• # Sécurité vis à vis du réseau, et tout particulièrement de localhost

    Posté par (site web personnel) . En réponse au message Utiliser Skype en toute sécurité. Évalué à 7.

    Le xhost c'est bien pratique, mais les risques ne se situent pas que au niveau de Xorg.

    En effet, skype ainsi lancé à accès à tout le réseau de la machine, dont notamment :
    - les connexions à Internet, où il peut envoyer ce qu'il veut. Bon, ca c'est connu depuis longtemps
    - les connexions aux réseau local : 192.168.x.x, 10.x.x.x : Donc, attention si il y a un partage de fichiers NFS, SMB, FTP, ou autre qui n'a pas de mot de passe
    - les connexions réseaux localhost (127.0.0.1). Là, c'est encore plus délicat, car cette interface est généralement moins sécurisé (c'est assez rare que l'on se pirate soit-même). Donc, si il y a du portmap, SMTP, SMB, ou autre en localhost, Skype peut aussi y acceder

    => Pour réduire les risques, on peut mettre en place un filtrage netfilter / iptables, qui restreint les accès à un certain utilisateur (ici "sandbox"). Voir , rechercher http://linux.die.net/man/8/iptables --uid-owner ou --gid-owner

    Enfin, c'est évident mais il faut le souligner, skype a aussi accès au / : Donc:
    - attentions aux périphériques externes montées dans le /media/
    - attention aux montages réseaux (SMB, NFS, ...) montés généralement dans le /mnt/
    - attention bien sur au /home, dont il faut proteger les accès
    - /tmp est aussi assez critique, car généralement autorisé en écriture pour tout le monde...
    - enfin, d'autres répertoires (/root, /etc avec son passwd notamment), sont aussi sensibles.

    => Pour tout ces répertoires, un bon usages des droits d'accès UNIX aux fichiers (chown, chmod, ...) permet de limiter les problèmes.

    A la rigueur, il serait préférable de faire tourner Skype dans un environnement virtualisé, comme VirtualBox. Mais cela ne résout pas tout les problèmes.