Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Wifi et tunnels SSH

BlackDruid

Salut,

Mon réseau Wifi fraîchement opérationnel, il me faut maintenant le sécuriser. Seulement le driver ATX 100/111 que j'utilise ne supporte pas wpa_supplicant et il me faut utiliser le WEP.

J'ai une question qui me vient à l'esprit mais j'ai besoin de l'avis d'experts.

J'ai un proxy linux entre mon modem et mon routeur. Si je met en place un tunnel SSH entre chaque PC connecté au routeur et le proxy lorsque je souhaite accéder à Internet -- ou au moins au Web. Est-ce utile ?

Selon mes réflexions, cela n'empêche pas de cracker la clef WEP mais j'en suis pas certain.

A+

celmir

ça devrait en calmer plus d'un mais précise un peu ton architecture ...

tapioca

Content de voir que ton problème WiFi a trouvé sa solution même s'il t'amène maintenant à d'autres questions.
Celle de la sécurité est vaste, mais déjà, relativisons : quelle est la valeur des données qui transitent sur ton réseau WiFi et quel est le montant de l'investissement en sécurité que tu trouves raisonable de lui appliquer ?
Si tu veux juste éviter que ton voisin du dessus profite de ta bande passante, une protection WEP devrait suffire (ça métonnerait qu'un mec capable de casser une clé ne puisse pas s'offrir sa connexion ADSL 2+ à 30 roros/mois).
Sans sombrer dans la parano, tu peux aussi appliquer un filtrage sur adresses MAC au niveau de ton AP si il sait le faire.
Après, tu peux appliquer toutes les protections par clé que tu veux, un vrai cracker de la CIA rentrera quand même (si si, j'ai vu à la télé !), plus ou moins vite, mais il rentrera. Là, c'est plutôt le problème des entreprises, pas vraiment celui du particulier.

celmir

j'ai entendu parler de cas ou c'est pas drole : des petits malin qui recherchent des hotspots pour faire des téléchargements illégaux et visiter des sites pornos (dans le meilleur des cas).

la clef wep c'est vraiment pas efficace et l'adresse MAC c'est pareil, c'est facile en sniffant le réseau de récupérer l'adresse mac d'une machine et changer celle de son portable pour se l'approprier.

BlackDruid

Pour répondre à Tapioca, le but est effectivement de se protéger des voisins pour éviter qu'ils puissent intercepter quoi que ce soit et, évidemment, qu'ils ne puissent pas utiliser ma connexion pour aller faire dieu sait quoi.

Malheureusement, avec ce qu'on trouve sur le Web, même un lamer peut faire tourner un prog pour essayer de casser une clef en quelques heures. D'ailleurs je compte bien m'amuser à le faire sur mon propre réseau pour voir combien de temps ça tient :-D

celmir a écrit:
ça devrait en calmer plus d'un mais précise un peu ton architecture ...

Alors j'ai 3 PCS, 2 sous Linux et 1 sous Windows. Les 3 sont en Wifi via à un routeur, cryptage WEP et filtrage d'adresses MAC activés.

Le routeur est connecté à une passerelle Linux elle même connectée à Internet par une Freebox. L'idée serait de faire circuler les infos des PCS à la passerelle par des tunnels SSH.

Je ne sais pas si c'est faisable pour toutes les communications. En quoi cela rend-il le réseau plus sûr ? Quand j'essaie d'y réfléchir, je me dis que cela n'empêcherait pas de cracker la clef WEP...

A+

celmir

il est conseillé de crypter les flux entrenet les serveurs et d'utiliser des certificats pour l'authentification des serveurs (c'est aussi possible avec windows de demander dans les paramètres systèmes des liaisos sécurisées).
maintenant il y a la question de l'accès à internet via la freebox, là je connais pas son paramètrage mais je dirais simplement :désactiver toutes les fonctions de relai et n'autoriser que l'interface externe de ta passerelle ?

BlackDruid

Salut,

Je ne suis pas sûr de bien te suivre. Tu parles de certificats d'authentification... fais-tu référence à SSH ou SSL ?

J'avais dans l'idée de créer bêtement un tunnel SSH entre ma machine et la passerelle. Concrêtement (je ne suis pas sûr de la syntaxe) :

# ssh -L 2000:ip_passerelle:3000

Autrement dit, je crée un tunnel qui va du port 2000 de ma machine au port 3000 de la passerelle. Si j'envoie toutes mes requêtes sur le port 2000 du localhost, elles sont acheminées vers la passerelle via une connexion sécurisée. A la passerelle de se démerder avec ce qui lui arrive sur le port 3000 par la suite..

Concernant la freebox, il n'y a pas de règles de filtrage en sortie. Par contre, j'ai un firewall sur la passerelle. Faudrait voir si je peux autoriser en sortie uniquement ce qui provient du tunnel.

A+

celmir

je me suis peut-être mélangé les pinceaux ?

en fait il me semble que tu peux controler soit un mot de passe soit la présence d'un certificat valide pour autoriser la connexion ssh.cela évite tout risque de compromission du système par le crackage du mot de passe ....

tapioca

Bonjour,

ta commande n'est pas la bonne. Utilise plutôt :

ssh -L 2000:localhost:3000 un_user@ta_passerelle

qui veut dire :
un_user se connecte sur ta_passerelle et SSH crée un tunnel entre le port 3000 de localhost (donc ta_passerelle) et le port 2000 du client.
Regarde le tuto sur VNC et SSH pour plus de précisions (j'ai mis aussi un certain temps avant de mettre les choses dans l'ordre).

BlackDruid

@celmir : d'accord, je vois ce que tu veux dire. Il y a effectivement un moyen de ne pas saisir son mot de passe à chaque ouverture de session SSH. Ceci étant, je ne pense pas que le mot "certificat" soit approprié (enfin peut-être mais il m'a induit en erreur en tout cas)... c'est une histoire de clef, privée ou publique, que tu stockes sur ta machine. C'est effectivement plus pratique !

@tapioca : oui en effet, la commande n'est pas triviale :-D Donc, ma question du début était : est-ce que ceci est utile ? Est-ce que cela empêche de cracker la clef WEP ?

Est-il possible de faire passer dans un même tunnel SSH des requêtes HTTP, SMTP, FTP, etc... ?

A+

tapioca

1) Je pense que tu te compliques la vie et que ce n'est pas très utile (cf mon premier post).
2) La clé WEP ne résiterait pas longtemps devant quelqu'un trés décidé. Ton routeur WiFi devrait en plus savoir tracer les connexions : donc possibilité de changer la clé si intrusion constatée, ce qui n'empêche pas de la changer régulièrement.
3) Tout faire passer par un seul tunnel revient à créer un VPN.

celmir

tes clés privés et publiques sont générées avec openssl.
il s'agit de certificats en général signés par une AC auto-signées...

BlackDruid

Salut,

@tapioca : merci pour ton avis.

@celmir : sans vouloir insister, il me parait une nouvelle fois abusif de parler de certificat. Un certificat est délivré par une authorité de certification qui valide la clef publique du serveur. Lorsque j'installe un serveur SSH, je ne demande pas à Verisign de me délivrer un certificat, qui plus est payant !

D'ailleurs, lors de la première connexion à un serveur SSH, il est bien stipulé que "the authenticity of host 'bla bla' can't be established". A ce niveau là rien ne te certifie quoi que ce soit.

C'est une fois que tu t'es connecté et que tu as la clef publique du serveur dans un fichier de ta machine que tu vas pouvoir la comparer avec celle que le serveur t'envoie et effectuer une pseudo-authentification.

Enfin, on va pas pinailler plus, je suis pas là pour lancer un débat :-D Je vais cependant continuer à réfléchir à mon idée, vous ne m'avez pas totalement convaincu de laisser tomber 😉

A+

celmir

Au boulot nous avons monté une PKI et pour avoir travaillé avec un spécialiste de la signature électronique, je peux te garantir que je ne te raconte pas de bétise .

En fait tu peux générer un certificat d'AC (authorité de certification qui est auto-signé, c'est-à-dire que tu décide d'accorder ta confiance à toi-même) et tu génères à partir de là autant de certificats que tu veux. Bien sur juridiquement ce n'est pas valide mais techniquement c'est la même chose.