• # La fausse sécurité...

    Posté par . En réponse au message Protection contre différentes types d'attaques. Évalué à 2.

    ... en tant qu'ingénieur logiciel, j'ai travaillé avec plein d'admin sys qui sont spécialistes de la fausse sécurité. Il ne comprennent pas une ligne de code des logiciels qu'ils déploient (ne sont jamais intéressé au code de postfix ou nginx, pour voir comment ça fonctionnait sous le capot et mieux comprendre comment le déployer/l'utiliser), mais qu'advienne que pourra.

    La spécialité de ces gens là, la fausse sécurité: Mot de passe du type M0tdEP4sse impossible à mémoriser. https://xkcd.com/936/ ; On installe un fail2ban alors que le serveur fait tourner un wordpress et un phpbb vieux de 3 ans, qui n'a jamais été mis à jour/patché ; et j'en passe des des meilleurs.

    Pour information:

    • fail2ban, c'est des conneries. Ça bousille les iptables-persistent, fout la merde avec shorewall, est totalement incompatible avec firewalld. Pourquoi t’authentifie tu encore avec des mots de passe avec SSH? Les clés ssh existent depuis 40 ans.
    • pas de HTTPS. Oui, le HTTPS c'est mieux, ça réduit la surface d'attaque. Mais c'est pas comme ça que tu vas tout résoudre. Je suis persuadé qu'il y a plein d'autres problèmes. Je suis sur que toutes tes applications php tournes en tant que www-data. Regarde du coté de suexec https://packages.debian.org/squeeze/apache2-suexec ou du tyran mode de uwsgi http://uwsgi-docs.readthedocs.org/en/latest/Emperor.html#tyrant-mode-secure-multi-user-hosting.
    • T'es préoccupé par phpMyAdmin alors que tu fais tourner webmin/virtualmin: une application web qui tourne root?! faut changer ses priorités dans la vie.

    Ruby est le résultat d'un gamin qui apprend le Java, puis jette un œil à Perl et se dit « je peux le réparer! »