Il y a encore trop de logiciels demander de désactiver SELinux en première étape ou sans support (comme le code LinuxFr.org par exemple) pour que ça soit généralisable partout.
Je sais. Je l’ai moi-même désactivé sur des CentOS ou Fedora...
Il faudrait avoir le temps et la motivation de faire soi-même la configuration pour les logiciels non pris en charge.
D’un autre côté, sur une machine cliente de base, il y a probablement moins de difficultés que sur un serveur avec des services maison. Et puis j’ai cru comprendre que la couverture s’est améliorée avec le temps. Au pire, si je me rappelle bien, il y a le mode targeted, qui n’est pas restrictif avec les logiciels non pris en charge.
La responsabilité des grosses failles peut aussi être compliquée (pas trop dans les cas précités pour Debian) : faut-il attribuer les failles Systemd à Red Hat? Ou celles de sudo ou openssh à OpenBSD ?
La question de la responsabilité est secondaire : à partir du moment où les principales distributions ont systemd, sudo et OpenSSH (remarque : j’ai une Arch Linux sans sudo...), aucune n’a d’avantage sur les autres à ce niveau.
C’est sur les différences qu’il faut choisir. Une bibliothèque de remplacement plus robuste qu’OpenSSL, par exemple, peut être un critère.
Au delà de Linux, il y a peut-être un avantage pour OpenBSD : pas de systemd, forcément le premier système à avoir les correctifs d’OpenSSH, le temps qu’ils consacrent à auditer leur code, mais à l’inverse un inconvénient par rapport aux distributions commerciales : ils ne sont pas prévenus à l’avance en cas de faille matérielle comme Spectre.
De toute façon, quelle que soit la distribution, on a toujours intérêt à choisir les services qui sont plus sûrs de par leur architecture : Postfix plutôt qu’Exim ou Sendmail, Dovecot plutôt qu’un autre serveur IMAP, Unbound plutôt que Bind si on n’a besoin que d’un résolveur récursif... Si l’architecture des services accessibles à distance ne laisse quasiment aucune chance d’obtenir quoique ce soit, on peut être plus serein pour le reste. Bon, si on a besoin de services web, ce sera plus difficile...
« Le fascisme c’est la gangrène, à Washington comme en Russie. » — adapté de Renaud, Hexagone
[^] # Re: Sécurité
Posté par Arthur Accroc . En réponse au journal Lancer un programme sans accès au réseau, merci les espaces de noms réseaux. Évalué à 2.
Je sais. Je l’ai moi-même désactivé sur des CentOS ou Fedora...
Il faudrait avoir le temps et la motivation de faire soi-même la configuration pour les logiciels non pris en charge.
D’un autre côté, sur une machine cliente de base, il y a probablement moins de difficultés que sur un serveur avec des services maison. Et puis j’ai cru comprendre que la couverture s’est améliorée avec le temps. Au pire, si je me rappelle bien, il y a le mode targeted, qui n’est pas restrictif avec les logiciels non pris en charge.
La question de la responsabilité est secondaire : à partir du moment où les principales distributions ont systemd, sudo et OpenSSH (remarque : j’ai une Arch Linux sans sudo...), aucune n’a d’avantage sur les autres à ce niveau.
C’est sur les différences qu’il faut choisir. Une bibliothèque de remplacement plus robuste qu’OpenSSL, par exemple, peut être un critère.
Au delà de Linux, il y a peut-être un avantage pour OpenBSD : pas de systemd, forcément le premier système à avoir les correctifs d’OpenSSH, le temps qu’ils consacrent à auditer leur code, mais à l’inverse un inconvénient par rapport aux distributions commerciales : ils ne sont pas prévenus à l’avance en cas de faille matérielle comme Spectre.
De toute façon, quelle que soit la distribution, on a toujours intérêt à choisir les services qui sont plus sûrs de par leur architecture : Postfix plutôt qu’Exim ou Sendmail, Dovecot plutôt qu’un autre serveur IMAP, Unbound plutôt que Bind si on n’a besoin que d’un résolveur récursif... Si l’architecture des services accessibles à distance ne laisse quasiment aucune chance d’obtenir quoique ce soit, on peut être plus serein pour le reste. Bon, si on a besoin de services web, ce sera plus difficile...
« Le fascisme c’est la gangrène, à Washington comme en Russie. » — adapté de Renaud, Hexagone