque complémentaire, en particulier quand on utilise des logiciels tels que des navigateurs,
2- que la connexion sous root est quoi qu'il en soit nécessaire à l'administration d'un système et ne doit certainement être proscrite a priori,
3- que de toute façon, un utilisateur root existe ( l'ambiguité des propos tenus par cybervirem... allez, relisez, ça suffira)
4- que des mécanismes complexes sont mis en place pour éviter que des utilisateurs n'héritent de droits root pour certaines tâches (impression, mail sur un système ...) et puissent ainsi, de facto, bénéficier de droits exorbitants compte tenu de ce dont ils auraient effectivement besoin; d'où la création d'utilisateurs spécifiques et j'ai illustré avec l'impression.

Pour le reste, je ne tenterai pas d'expliquer à cybervirem que ses ls -l (sur un /dev ... ça ne signifie pas grand chose ....) ne prouvent rien. Un fichier -une ressource- peut appartenir à root mais cela ne dit certainement pas comment ce fichier peut être exploité. D'ailleurs, si l'on fait ls -l /bin/ls, on trouve:

-rwxr-xr-x 1 root root 93560 sep 28 14:32 /bin/ls

est-ce à dire qu'un utilisateur lambda ne peut pas lancer ls?

Il faut donc expliquer le détail des mécanismes de sécurité, posément et en comprenant préalablement comment cela fonctionne, sans asséner un fatras de têtes de chapitre sans développement .

Nota: pour SELinux. Je lis "Une commande malicieuse pourrait parfaitement, si pas de selinux, attaquer les .text ou .data du démon, par exemple... et tu lui fais faire autre chose à ton démon... qui est root !". D'abord, tous les daemons ne sont pas root fort heureusement (voir l'extrait du /etc/passwd qui montre des daemons ... non root); ensuite SELinux définit à grand trait des ressources pour des programmes. Si ces programmes sont pervertis, ils peuvent parfaitement agir sur leurs ressources sans que SELinux n'y voit rien à redire. Par contre, ils seront confinés et c'est l'apport de SELinux. Voici, de façon rapide, une illustration d'une affirmation mal étayée ... dont un tutorial ne devrait pouvoir s'accommoder.

Je ne répondrai pas à cybervirem, en l'état de ses motivations et quelles que soient ses éructations (les spécimens sont visibles un peu plus haut). Par contre, je répondrai volontiers aux demandes de précisions et remarques de ceux qui ont pris la peine d'argumenter ou questionner.

@Temet : bof, j'aime bien le Hi, Cordialement...

@herrib : toujours n'importe quoi, hors sujet, long et qui ne veut rien dire ! On t'a pas demandé de faire une intro sur l'admin ni ton mea culpa. Je te dis simplmenet que la sécurité n'est pas à ta portée et sur un système bien configuré ls appartient à wheel par exemple ! J'attends de voir ton tuto histoire de rigoler... N'oublie pas, c'est quand tu veux, tu fais l'admin et je fais le pirate... en réseau local bien sûr... Tu veux pas jouer histoire de vraiment montrer tes compétences ? Par exemple, lors d'une install partie, un petit stand pour interesser les grands...

Un des devoirs et de dire les choses ! Ce herrib est vraiment trop nul :

Je rappelle que le fond concerne la connexion root et l'intégrité du système. Je dis qu'il n'y a pas d'intégrité si la connexion root est autorisée. En outre, le débat concerne ici des systèmes connectés en permanence à l'internet... et quand on voit /bin/bash pour root dans /etc/passwd... je rigole !

Reprenons donc le dernier post ce herrib qui tente de se réfugier derrière l'éloquence :

D'abord, tous les daemons ne sont pas root fort heureusement

Hors sujet et sans rapport ! Quelqu'un a dit le contraire ?

ensuite SELinux définit à grand trait des ressources pour des programmes. Si ces programmes sont pervertis, ils peuvent parfaitement agir sur leurs ressources sans que SELinux n'y voit rien à redire. Par contre, ils seront confinés

C'est exactement ce que je disais...

S'il avait appartenu à lp, groupe lp... tu peux faire la même chose mais tu ne gagnes que l'identité lp...

...en une ligne ! Entre culture et confiture... J'ai choisi !

Pour le reste, je ne tenterai pas d'expliquer à cybervirem que ses ls -l (sur un /dev ... ça ne signifie pas grand chose ....) ne prouvent rien.

bin essaie d'écrire dans ta ressource sans passer par lp, genre cat >...

1- que le connexion en session graphique de root ne génère pas en soi de trou de sécurité supplémentaire mais ouvre un risque complémentaire, en particulier quand on utilise des logiciels tels que des navigateurs,

J'ai pas bien vu où t'as voulu dire ça... Toujours temps de te ratrapper !

2- que la connexion sous root est quoi qu'il en soit nécessaire à l'administration d'un système et ne doit certainement être proscrite a priori,

La connexion root doit être proscrite ! au profit d'un EUID, c'est un minimum ! La configuration d'un système doit être faite en amont de la livraison pour un public non averti ou d'entreprise ! Une fois configuration et stabilisation opérées, le compte root doit etre désactivé ! La liberté de vivre internet et d'entreprendre sans être agressé informatiquement est à ce prix !

4- que des mécanismes complexes sont mis en place pour éviter que des utilisateurs n'héritent de droits root pour certaines tâches (impression, mail sur un système ...) et puissent ainsi, de facto, bénéficier de droits exorbitants compte tenu de ce dont ils auraient effectivement besoin; d'où la création d'utilisateurs spécifiques et j'ai illustré avec l'impression.

Blablabla blablabla... le pauvre, il parle sécurité sans avoir entendu parler de root kit, de dérivation des vecteurs d'interruptions, des processus masqués, etc. etc. Sache mon pauvre ami, que, par exemple, chaque système anti-virus arrive avec son lot d'outils spécifiquement conçus pour contourner ces "mécanismes complexes"...

D'ailleurs, si l'on fait ls -l /bin/ls, on trouve:

-rwxr-xr-x 1 root root 93560 sep 28 14:32 /bin/ls

est-ce à dire qu'un utilisateur lambda ne peut pas lancer ls?

Encore hors sujet ! A moins que tu aies trouvé un démon lsd sur ton système, t'es sur une bonne piste cette fois : pas de faille !

Je ne répondrai pas à cybervirem, en l'état de ses motivations et quelles que soient ses éructations (les spécimens sont visibles un peu plus haut). Par contre, je répondrai volontiers aux demandes de précisions et remarques de ceux qui ont pris la peine d'argumenter ou questionner.

J'ai pas d'image à réhausser, moi ! J'espère simplement avoir montré que tu ne vaux rien en sécurité et que tes conseils ne s'appliquent qu'à un seul public : les profanes (au sens latin, puisque cette culture ne semble pas t'échapper) !

Je suis bien curieux de savoir où tu as administré, combien de machine, quoi, et surtout combien de temps ils t'ont gardé.... Ose donc nous le dire pour voir, si tant est que tu aies une vraie expérience de l'informatique.

Par ailleurs, ici tout le monde s'est présenté (ou presque) dans "A part Fédora", sauf toi. Je dis sauf toi car tu t'es permis d'entervenir, mais sans jouer le jeu... en étant toujours hors sujet du thread. C'est plus un scoop : t'es coutumier du hors sujet, faudra s'y faire !

Que tu aies honte de ce que tu es, je compatis, que tu complexes quant à ton ignorance, libre à toi, mais la prochaine fois, essaie de lire entre les lignes au lieu de rester assis sur des ruines !

Tu disais ce forum très largement, tant mieux !-))) Tu crois qu'il vont aussi voir que tu fais le coq ailleurs ?
Et qu'en une seule intervention de ta part ce matin, un posteur n'a plus retrouvé ses données...

Et pour finir, et encore une fois, à propos de la réthorique de l'éloquence, laisse-moi rigoler !

Ajout : PS : 'faudrait p't'être vraiment déplace ce thread vers le bistrot....

Quelques extraits choisis:

cybervirem wrote:...
Je n'ai qu'une chose à dire : en sécurité, t'es un gros nul !
....
J'attends de voir ton tuto... original j'espère, car compiler des commandes pompées à droite à gauche, tout le monde sait faire ! ....
Va faire le beau auprès de ceux qui crois (encore?) en tes compétences, moi j'ai plus rien à prouver depuis longtemps déjà !Et surtout ferme ta gueule quand t'es pas sûr.
...
Je te propose un truc : tu prends un parc, tu l'adminsitres comme tu viens de présenter tes idées sur la sécurité, et je tente de le craquer !
....
Si je réussi c'est que t'es une grosse m*** en sécurité (ce dont je ne doute plus) !
...
Si je ne réussi pas, je réviserai, peut-être, mon jugement (en fonction de ce que je trouverai) ! A bonne entendeur, salut !Et pas de tuto avec un lourdo qui cherche à se sauver la face, va te planquer !
..
@herrib : toujours n'importe quoi, hors sujet, long et qui ne veut rien dire ! On t'a pas demandé de faire une intro sur l'admin ni ton mea culpa. Je te dis simplmenet que la sécurité n'est pas à ta portée et sur un système bien configuré ls appartient à wheel par exemple ! J'attends de voir ton tuto histoire de rigoler... N'oublie pas, c'est quand tu veux, tu fais l'admin et je fais le pirate... en réseau local bien sûr... Tu veux pas jouer histoire de vraiment montrer tes compétences ? Par exemple, lors d'une install partie, un petit stand pour interesser les grands...
...
Un des devoirs et de dire les choses ! Ce herrib est vraiment trop nul :
....
J'espère simplement avoir montré que tu ne vaux rien en sécurité et que tes conseils ne s'appliquent qu'à un seul public : les profanes (au sens latin, puisque cette culture ne semble pas t'échapper) !
...
Je suis bien curieux de savoir où tu as administré, combien de machine, quoi, et surtout combien de temps ils t'ont gardé.... Ose donc nous le dire pour voir, si tant est que tu aies une vraie expérience de l'informatique.
...
Par ailleurs, ici tout le monde s'est présenté (ou presque) dans "A part Fédora", sauf toi. Je dis sauf toi car tu t'es permis d'entervenir, mais sans jouer le jeu... en étant toujours hors sujet du thread. C'est plus un scoop : t'es coutumier du hors sujet, faudra s'y faire !
....
Que tu aies honte de ce que tu es, je compatis, que tu complexes quant à ton ignorance, libre à toi, mais la prochaine fois, essaie de lire entre les lignes au lieu de rester assis sur des ruines !
....
Tu disais ce forum très largement, tant mieux !-))) Tu crois qu'il vont aussi voir que tu fais le coq ailleurs ?
Et qu'en une seule intervention de ta part ce matin, un posteur n'a plus retrouvé ses données...
....
Et pour finir, et encore une fois, à propos de la réthorique de l'éloquence, laisse-moi rigoler !

Ajout : PS : 'faudrait p't'être vraiment déplace ce thread vers le bistrot....

Je pense que ce condensé de remarques résume hélas une démarche qui finit par discréditer les forums. Je pourrais aussi citer d'autres passages de cette éloquence qui doutaient de mes capacités professionnelles et autres fariboles.

Je ne souhaite plus relever les approximations, incertitudes, affirmations sans commencement de développement de cybervirem et le laisse volontiers animer cette déferlante.

Pour les tutos, et parce qu'il faut se présenter, j'ai signé les tutos suivants, avec le concours de quelques brillants contributeurs de ce forums:

* dual boot
* grub
ipw2200bg
* installation Java JRE (avec remi que je salue)
* webcam philips
* lecture de fichiers multimédia

Dans l'ancien forum: gestionnaire de dépendances avancées et un tuto sur un scanner.

Je mets en chantier un tuto sur la sécurité sous Fedora, dans les modalités courantes (mailing liste).

Nota: j'étais intrigué par le passage "Et qu'en une seule intervention de ta part ce matin, un posteur n'a plus retrouvé ses données...". J'ai cherché ybebert a résolu son pb.
androol, je ne sais pas.
siruv, qui ne voyait pas les partitions, écrit: "Merci, à toi herrib ça marche parfaitement je sais que je devrai pas le dire mais je "t'aime" lol:-D.
Tu m'as sauvé la vie, sinon pour les disques durs c'est bon ils sont monter c'est comme sous les anciennes distrib que j'avais auparavant.
Elle à l'air d'etre cool pour l'instant FC6, je vais me pencher dessus plus profondément.
encore merci mec tu es trop fort."

L'affirmation n'est donc pas seulement grave, infâmante, mais parfaitement inexacte. Mais tout est à l'encan, semble-t-il.