Le xhost c'est bien pratique, mais les risques ne se situent pas que au niveau de Xorg.
En effet, skype ainsi lancé à accès à tout le réseau de la machine, dont notamment :
- les connexions à Internet, où il peut envoyer ce qu'il veut. Bon, ca c'est connu depuis longtemps
- les connexions aux réseau local : 192.168.x.x, 10.x.x.x : Donc, attention si il y a un partage de fichiers NFS, SMB, FTP, ou autre qui n'a pas de mot de passe
- les connexions réseaux localhost (127.0.0.1). Là, c'est encore plus délicat, car cette interface est généralement moins sécurisé (c'est assez rare que l'on se pirate soit-même). Donc, si il y a du portmap, SMTP, SMB, ou autre en localhost, Skype peut aussi y acceder
=> Pour réduire les risques, on peut mettre en place un filtrage netfilter / iptables, qui restreint les accès à un certain utilisateur (ici "sandbox"). Voir , rechercher http://linux.die.net/man/8/iptables --uid-owner ou --gid-owner
Enfin, c'est évident mais il faut le souligner, skype a aussi accès au / : Donc:
- attentions aux périphériques externes montées dans le /media/
- attention aux montages réseaux (SMB, NFS, ...) montés généralement dans le /mnt/
- attention bien sur au /home, dont il faut proteger les accès
- /tmp est aussi assez critique, car généralement autorisé en écriture pour tout le monde...
- enfin, d'autres répertoires (/root, /etc avec son passwd notamment), sont aussi sensibles.
=> Pour tout ces répertoires, un bon usages des droits d'accès UNIX aux fichiers (chown, chmod, ...) permet de limiter les problèmes.
A la rigueur, il serait préférable de faire tourner Skype dans un environnement virtualisé, comme VirtualBox. Mais cela ne résout pas tout les problèmes.
# Sécurité vis à vis du réseau, et tout particulièrement de localhost
Posté par Olivier (site web personnel) . En réponse au message Utiliser Skype en toute sécurité. Évalué à 7.
En effet, skype ainsi lancé à accès à tout le réseau de la machine, dont notamment :
- les connexions à Internet, où il peut envoyer ce qu'il veut. Bon, ca c'est connu depuis longtemps
- les connexions aux réseau local : 192.168.x.x, 10.x.x.x : Donc, attention si il y a un partage de fichiers NFS, SMB, FTP, ou autre qui n'a pas de mot de passe
- les connexions réseaux localhost (127.0.0.1). Là, c'est encore plus délicat, car cette interface est généralement moins sécurisé (c'est assez rare que l'on se pirate soit-même). Donc, si il y a du portmap, SMTP, SMB, ou autre en localhost, Skype peut aussi y acceder
=> Pour réduire les risques, on peut mettre en place un filtrage netfilter / iptables, qui restreint les accès à un certain utilisateur (ici "sandbox"). Voir , rechercher http://linux.die.net/man/8/iptables --uid-owner ou --gid-owner
Enfin, c'est évident mais il faut le souligner, skype a aussi accès au / : Donc:
- attentions aux périphériques externes montées dans le /media/
- attention aux montages réseaux (SMB, NFS, ...) montés généralement dans le /mnt/
- attention bien sur au /home, dont il faut proteger les accès
- /tmp est aussi assez critique, car généralement autorisé en écriture pour tout le monde...
- enfin, d'autres répertoires (/root, /etc avec son passwd notamment), sont aussi sensibles.
=> Pour tout ces répertoires, un bon usages des droits d'accès UNIX aux fichiers (chown, chmod, ...) permet de limiter les problèmes.
A la rigueur, il serait préférable de faire tourner Skype dans un environnement virtualisé, comme VirtualBox. Mais cela ne résout pas tout les problèmes.