Je croyais être tranquille pour Heartbleed avec une mise à jour de sécurité automatique quotidienne
Des mises à jour de sécurité, même automatiques et même quotidiennes, ne suffisent pas à « être tranquille ».
Heartbleed en est justement un bon exemple : la mise à jour du paquet libssl1.0.0 chez Debian se charge bien de redémarrer automatiquement les principaux services potentiellement concernés, mais ça s’arrête là. Il reste encore à l’administrateur à révoquer et remplacer les certificats dont les clefs privées ont potentiellement fuité — le genre de tâches qu’un gestionnaire de paquets ne peut pas faire à sa place.
Est-ce que cela est selon vous un problème de sécurité et que je devrais pousser pour qu'ils corrigent ?
Je ne vois aucun intérêt à empêcher l’exécution des scripts de /etc/cron.daily, et c’est certainement quelque chose qui devrait être corrigé d’après moi.
Mais ça ne pose pas pour autant de problème de sécurité. Ça empêche le déclenchement des mises à jour automatiques, d’accord, mais celles-ci ne sont de toute façon pas activées par défaut sous Debian et l’administrateur devra donc toujours faire quelque chose pour les activer (et j’ajouterai que les mises à jour automatiques ne sont pas une feature de sécurité).
Le plus gros problème que je vois, c’est que la rotation quotidienne des journaux ne se fera pas (c’est normalement piloté par le script /etc/cron.daily/logrotate). Si l’administrateur ne s’en aperçoit pas, tout semblera fonctionner correctement, jusqu’au jour où les journaux seront trop volumineux...
# Pas un problème de sécurité
Posté par gouttegd . En réponse au message Mis à jour automatique VPS Debian, faille de sécurité ?. Évalué à 4. Dernière modification le 29 avril 2014 à 22:07.
Des mises à jour de sécurité, même automatiques et même quotidiennes, ne suffisent pas à « être tranquille ».
Heartbleed en est justement un bon exemple : la mise à jour du paquet libssl1.0.0 chez Debian se charge bien de redémarrer automatiquement les principaux services potentiellement concernés, mais ça s’arrête là. Il reste encore à l’administrateur à révoquer et remplacer les certificats dont les clefs privées ont potentiellement fuité — le genre de tâches qu’un gestionnaire de paquets ne peut pas faire à sa place.
Je ne vois aucun intérêt à empêcher l’exécution des scripts de
/etc/cron.daily, et c’est certainement quelque chose qui devrait être corrigé d’après moi.Mais ça ne pose pas pour autant de problème de sécurité. Ça empêche le déclenchement des mises à jour automatiques, d’accord, mais celles-ci ne sont de toute façon pas activées par défaut sous Debian et l’administrateur devra donc toujours faire quelque chose pour les activer (et j’ajouterai que les mises à jour automatiques ne sont pas une feature de sécurité).
Le plus gros problème que je vois, c’est que la rotation quotidienne des journaux ne se fera pas (c’est normalement piloté par le script
/etc/cron.daily/logrotate). Si l’administrateur ne s’en aperçoit pas, tout semblera fonctionner correctement, jusqu’au jour où les journaux seront trop volumineux...