Sécurité : Sécurisation Poste Travail Client

[dezix]

Bonjour,

Le titre est partiel.....

Nous avons déjà bien échangé au sujet des Mots de passe

À présent, je voudrais vos avis sur cette question :

Lorsque l'on se connecte sur une machine distante (p.ex: un serveur web) pour y travailler (ssh, ftp, ...) depuis notre PC (client),
bien que des dispositions aient été prises pour protéger l'accès du serveur,
un attaquant (et dans quelle mesure) peut-il contourner la sécurisation du serveur en passant par le client ?

Je pense p.ex. à récupérer l'IP du client lors de sa connexion,
pour aller y rechercher les mots de passe qui pourraient s'y trouver
ou
profiter/parasiter une connexion active entre le client et le serveur.

Savez-vous si de tels risques existent
et quelles sont les règles élémentaires pour se prémunir des situations les plus classiques ?

Merci.

[piratebab]

Dezix,
le probleme que tu abordes est plus général. Un poste compromis, et c'est tout les serveurs auquel il se connecte qui sont compromis.
C'est pour ça qu'il ne faut donner aux postes clients que les autorisations dont il a besoin. Par ex, ne pas l'autoriser à se connecter en root au serveur si pas nécessaire.
Autre exemple: la connexion par clef privée. C'est bien pratique, mais si le poste client est corrompu, l'attaquant peux les subtiliser pour se connecter.
Quand à la sécurisation d'un poste client, vaste débt ...
Il y a des distributions plus adaptées que debian si tu veux bien blinder le poste (journalistes, dissidents politiques ...). Ce sont des distributions qui cloisonnent fortement les applications , et qui chiffres tout.

[dezix]

Salut Pirate !

Il y a des distributions plus adaptées que debian si tu veux bien blinder le poste (journalistes, dissidents politiques ...). Ce sont des distributions qui cloisonnent fortement les applications , et qui chiffres tout.

À quoi penses-tu ?... Tails, OpenBSD,... ?

Dans mon questionnement actuel,
je pense surtout à éviter un max de soucis dans l'administration de services web "classiques" HTTP, FTP, Mail.

J'investis du temps et mes derniers neurones disponibles pour tenter de mettre en place proprement quelques sites,
ça me les briserait menues de laisser une porte béante au premier nuisible qui passerait par-là.

[piratebab]

QUBES OS
Il ne suffit pas de sécuriser son poste, il faut aussi sécuriser en amont pour une defense en profondeur

[dezix]

QUBES OS

Merci,
je découvre cette possibilité.
Couplé avec Whonix cela semble ... béton !

As-tu déjà testé cette combinaison ?

Cela ne devient-il pas "lourdingue" à l'usage ?

[dezix]

Au sujet de Qubes OS,
voici une présentation qui date un peu (2016 V3.1)
Benjamin Sonntag - Qubes le nouvel OS sécurisé pour hacktivistes

le locuteur domine son sujet et il est super speed
donc pas très facile à suivre mais l'info est là,
en plus il est sympa ce qui ne gatte rien.

[dezix]

Admettons que l'on décide de bien faire les choses en :

• Installant Qubes
• sur un SSD tout neuf
• crypté avec LUKS
• bien organiser les VMs en fonction des usages (pas évident)

Selon, ce que j'ai pu lire

le premier soucis (c'est peut-être la référence du Pirate ;-)

il faut aussi sécuriser en amont pour une défense en profondeur

=> Le matériel !

Quelle disposition prendre pour minimiser le risque,
si on n'a pas construit son propre PC à partir d'un bloc de silice brut récolté au milieu de SAHARA ?

Même problème avec le BIOS,
si l'on ne dispose pas d'un BIOS sûr d'origine

Cela semble possible moyennant l'achat d'un PC scellé ?... il faut encore pouvoir (prix/logistique)
et cela reste une question de confiance par rapport au fournisseur.

L'installation d'un BIOS libre et sûr? (Coreboot ; Libreboot ; Das U-Boot ; ....)
ne semble pas sans risque pour le matériel,
si toute fois c'est possible ???

=> Importation des fichiers

Maintenant en supposant que l'on soit parvenu à une installation satisfaisante,
comment s'assurer que les fichiers (utilisateur) importés
(si on ne peut pas tout créer soi-même dans sa VM super-sécurisée)
ne sont pas infectés d'une quelconque manière ?

Bon ! ça fait beaucoup de questions... mais c'est la Pause Café

[piratebab]

Dezix, je n'ai personellement pas besoin d'un niveau de sécurité tel que celui de Qubes OS.
Concernant le BIOS, le minimum, c'est de le verrouiller via un mot de passe, et d'd'en bloquer la modifiction)
Aprés, tu as les améliorations telles que secure boot. Tu peux aussi utiliser un BIOS libre!
Mais si tu as chiffré tout tes disques, même en démarant sur un live CD, il faut encore pas mal de travail pour acceder aux données.
Le niveau de sécurité d'une machine doit étre proportionel à l'importance des données à protéger.
Et ne pas oublier que le maillon faible reste l'humain (mauvaise configuration, mauvaise utilisation ..)

[dezix]

Au niveau du cryptage des disques,
j'aurais bien besoin d'un bon tuto de divulgation
qui permette d'avoir une idée juste sans rentrer dans l'expertise de la crypto.
-- Je prends Français/Anglais/Espagnol --

Comment ça se passe pour le système, notamment au démarrage.

je suppose que /boot doit être sur une partition non-cryptée.

Quid des autres répertoires du systèmes ?

P.ex : les fichiers systèmes restent-ils cryptés pour les utilisateurs non-admin

root a-t-il accès en clair à tous les fichiers ou uniquement aux siens et de son groupe?

et plus généralement qui peut accéder à quoi ?

Enfin un tas de trucs comme ça qui ne paraissent pas d'une super-évidence

Autre question bête,
j'utilise des répertoires Encfs ou Cryfs avec Sirikali,
mais je pense qu'une fois avoir donné le mot de passe pour accéder à ces répertoires,
n'importe quel petit futé pourrait regarder "par-dessus mon épaule" sans que je ne m'en aperçoive !
... Vrai?

Qu'en est-il avec LUKS ?

J'ai une clé USB avec Tails (part système non-cryptée) et un volume persistant crypté LUKS,
ça revient à cela en fixe ?

[piratebab]

Desix, il faut déja distinguer 3 types d'attaques du poste client:
- depuis internat (WAN)
- depuis le réseau local (LAN)
- avec un accés physique au poste de travail (surtout avec un PC portable qu'on peux subtiliser)

Le chiffrage des partitions est utile pour les cas d'accés physique au poste de travail.
Tu peux commencer par chiffrer les partitions non systeme, c'est le plus simple et déja bien efficace.
Des tutos, il y en a pleins, je ne sais pas lequel te conseiller, je n'ai jamais eu besoin de le faire.

[dezix]

Le chiffrage des partitions est utile pour les cas d’accès physique au poste de travail.

Oui, c'est ce qui me semble après un petit test d'installation (netinstall stable en mode expert graphique) LUKS + LVM (lvm c'est en plus - pour voir - ; ça n'a pas de rapport direct)

Une fois le mot de passe LUKS donné,
on se retrouve dans une situation classique => le disque est en clair et seules les permissions jouent.

Donc, oui cela ne vaut que contre le vole et l'accès à la machine arrêtée
ou avant la fourniture du mot de passe de décryptage du disque.

Voilà un autre point éclairci, merci.

[piratebab]

C'est utilie si tu te fais voler ton disque dur, ou si des douaniers veulent voir ce qu'il y a dans ton laptop.
Mais bon, si ils insistent, tu fini par donner le mot de passe ..
J'ai vu d'autres systeme plus adapté au cas des douanniers curieux. Seuls certains fichiers sont chiffrés, et de telle façon que cela apparait comme des zones non utilisées du disque .. Je ne me rapelle plus comment ça s'appelle.

[dezix]

Oui, c'est ce que j'ai lu dans La FAQ LUKS => 5.2 Is LUKS insecure? Everybody can see I have encrypted data!

Il faut vraiment avoir de bonnes raisons pour ne pas cracher le MdP sous la gégéne !

... on n'en est pas ... encore là !

[dezix]

Seuls certains fichiers sont chiffrés, et de telle façon que cela apparait comme des zones non utilisées du disque .. Je ne me rapelle plus comment ça s'appelle.

Étude sur l'évolution des systèmes de fichiers - 5.1 Les systèmes chiffrés - 5.1.3 StegFS

...
Il se base sur le système de fichiers traditionnel ext2.

Le système résultant peut d'ailleurs être monté en tant que système de fichiers ext2 traditionnel.

Quand il est monté en tant que système de fichiers stegfs, et que les mots de passes sont correctement donnés,
des données cachées du système de fichiers sont accessibles.

Différents niveaux sont accessibles, ce qui signifie que, en fonction du mot de passe donné,
certaines données peuvent rester cachées.

Il est à noter que les données cachées sont invisibles,
autant pour l'utilisateur, que pour le noyau et pour le système de fichiers lui-même.
...

Est-ce à cela que tu faisais allusion ?

[piratebab]

je ne sais pas. Il ne suffit pas de cacher des partitions. Il faut les rendre invisible du systeme de fichier.