Motivé par ma curiosité, j'ai vérifié la nature du patch. J'en ai retiré l'information suivante :
La seule différence est au niveau de l'adresse IP destination. En effet, le "trou de sécurité" consistait en l'ouverture du port pour tout le réseau, alors que maintenant, le port est ouvert uniquement pour la machine qui est connecté au serveur IRC et qui à envoyé la commande DCC.
Par rapport à ton point de vue et ton exemple, je concluerais donc qu'il est toujours possible de faire des trous dans le pare-feu grâce à ce module. Mais si l'on réfléchit un peu, on voie que malheureusement c'est son but. Il suppose en fait que la partie interne du réseau soit de confiance. (ie: pas d'utilisateurs qui puissent avoir les droits root, et chacun ayant une notion de savoir vivre...)
Pour terminer, je dirais que de toutes manière, la seule chose qui devrait être dynamique sur un pare-feu, c'est la fermeture automatique de port, par exemple en cas de détection de port scan, mais certainement pas l'ouverture de ports.
PS: je pense que ta remarque devrait être mise en bonne place dans les guides d'introduction à la sécurité pour Linux, afin que les administrateurs soient conscient de cela.
[^] # Use the source, Luke !
Posté par Christophe --- . En réponse à la dépêche Trou de sécurité dans Netfilter. Évalué à 1.
La seule différence est au niveau de l'adresse IP destination. En effet, le "trou de sécurité" consistait en l'ouverture du port pour tout le réseau, alors que maintenant, le port est ouvert uniquement pour la machine qui est connecté au serveur IRC et qui à envoyé la commande DCC.
Par rapport à ton point de vue et ton exemple, je concluerais donc qu'il est toujours possible de faire des trous dans le pare-feu grâce à ce module. Mais si l'on réfléchit un peu, on voie que malheureusement c'est son but. Il suppose en fait que la partie interne du réseau soit de confiance. (ie: pas d'utilisateurs qui puissent avoir les droits root, et chacun ayant une notion de savoir vivre...)
Pour terminer, je dirais que de toutes manière, la seule chose qui devrait être dynamique sur un pare-feu, c'est la fermeture automatique de port, par exemple en cas de détection de port scan, mais certainement pas l'ouverture de ports.
PS: je pense que ta remarque devrait être mise en bonne place dans les guides d'introduction à la sécurité pour Linux, afin que les administrateurs soient conscient de cela.