SME+Ipcop : Précisions sur mon point de vue

[jibe]

Salut,

Bon, tomtom m'a un peu déstabilisé Je n'avais pas vu le topic qu'il cite en fin, et ce qui y est décrit me paraissait difficile sur une SME...

Mais cela ne m'empêchera pas de penser que SME seule reste la meilleure solution à moins d'être un spécialiste des architectures réseau. Certes, il y a des inconvénients à avoir tout sur la même machine. Je ne nie pas. Il y en a aussi à monter n'importe comment un routeur-firewall, ce qui est inévitable de la part d'un non-spécialiste, et là, pas besoin d'une version buggée de PHP ou PhpBB pour créer des failles.

jibe tu est contre l'association "sme et ipcop" ou "sme et n'importe quel routeur/firewall" ?

Je m'étonne que tu poses la question... Je n'ai absolument rien contre Ipcop, mais contre le fait de remplacer le firewall de SME par un autre. C'est bien toujours l'explication que j'ai donnée...

en tant que non expert, je trouve plus formateur (comprehension des mecanismes et architectures reseau) de rediriger moi même mes ports que de le laisser faire de facon transparentes.

Tu te places donc dans un cas particulier : tu cherches à comprendre et donc tu acceptes le risque. J'ai toujours dit que je me plaçais dans le cas général et que je me battais surtout contre ceux qui associent SME et Ipcop (ou tout autre firewall/routeur) simplement croyant faire mieux avec un "vrai" firewall.

alors je vois 2 cas de figure :

- soit tu ignore tout de l'utilisation d'un routeur firewall, et tu laisse le soin a SME de tout faire a ta place.

- soit tu est un expert dans ce domaine ce qui te permet de t'affranchir de ce parametrage en le confiant a SME.

Je me place toujours dans le premier cas. La SME n'est pas faite pour le second cas, c'est ce que j'ai dit depuis le début.

Lorsque je me place dans le second cas, j'ai plutôt tendance à garder la SME et à adapter son firewall. Parce que je me sens plus à l'aise ainsi, simplement. Mais c'est vrai que je devrais plutôt envisager une association de bécanes à ce moment-là. Il y a des avantages et des inconvénients dans les deux cas, on peut en débattre longuement mais en fait c'est à décider au coup par coup, chaque cas étant particulier.

Mais je répète encore une fois : je ne débats ici que de l'utilisation "normale" de la SME, pas de SME modifiées ou associées à d'autres distribs pour des cas spéciaux. Donc, je suis dans le premier cas.

et puisque le debat a commencé sur "ta virulence et ses raisons", notre debat tend prouver, dans toutes les reponses postées, que chaque architecture reseau est valable, et ne merite pas que l'on s'attarde sur la forme mais sur le fond du sujet. j'espere qu'on est d'accord

Heu... Je ne comprends pas bien ce que tu veux dire ? Mais je pense qu'on est bien d'accord quand même
Je pense simplement qu'effectivement, débattre de cas spéciaux est un peu hors sujet ici : le fond du sujet est que la SME est faite pour être en frontal, qu'elle est parfaitement adaptée à sa fonction et que je me bats contre ceux qui l'oublient ou qui l'ignorent et qui sont beaucoup plus nombreux qu'on le croit.

Il faut juste cantonner ces beaux outils à leur utilisation initialement prévue avec les compromis qui se doivent en fonction de la criticité des données, de l'architecture et en fonction du budget disponible.

C'est exactement ce que je dis :

1. cantonner ces beaux outils à leur utilisation initialement prévue,
2. Admettre que des spécialistes peuvent les en détourner s'ils le jugent bon.

J'ajouterai pour Nemric :
Admettre que chacun fait ce qu'il veut, et qu'à partir du moment où on assume ses actes, toute expérience est enrichissante.

[tomtom]

Oui, mais jibe tu oublies un point essentiel...

Partons du principe qu'un zigoto qui ne connait rien de rien à la sécurité des réseaux veuille se faire une architecture pour heberger un serveur web/ftp à la fois sur Internet et sur un réseau local, et aussi proteger son réseau local des intrusions diverses et avariées...
Bon, déja, quelle que soit la solution choisie, un zigoto qui ne fera pas ses mises à jour et qui laissera ses postes windows sans campagne de patches, qui ne s'occupera pas de vérifier les failles réfulièrement, etc. on peut affirmer que la sécurité sera pas très loin du nniveau de la mer, voire en dessous. Mais admettons que le zigoto soit un peu eveillé, et que bien que ne connaissant rien du tout, il décide d'etablir la solution que lui apportera le plus de sécurité, en décidant à la fois de lire la documentation des produits qu'il utilise pour ne pas faire d'aneries, et de ne pas "bricoler" les produits pour les mêmes raisons.
Il hésite entre deux solutions ;
- SME only
- IPCop + SME

Sachant que dans les deux cas, il va faire l'installation propremement, en laissant tout le paramètrage par défaut; et en ouvrant juste sur le firewall les ports nécessaires à ses services (et en le faisant bien, c'est à dire en lisant la doc), alors sans hésiter je dirais que la sécurité est de loin meilleure avec la solution IPCop + DMZ.
En effet, je ne connais pas bien IPCop mais il semble que la config soit assez costaud et efficace et le paramètrage ultra simple si l'on reste dans les conditions "standard" d'utilisation.
Encore une fois, l'idée n'est aps que avec IPCop on risque moins d'intrusions et de se faire péter son serveur web, mais bien que en cas d'intrusion, un attaquant isolé sur une DMZ est dans une position bien bien plus défavorable que dans le cas ou il a pris la main sur le firewall !!!

Nous sommes bien sur loin des solutions professionnelles, mais des réseaux bien cloisonnés sont la garantie d'un minimum de difficultés pour l'attaquant, et aparemment IPcop cloisonne proprement les réseaux.

N'oublie pas que à la moindre faille un peu critique de php, ta sme si elle n'est pas patchée à temps est vulnérable au premier script kiddie qui passe, et ce qu'elle soit derrière IPCop ou non !!! On ne peut pas grand chose contre ça (mis à part chainer des reverse proxys avec du filtrage d'url), mais on peut limiter les degats en cas d'intrusion

Maintenant, pour modérer mon propos, je dirais que malgré le faible cout des machines, une architecture IPCop + SME représente un investissement bien plus grand qu'une SME seule, que ce soit en materiel (reseau, machines, electricité etc) ou en temps de paramètrage/configuration/maintien (multiplié par 2 + le réseau à gérer).
Le choix se fera donc ici : Rapport securité/prix de l'installation, à rapporter au cout du vol/perte eventuel(le) des données de l'entreprise, et limite eventuelle de moyens à mettre dans l'informatique.

My 2 cents

t

[Nemric]

Salut,

cqfd, et le zigoto c'est moi

tomtom a visiblement plus d'impact que moi sur jibe ...

Nemric

[jibe]

Salut,

tomtom a visiblement plus d'impact que moi sur jibe ...

C'est juste qu'il a apporté comme preuve concrète un cas d'intrusion que j'ignorais

Ceci dit, sa dernière démonstration est elle aussi convaincante. Mais ne changera pas mon opinion : c'est encore et toujours le cas d'un "spécialiste" qui fait l'installation. Même si tomtom insiste sur le fait que c'est quelqu'un qui se contente de lire la doc, je maintiens que pour configurer correctement l'Ipcop en "ouvrant juste les ports nécessaires à ses services", il faut quand même être un peu plus qu'un patron ou un comptable de PME un peu dégourdi... Bon, c'est vrai, je connais des comptables et des patrons de PME qui pourraient le faire, mais ce sont des cas quand même un peu spéciaux : des amateurs avertis, des passionnés qui ne regardent pas les heures à lire les docs, courir les forums, et qui m'appellent pour explications supplémentaires au moindre doute.

Et puis, pour contrebalancer la preuve amenée par tomtom, il suffit de parcourir Ixus : il y a une foule de posts parlant de problèmes d'association de SME avec Ipcop, pour combien à propos de SME piratées ? Certes, tomtom a raison et je l'avais d'ailleurs déjà dit : la théorie est bien que la répartition des tâches est plus sûre. La pratique est que la SME offre un niveau de sécurité amplement suffisant dans la plupart des cas, et que les associations hasardeuses donnent un faux sentiment de sécurité.

D'ailleurs, la belle démonstration de tomtom sera indiscutable le jour où il y aura une doc expliquant comment associer SME et Ipcop selon les services désirés. A ma connaissance, cette doc n'existe pas, et c'est à chacun de rechercher et rassembler les infos nécessaires pour savoir quel service écoute sur quel port, et d'abord de savoir ce qu'est un port etc... (et puis aussi et surtout, savoir quels ports bloquer )

Je reste donc convaincu que, quand on sait tout ce qu'il y a à savoir pour associer SME et Ipcop, on garde dans certains cas cette association, mais souvent on a tout intérêt à voir du côté d'autres distribs...

Ce débat reste malheureusement un faux débat : la SME est faite pour être une solution tout en un, et on s'obstine à vouloir la faire entrer dans la théorie des réseaux qui dit de séparer les tâches, et à prouver qu'elle sera plus sécurisée en respectant cette théorie. Certes, qui peut le plus peut le moins, et on peut l'associer à Ipcop. Comme on peut arrêter le moteur d'un camion et le faire tirer par un tracteur. Dans ce cas, je maintiens qu'une remorque serait plus adaptée, et que le camion est conçu pour tirer lui-même la charge et que c'est la meilleure façon de l'utiliser. Cela n'elève rien à ce que démontre tomtom à propos de la séparation souhaitable de la partie traction et de la partie charge donnant une supériorité incontestable aux semi-remorques

[micjack]

et puis aussi et surtout, savoir quels ports bloquer

Je ne vois pas trop le rapport avec le lien que tu as donné --> http://forums.fr.ixus.net/viewtopic.php?t=9237 (Qui est volontairement trollesque de la part de l'auteur ) , mais bon, je délire à chaque fois que je le relis

HS Inside, mais bon

[jibe]

Salut,

Je ne vois pas trop le rapport avec le lien que tu as donné --> http://forums.fr.ixus.net/viewtopic.php?t=9237 (Qui est volontairement trollesque de la part de l'auteur ) , mais bon, je délire à chaque fois que je le relis

Pas faire attention Je n'ai jamais pu rester sérieux trop longtemps quand un débat devient trop passionné et que chacun avance des arguments très justes, mais en oubliant un peu trop le contexte. Autrement dit, c'était ma façon de dire que ce débat devient lui aussi trollesque

• On me ramène toujours les mêmes arguments comme quoi un firewall bien conçu sur une Ipcop placée devant la SME est meilleur au point de vue sécurité, quand moi j'affirme que mettre en place un bon firewall est presque impossible dans les cas pour lesquels la SME est conçue et qu'à ce moment là la SME seule en frontal est nettement plus sûre.
• J'oublie probablement trop que nous sommes ici sur un forum dédié à la sécurité et donc que les spécialistes que nous sommes tous cencés être sont capables de monter un bon firewall et qu'ils ont peine à admettre que la SME est faite pour le commun des mortels...

Ceci dit, au lieu de renvoyer aux cochons de scroudge (ce qui reste quand même un excellant troll, il faut l'avouer ) j'aurais mieux fait de réfléchir à ce que je disais, parce que j'ai oublié le principal : les templates de la SME !

Effectivement, si le développeur d'applis de gestion que je suis n'arrive pas à la cheville de tomtom en matière d'architecture réseaux et de firewalls, tomtom lui oublie ou ignore que la SME régénère automatiquement son firewall, ce qui fait sa particularité et son efficacité dans une configuration effectivement affaiblie théoriquement...

On a donc les cas de figure suivants :

• Ipcop + SME avec firewall en béton : solution "idéale" (dans laquelle, AMHA, une Debian serait meilleure que la SME) mais réservée aux spécialistes que nous sommes (ou à ceux qui savent lire et suivre scrupuleusement une doc qui n'existe pas encore ), et donc hors cadre d'utilisation normale de la SME.
• Ipcop + SME avec firewall bricolé par un amateur qui se croit averti : le pirate fait ce qu'il veut quand il veut.
• SME seule bricolée : on peut discuter longuement si c'est mieux ou moins bien que la solution ci-dessus Je pense que c'est approximativement pareil, le pirate fait ce qu'il veut quand il veut.
• SME seule et en état : si le pirate réussit à rentrer (très peu de cas connus, voire pas du tout : ceux cités n'ont-ils pas eu lieu sur une SME pas à jour ou bricolée ?) il peut faire ce qu'il veut pendant que son firewall modifié est en place, c'est à dire pas longtemps...

Le débat devrait donc plutôt tourner autour du temps dont le pirate dispose pour commettre ses méfaits et du rapport entre le risque couru et les moyens à mettre en oeuvre pour l'éviter... Les trois premiers cas sont quand même un peu spéciaux et hors-sujet, sauf peut-être le second qui faisait au départ l'objet de ma mise en garde et qui semble assez courant !

Donc, micjack, sois heureux : j'en reviens aux mêmes conclusions que mon topic en 9 posts

[Franck78]

[list][*] On me ramène toujours les mêmes arguments comme quoi un firewall bien conçu sur une Ipcop placée devant la SME est meilleur au point de vue sécurité, quand moi j'affirme que mettre en place un bon firewall est presque impossible dans les cas pour lesquels la SME est conçue et qu'à ce moment là la SME seule en frontal est nettement plus sûre.

C'est ça que je n'arrive pas à piger dans tes explications jibe. Plus il y a de protections entre l'attaquant et la chose à protéger, mieux c'est. Et que ce soit un FW ou un SME à protégéer ne change rien. Que la protection résiste ou non, c'est une autre histoire. Toujours est-il qu'il faut franchir la première protection avant d'atteindre la suivante.

Peut être une petite métaphore: a toi de donner une note sur la vulnérabilité du truc:
-Chateau fort en plaine.
-Le même chateau, mais perché sur la colline
-Avec une douve de 5 mêtres remplie d'eau
-bug de conception: l'eau ne reste pas en hauteur dans la douve
Il n'empéche qu'il reste quand même un gros trou supplémentaire à franchir.

Le chateau est toujours identique, parfaitement construit et fonctionnel. Lequel est le plus protégé devant une armée de l'époque ?
Je précise armée de l'époque car si tu l'attaque avec un hélico+roquette,....=> mise à jour!

Franck

[tomtom]

Effectivement, si le développeur d'applis de gestion que je suis n'arrive pas à la cheville de tomtom en matière d'architecture réseaux et de firewalls, tomtom lui oublie ou ignore que la SME régénère automatiquement son firewall, ce qui fait sa particularité et son efficacité dans une configuration effectivement affaiblie théoriquement...

Hé, ho, faut pas abuser, j'essaye quand même de savoir de quoi je parle

Dans ta théorie des templates, tu pars toi du principe que le pirate qui a exploité la faille, lui, ignore tout des templates....
Faut pas se leurrer, avec un acces root sur la machine, il peut très bien modifier les templates aussi...
La seule solution pour éviter que le firewall ne soit corrompu est qu'il soit sur un media non inscriptible (sisi, il existe des firewalls sur CDRom) avec la config sur un support qui ne soit pas présent dans la machine...

Tu semble continuer ausi de douter de la possibilité de rentrer sur une SME... Mais ce n'est pas plus dur que sur un autre système. Car dès lors que tu heberges une aplication web (et c'est quand même le but en général), tu t'exposes à une faille de ton applicatif... Et le cloisonnement de la SME reste un cloisonnment Interne et logiciel, donc insufisant...


Bon halte au troll, l'image de franck est sympa aussi, pour ma part j'arrêterai là. J'ai bien compris tes arguments jibe, mais je persiste à dire qu'ils ne sont valides que pour quelqu'un ne souhaitant pas à proprement parler sécuriser son SI, mais s'en occuper le moins possible et dépenser le moins possible. Affirmer que ces gens là n'existent pas serait ignorer complètement la triste réalité : Les professionnels ne sont pas sensibilisés aux danger qu'il y a à relier son système d'information au net. A cout égal d'usage, il n'y a probablemnt pas mieux que la SME !


Pour conclure sur ce sujet en ce qui me concerne, je me permets un petit hors-sujet en vous invitant à lire ceci (en anglais), c'est passionnant !!!
http://www.ranum.com/security/computer_ ... index.html

t.

[Nemric]

salut,

allé jibe, admet qu'a par le cout (negligeable d'un firewall / cout des données) il vaut mieu avoir sa dmz sur un autre disque dur que celui du firewall ...

serieusement ! sans dire "y'a que les experts qui savent" ou "c'est ce que je dit depuis toujours, SME fait tout tres bien" a ce stade du post ca me suffit plus ...

Nemric

[jibe]

Si vous tenez tous à avoir raison, ok, j'abandonne.

Il ne sert strictement à rien que je prétende que la SME est faite pour des gens qui veulent une solution "vite, simple et bien" pour reprendre la formule FreeEOS quand vous m'accusez de sacrifier la sécurité pour le coût. Continuez avec vos solutions hyperblindées installables seulement par un ingénieur de haut niveau : ce sont de loin les meilleures.

Je maintiens que vous n'avez absolument rien compris à la philosophie de la SME tout en reconnaissant qu'une Debian avec une Ipcop en frontal est nettement préférable.

[jibe]

Voilà contre quoi je me battais.

Et voilà donc la preuve que j'avais tort : le système de Geo39 est totalement invulnérable aux attaques par FTP.

[jibe]

Salut,

J'ai eu tort de lancer ce sujet...

Désolé

[gnujpl]

C'est ça que je n'arrive pas à piger dans tes explications jibe. Plus il y a de protections entre l'attaquant et la chose à protéger, mieux c'est. Et que ce soit un FW ou un SME à protégéer ne change rien. Que la protection résiste ou non, c'est une autre histoire. Toujours est-il qu'il faut franchir la première protection avant d'atteindre la suivante.

Le débat de ce fil me semblait un peu trop troll pour m'en mêler, mais là ce n'est plus du troll...

Dire une telle chose me semble un erreur forte.

Je voudrais juste en donner quelques raisons :

1. multiplier les barrières successives oblige à gérer en cohérence plusieurs systèmes de règles distincts, ce qui sera fait des aministrateurs avertis, mais ce qui sera mal exécuté par certains administrateurs (gageons qu'ils sont au moins aussi nombreux) qui auraient correctement géré un seul niveau (surtout s'il est de type sme)

2. disposer les protections sur plusieurs machines interdit d'utiliser des système de mise en cohérence automatique des règles des différentes protections. L'apport de ces scripts de mise en cohérence est important, et d'intégrer et d'exploiter une expertise sécurité bien au-delà de celle des administrateurs non experts en sécurité. Sur des systèmes types SME par exemple, au delà de la génération automatique des règles, leur cohérence sur les deux pare-feux intégrés est gérée. Mais pour savoir si cette gestion reste optimisée derrière un autre pare-feu, il faut être plus qu'un super expert...

3. Deux systèmes de protection consécutifs, cela veut dire un espace entre les deux... que tout bon hacker se dépêchera d'exploiter s'il franchit la première protection. L'ennui c'est qu'il y sera bien plus tranquille et disposera d'une gigantesque bande passante pour attaquer la seconde barrière. Donc le système ne vaudra sans doute en réalité que par la puissance du premier obstacle si la zone entre les deux est un angle mort. C'est un peu comme si chez vous vous aviez un couloir d'entrée avec deux portes à serrure. La seconde ne gênerait guère des cambrioleurs installés tranquillement à l'abri dans le couloir. A moins d'y installer un système de détection... mais je n'ai rien vu d'évoqué à ce sujet.

4. Deux machines, c'est deux fois plus de risques de pannes et deux fois plus de risques de failles sur les logiciels installés.

Bref, il y a des raisons objectives à ce que la multiplication des barrières de protection conduise à moins d'efficacité de la protection globale, si le tout n'est pas conçu comme un ensemble cohérent. Et plus il y a de paramètres dans un système cohérent, plus il est complexe à gérer et à maîtriser. Nos OS favoris ou honnis nous le montrent tous les jours.

[Nemric]

Salut,

Si t'es amateur de physique, l'analogie est simple.

Si la sme était la gravité selon newton et sme+firewall la gravité selon einstein (relativité générale) :
Dans les grandes lignes elles donnent les mêmes résultats à une certaine échelle, mais la relativité générale est plus précise pour certains cas particuliers.

J'èspère que ca te remontera le moral ... laisse pas tout tomber.

Nemric

[Franck78]

3. Deux systèmes de protection consécutifs, cela veut dire un espace entre les deux... que tout bon hacker se dépêchera d'exploiter s'il franchit la première protection. L'ennui c'est qu'il y sera bien plus tranquille et disposera d'une gigantesque bande passante pour attaquer la seconde barrière. Donc le système ne vaudra sans doute en réalité que par la puissance du premier obstacle si la zone entre les deux est un angle mort. C'est un peu comme si chez vous vous aviez un couloir d'entrée avec deux portes à serrure. La seconde ne gênerait guère des cambrioleurs installés tranquillement à l'abri dans le couloir. A moins d'y installer un système de détection... mais je n'ai rien vu d'évoqué à ce sujet.

Ou comment donner la définition de la 'vraie' DMZ sans s'en rendre compte

Je vous laisse demander à google les quelques modèles de DMZ efficaces, leurs utilisation, etc....