Fedora 12 introduit-elle des problèmes de sécurité ?
Fedora 12 vient à peine de sortir et une polémique grandissante concernant sa politique de sécurité vient de voir le jour. Pour bien comprendre le problème, il faut savoir que les règles d'attribution des privilèges ont quelque peu changé depuis cette version.
Afin de rendre Fedora plus simple à utiliser, les développeurs ont choisi de laisser aux simples utilisateurs le droit d'installer des programmes, via PackageKit, sans pour autant connaître le mot de passe root.
Voici un exemple d'utilisation :
$ id
uid=500(seb)
$ pkcon install proftpd
Un simple utilisateur d'une machine peut donc à tout moment choisir d'installer un paquet pour lequel il connaît la présence d'une faille de sécurité. Il pourra ensuite l'exploiter et passer root sur la machine.
Mais l'utilisation de ce procédé reste quand même très limitée :
- On ne peut installer que des paquets rpm signés
- Quand on installe un service (ex: sshd), les paquets sont certes installés mais il faut au final être root pour le lancer (ex: service sshd start).
- La commande ne fonctionne que pour des connexions locales. Un hacker, qui prend possession de la machine, ne pourra donc pas utiliser cette méthode via ssh par exemple.
Pour ceux qui souhaitent désactiver cette fonctionnalité sur leur Fedora, il suffira de lancer la commande suivante :
pklalockdown --lockdown org.freedesktop.packagekit.package-install
Le mot de passe root sera ensuite demandé systématiquement lorsqu'un utilisateur voudra installer un programme via pkcon.
Créé en 2005, Tux-planet est un site qui a pour ambition de regrouper des articles sur Linux et le monde des logiciels libres. 
9 Commentaires pour "Fedora 12 introduit-elle des problèmes de sécurité ?"
Flux des commentaires de cet article Ajouter un commentaireInstaller des programmes sans droits admin, c'est quand même effrayant. Ça me rappelle Windows.
Sa à l'air assez limité niveau faille. Alors c'est vraiment que je trouve sa un peu dommage de ne plus demander de mdp, mais bon chez Fedora ils ont déjà du y penser et si c'est dans leur OS c'est que tout est ok.
Y'avait déjà dans les versions précédentes, la possibilité d'éteindre le pc en ligne de commande sans droits admins, Contrairement à Ubuntu par exemple. J'trouve ça pas mal, quand j'bidouille un peu sur mon pc de pouvoir l'éteindre comme ça.
Là perso j'ai l'impression que c'est assez bien encadré, mais si ça pose vraiment problème, pourquoi ne pas utiliser une sorte de sudo "transparent", qui me semble un bon compromis ?
@Brakbabord : oui, ça rappelle Windows et surtout tous les virus qui s'y installent automatiquement ...
@RAOUL @bobby : ben non justement, ce n'est pas ok du tout. Sur ce coup-là, les développeurs de Fedora ont mal évalués la sécurité du système.
Je viens de voir un mail officiel passer comme quoi ils allaient restaurer la demande de mot de passe. Je cite :
We'll make an update to the F12 PackageKit, so that the root password is required to install packages.
On peut traduire cela par : "Nous allons faire une mise à jour de PackageKit pour Fedora 12, ainsi un mot de passe root sera demandé pour chaque installation de paquet". Cela prouve qu'il y a vraiment un problème et que tous le monde en est conscient.
@bobby : tu décris PolicyKit mais en moins bien qu'utilises justement PolicyKit.
L'utilisation abusive de sudo/gksudo est bien plus dangereuse que cette fonctionnalité, ça n'installe que des paquets signés (tu ne peux pas enlever de paquets) et faut avoir une session locale (ça marche pas avec une session. Plus de détails sur cette discussion de Fedora-fr.
@pti-seb : cela montre surtout qu'il y a eu un manque de concertation, la seule discussion relative à cette fonctionnalité remonte à plus de 6 mois et sur une liste de diffusion de freedesktop en plus.
Au niveau sécurité, c'est blindé, l'authentification est géré par PolicyKit et il n'y a aucun risque d'escalade de priviléges (d'où l'intérêt de PolicyKit). Dans le cas où un paquet aurait une faille, de un ça touche tout le monde, de deux cette fonctionnalité a peu d'intérêt pour un attaqueur vu que ça ne marche pas lors des sessions distantes, de trois, SELinux et ses amis assurent tes arrières.
Le problème, c'est que ce n'était pas documenté, que tout le monde ne gère pas ses machines de la même façon (administrateur d'un parc ou particuliers).
Dans le cadre d'une utilisation de desktop (parce que PackageKit n'est pas installé dans une installation serveur), ça ne changeait pas grand chose avec les pratiques de 90% des utilisateurs.
Une mise à jour sera bientôt mise à disposition, et la fonctionnalité sera retravaillé pour offrir plus de souplesses (probablement dans le cadre de la gestion d'utilisateur retravaillé de F13).
Je visite souvent ce blog, et c'est mon premier commentaire !
J'en profite donc pour vous remercier toutes ces lectures souvent intéressantes :-p
Venons en maintenant au faite :
Ce qui me gène dans ce système ce n'est pas tant la possibilité d'utiliser une faille mais surtout le faite de ne plus décider qui peut faire quoi sur un ordinateur que j'installe et que je maintient.
Imaginez comme il est dit sur le mail en question (Maling list) un père de famille qui installe un système propre et qui à des enfants pas toujours regardant ou un ordinateur dans une société (par exemple pour compiler certain rpm) : qui à le droit de décider que tout le monde puisse installer des logiciels ?
L'utilisateur non ? Sous windows ce choix en revient a l'administrateur (gestion de droits) et dans les anciennes version de Fedora (Surtout la 10 et 11) il fallait pour acquérir ce droit connaître le password root.
Tout le monde depuis que les trolls on surgit sur cette "feature" parlent de failles, mais personne jusqu'a maintenant n'a vraiment parlé des soucis de maintenance ?
Quid de l'utilisateur qui installe bleachbit et qui supprime vos cookie ?
)
Quid de l'utilisateur qui installe OpenOffice,Eclipse et netbeans sur un système ayant un espace disque limité ?
Quid de l'utilisateur qui installer tout les programmes parce qu'il est con (soyons franc) sur une machine ayant un quota adsl ? (Si Si ca existe en Belgique par exemple
Je suis pour le retour à la méthode de Fedora 10 et 11 ou l'admin decide de qui pourra installer des programmes ne serait-ce que pour les 3 raisons que je viens d'évoquer !
Merci de m'avoir lu !
@Brakbabord : ah bon, un simple utilsateur peut installer des softs sans droits administrateur ? Vous pouvez me dire comment sous Vista et Seven avec la présence de l'UAC ?
Bon week end à tous
@Crupuk : je suis sur Fedora 11 et packagekit ne me demande aucun mot de passe ...
#chryso : Il a du le demander au moin une fois suffit d'aller regarder dans les réglages de policykit et tu verras que ton utilisateurs est maintenant autorisé pour les installation.
Tu peux supprimer cette autorisation et lorsque tu essayeras d'installer un programme il te demandera le passe root avec une option pour "garder cette autorisation de façon définitive"