Je vais du coup répondre purement techniquement (a vous de vous faire votre avis sur le sujet)
Vous pouvez trouver tous ce que j'écris ici dans la doc.
On utilise pas ssh, la sécurité repose principalement sur des sommes sha256 et certificat x509
Pas de port ouvert sur les machines, nous fonctionnons en mode pull plutôt qu'en mode push. Cela nous permet de pouvoir passer facilement les parfeu. Nous pouvons piloter l'agent wapt au travers de connexion websocket pour indiquer a celui-ci d'installer ou de désinstaller des paquet wapt. (Pas d’exécution de code au travers de connexion web socket, on pilote simplement l'agent, seul un paquet wapt peut exécuter du code)
Protection d'un paquet wapt:
Lorsque l'on construit un paquet wapt, une sommes sha256 est faite de tous les fichier a l’intérieur du paquet wapt. Un fichier manifest.sha256
On va ensuite créer un fichier signature.sha256 qui représente la sommes précédemment calculé signé avec la clé une clé privé.
On va ensuite mettre le certificat qui a signer le paquet dans le paquet.
Lorsque l'agent wapt télécharge le paquet wapt, il va vérifier que le certificat contenu dans le paquet est bien un certificat reconnue par l'agent wapt dossier wapt\ssl (l'agent dispose de la ca). Puis va vérifier que le fichiers signature.sha256 est bien signé par ce certificat, puis va ensuite re-calculer la sommes de tous les fichiers du paquet pour vérifier que la sommes correspond avec le fichiers manifest.sha256.
Si l'une des étapes précédente échoue le paquet wapt est refusé.
Ce mode de fonctionnement nous permet de faire en sorte que même si un pirate met la main sur le serveur wapt, il ne pourra pas modifier le paquet wapt pour y mettre du code malveillant.
Je sais bien que vous pouvez également signer votre code powershell et faire des sommes de chaque fichier appelé dans celui-ci comme dans chocolatey mais nous trouvons simplement que cela est plus simple de le faire avec wapt puisque cela est transparent lorsque que le paquet est construis.
A vous de me dire si les techno employé vous semble fiable...
[^] # Re: Le monde bouge
Posté par skarpiste . En réponse à la dépêche WAPT 1.6. Évalué à 1.
Je vais du coup répondre purement techniquement (a vous de vous faire votre avis sur le sujet)
Vous pouvez trouver tous ce que j'écris ici dans la doc.
On utilise pas ssh, la sécurité repose principalement sur des sommes sha256 et certificat x509
Pas de port ouvert sur les machines, nous fonctionnons en mode pull plutôt qu'en mode push. Cela nous permet de pouvoir passer facilement les parfeu. Nous pouvons piloter l'agent wapt au travers de connexion websocket pour indiquer a celui-ci d'installer ou de désinstaller des paquet wapt. (Pas d’exécution de code au travers de connexion web socket, on pilote simplement l'agent, seul un paquet wapt peut exécuter du code)
Protection d'un paquet wapt:
Lorsque l'on construit un paquet wapt, une sommes sha256 est faite de tous les fichier a l’intérieur du paquet wapt. Un fichier manifest.sha256
On va ensuite créer un fichier signature.sha256 qui représente la sommes précédemment calculé signé avec la clé une clé privé.
On va ensuite mettre le certificat qui a signer le paquet dans le paquet.
Lorsque l'agent wapt télécharge le paquet wapt, il va vérifier que le certificat contenu dans le paquet est bien un certificat reconnue par l'agent wapt dossier wapt\ssl (l'agent dispose de la ca). Puis va vérifier que le fichiers signature.sha256 est bien signé par ce certificat, puis va ensuite re-calculer la sommes de tous les fichiers du paquet pour vérifier que la sommes correspond avec le fichiers manifest.sha256.
Si l'une des étapes précédente échoue le paquet wapt est refusé.
Ce mode de fonctionnement nous permet de faire en sorte que même si un pirate met la main sur le serveur wapt, il ne pourra pas modifier le paquet wapt pour y mettre du code malveillant.
Je sais bien que vous pouvez également signer votre code powershell et faire des sommes de chaque fichier appelé dans celui-ci comme dans chocolatey mais nous trouvons simplement que cela est plus simple de le faire avec wapt puisque cela est transparent lorsque que le paquet est construis.
A vous de me dire si les techno employé vous semble fiable...