URL: https://linuxfr.org/users/o_possum/journaux/les-mefaits-d-ubuntu Title: Les méfaits d'Ubuntu Authors: Fopossum Date: 2021年03月03日T19:21:03+01:00 License: CC By-SA Tags: ubuntu, root et solaris Score: 14 Bonjour Nal. Longtemps que je ne t'avais pas écrit. Et tu me connais j'aime bien les titres provocateurs, donc forcément. Donc chers lecteurs, avant de se lancer dans le troll de haute voltige, laissez-moi vous narrer une petite anecdote qui m'est arrivée aujourd'hui. Plantons le décors. Je bosse pour une petite société de service tout ce qu'il y a de sympa. Vraiment. On est une vingtaine de techniciens et ingés dont les compétences sont bien évidemment vendues à de plus grosses boîtes. Votre serviteur est donc en sous-traitance chez un gros gros industriel par chez moi. Quand je dis gros industriel, cela devrait vous mettre la puce à l'oreille sur la dette technique qu'on peut se trimballer. Certains projets ayant des durées de vie se comptant littéralement en dizaine d'années avec des contraintes très fortes sur le fait de devoir maintenir en fonctionnement des archis antédiluviennes (j'ai des Solaris 2.6 en production encore, c'est vous dire). Vous imaginez bien le conservatisme des gens du cru (pas plus tard qu'hier, j'ai dû intervenir sur une CentOS 7 récemment installée, pas par mon équipe, où le client faisait tranquillou des mknode dans le /etc/rc.local.....) D'un autre côté, on ne peut pas non plus rester indéfiniment sur des archis trop vieilles, et donc certains des chefs informatiques des services avec lesquels on bosse sont plutôt à jour. Certains ont même monté leur petite infra avec du Ansible et tout et tout. Donc on n'est pas complètement non plus à la ramasse, faut être honnête, même si les techniques « modernes » ne sont pas encore la majorité chez nous.. Bon, c'est bien beau tout ça, mais c'est quoi ces histoires de Ubuntu là ? J'y viens j'y viens. Soit une architecture qui devra être dans un endroit nécessitant une hardening particulier des machines. Jusque là, tout va bien. L'archi est constituée de machines tournant sous Solaris et sous RHEL / CentOS. On nous demande de faire des tas de choses dessus pour se mettre en conformité avec la politique de sécu qui s'applique à cette archi. Jusque là, tout va bien. On s'en occupe, on blinde le /etc/sudoers, pam, sshd et tout le toutim, on se retrouve face à des comportements chelous de Solaris mais on est forts, beaux et on a le poil luisant, donc on y arrive. Mais... Bah oui, tu te doutes qu'il y a un mais cher Nal. Voilà-t-y pas qu'un des chefs chez le client (qui se trouve être responsable de cette archi, œuf de course) qui passe son temps à nous dire que CentOS /RHEL ça pue, que Ubuntu c'est le bien et donc vient nous dire qu'il faudrait qu'on supprime le mot de passe root et qu'on locke le compte (parce que ça le gonfle de devoir générer un mdp root qui sera mis en enveloppe scellée sous séquestre) Vous imaginez bien, chers lecteurs, qu'en tant que vieil admin poilu et nazi, mon sang ne fait qu'un tour et ma première réponse oscille entre : * non * fuck off * tu te foutrais pas un peu de ma gueule là ? * et sinon, tu veux m'apprendre mon taff aussi ? * mais va crever la gueule ouverte sale adorateur de la pire distro jamais faite Bon. Vous vous doutez bien que je ne peux pas me permettre de répondre ça tout de go à mon client adoré. Il est pour moi évident qu'il est hors de question de ne pas mettre de mot de passe root sur une machine. Mais là commencent à arriver plusieurs interrogations. La première d'entre elle étant : Comment justifier notre refus de faire cela ? Après rapide brainstorming avec l'équipe, on a deux arguments pour refuser. Le premier étant pour nous suffisant. Et si jamais on a besoin de passer en mode single user parce que la machine est complètement aux fraises et à deux doigts de nous claquer entre les mains ? Je suis loin d'être sûr que chez Sun (oui, Sun, pas Oracle) ils aient prévu ce cas là. Deuxième argument : on a regardé les docs de l'ANSSI, on a regardé les docs de sécurisation des grandes distros (debian, RHEL, Suse, Gentoo, même Arch c'est vous dire) et dans aucune de ces docs il n'est préconisé de ne pas mettre de mot de passe à root et d'entièrement locker le compte root (certains gens chez le client ayant même parfois demandé à... Virer root de /etc/passwd ... facepalm ...) Ce truc de compte root sans mot de passe vient directement de cette engeance de Satan qu'est Ubuntu. J'en ai des frissons et des envies de me désinfecter les mains au papier de verre rien que d'écrire Ubuntu. Berk. Bon. Maintenant, je me dis... Parce qu'il faut quand même savoir se remettre en question, et si pour le coup, Ubuntu avait raison (bon sang, je n'en reviens pas d'écrire ça) ? Mais sachant que cette distro est faite avant tout pour les tanches qui ne connaissent que Windows en mode God sur la machine, qui font n'importe quoi en admin, est-ce vraiment une friture de sécurité qui vaut le coup ? Moi, je suis persuadé que non. Mes collègues dans l'équipe sont du même avis que moi. Mais vous chers lecteurs ? Auriez-vous des réflexions autour de ça ? D'autres arguments allant dans mon sens de nazi qui conchie les X-buntu ? Ou bien des arguments allant dans le sens des choix réalisés par Ubuntu qui est à ma connaissance la seule distro où root n'a pas de mot de passe par défaut.

AltStyle によって変換されたページ (->オリジナル) /