http://blog.gobio2.net/index.php/ Beaucoup de vide dans un monde de néant... fr Mon, 28 Jul 2008 04:02:02 +0200 http://blogs.law.harvard.edu/tech/rss Dotclear http://blog.gobio2.net/index.php/post/2007/10/06/Ubuntu-ssh-et-PermitRootLogin urn:md5:3bfb1830c250a4b828f47da7e839cea3 Sat, 06 Oct 2007 00:29:00 +0200 Laurent Geek Attitude ubuntuunix <p>Ca pourrait être le titre d'une sitcom comme "<a href="http://fr.wikipedia.org/wiki/Top_Models" hreflang="fr">Amour, Gloire et Beauté</a>" ^{[<a href="http://blog.gobio2.net/index.php/post/2007/10/06/#pnote-13-1" id="rev-pnote-13-1">1</a>]} mais c'est plutôt quelque chose qui m'a déçu légèrement auprès d'<a href="http://www.ubuntu.com" hreflang="en">Ubuntu</a>&nbsp;: "par défaut" le serveur ssh est configuré avec PermitRootLogin à on. Pour ceux qui ne parlent pas le ssh couramment, cela veut dire que ssh autorise un utilisateur externe à se connecter à la machine directement en superutilisateur (avec tous les droits) à condition bien sûr qu'il donne le bon mot de passe. Mais comme Ubuntu n'active pas le mot de passe root -"par défaut"- c'est donc quelque chose d'impossible (sauf si l'administrateur de la machine a installé un mot de passe pour root). L'honneur est donc sauf&nbsp;?</p> <p>Pour moi, clairement non: deux précautions valent mieux qu'une et quand on voit le nombre de tentatives faites directement sur le compte root^{[<a href="http://blog.gobio2.net/index.php/post/2007/10/06/#pnote-13-2" id="rev-pnote-13-2">2</a>]}, je pense franchement que c'est un peu tirer le diable par la queue. Malheureusement ce n'est pour l'instant pas l'<a href="https://bugs.launchpad.net/ubuntu/+source/openssh/+bug/45416" hreflang="en">avis</a> des mainteneurs Ubuntu de ssh (et manifestement de ceux d'OpenBSD).</p> <p>Moralité: être parano en matière de sécurité, ne pas faire aveuglement confiance dans les réglages faits par d'autres (fussent-ils les mainteneurs de ma distribution préférée).</p> <p><em>PS</em>: PermitRootLogin ne prend pas uniquement "on" et "off" comme valeurs, il prend aussi "without-password" qui autorise l'authentification par clef publique uniquement et "forced-commands-only" qui autorise uniquement l'authentification par clef publique et l'execution d'une commande précise (à préciser dans le fichier authorized_keys, potentiellement utile pour lancer un backup par exemple)</p> <div class="footnotes"><h4>Notes</h4> <p>[<a href="http://blog.gobio2.net/index.php/post/2007/10/06/#rev-pnote-13-1" id="pnote-13-1">1</a>] Je viens d'ailleurs de comprendre que "Amour, Gloire et Beauté" sur France 2 et "Top Models" sur RTL9 sont en fait la même série</p> <p>[<a href="http://blog.gobio2.net/index.php/post/2007/10/06/#rev-pnote-13-2" id="pnote-13-2">2</a>] ne pensez pas que votre compte "toto" soit à l'abri, il est juste essayé moins frequemment</p></div> http://blog.gobio2.net/index.php/post/2007/10/06/Ubuntu-ssh-et-PermitRootLogin#comment-form http://blog.gobio2.net/index.php/post/2007/10/06/Ubuntu-ssh-et-PermitRootLogin#comment-form http://blog.gobio2.net/index.php/feed/rss2/comments/13