Fedora 12 introduit-elle des problèmes de sécurité ?


Package Lock
Fedora 12 vient à peine de sortir et une polémique grandissante concernant sa politique de sécurité vient de voir le jour. Pour bien comprendre le problème, il faut savoir que les règles d'attribution des privilèges ont quelque peu changé depuis cette version.

Stickers Fedora

Afin de rendre Fedora plus simple à utiliser, les développeurs ont choisi de laisser aux simples utilisateurs le droit d'installer des programmes, via PackageKit, sans pour autant connaître le mot de passe root.

Voici un exemple d'utilisation :

$ id
uid=500(sbilbeau)
$ pkcon install proftpd

Un simple utilisateur d'une machine peut donc à tout moment choisir d'installer un paquet pour lequel il connaît la présence d'une faille de sécurité. Il pourra ensuite l'exploiter et passer root sur la machine.

Mais l'utilisation de ce procédé reste quand même très limitée :

  • On ne peut installer que des paquets rpm signés
  • Quand on installe un service (ex: sshd), les paquets sont certes installés mais il faut au final être root pour le lancer (ex: service sshd start).
  • La commande ne fonctionne que pour des connexions locales. Un hacker, qui prend possession de la machine, ne pourra donc pas utiliser cette méthode via ssh par exemple.

Pour ceux qui souhaitent désactiver cette fonctionnalité sur leur Fedora, il suffira de lancer la commande suivante :

pklalockdown --lockdown org.freedesktop.packagekit.package-install

Le mot de passe root sera ensuite demandé systématiquement lorsqu'un utilisateur voudra installer un programme via pkcon.


9 Commentaires pour "Fedora 12 introduit-elle des problèmes de sécurité ?"

Flux des commentaires de cet article Ajouter un commentaire
  •  

    Installer des programmes sans droits admin, c'est quand même effrayant. Ça me rappelle Windows.

    RépondreRépondre
    Brakbabord , le 19 novembre 2009 à 14:05
  •  

    Sa à l'air assez limité niveau faille. Alors c'est vraiment que je trouve sa un peu dommage de ne plus demander de mdp, mais bon chez Fedora ils ont déjà du y penser et si c'est dans leur OS c'est que tout est ok.

    RépondreRépondre
    R@OUL , le 19 novembre 2009 à 18:38
  •  

    Y'avait déjà dans les versions précédentes, la possibilité d'éteindre le pc en ligne de commande sans droits admins, Contrairement à Ubuntu par exemple. J'trouve ça pas mal, quand j'bidouille un peu sur mon pc de pouvoir l'éteindre comme ça.
    Là perso j'ai l'impression que c'est assez bien encadré, mais si ça pose vraiment problème, pourquoi ne pas utiliser une sorte de sudo "transparent", qui me semble un bon compromis ?

    RépondreRépondre
    bobby , le 19 novembre 2009 à 22:28
  •  

    @Brakbabord : oui, ça rappelle Windows et surtout tous les virus qui s'y installent automatiquement ...

    @RAOUL @bobby : ben non justement, ce n'est pas ok du tout. Sur ce coup-là, les développeurs de Fedora ont mal évalués la sécurité du système.

    Je viens de voir un mail officiel passer comme quoi ils allaient restaurer la demande de mot de passe. Je cite :
    We'll make an update to the F12 PackageKit, so that the root password is required to install packages.

    On peut traduire cela par : "Nous allons faire une mise à jour de PackageKit pour Fedora 12, ainsi un mot de passe root sera demandé pour chaque installation de paquet". Cela prouve qu'il y a vraiment un problème et que tous le monde en est conscient.

    RépondreRépondre
    pti-seb , le 20 novembre 2009 à 08:16
  •  

    @bobby : tu décris PolicyKit mais en moins bien qu'utilises justement PolicyKit.
    L'utilisation abusive de sudo/gksudo est bien plus dangereuse que cette fonctionnalité, ça n'installe que des paquets signés (tu ne peux pas enlever de paquets) et faut avoir une session locale (ça marche pas avec une session. Plus de détails sur cette discussion de Fedora-fr.

    @pti-seb : cela montre surtout qu'il y a eu un manque de concertation, la seule discussion relative à cette fonctionnalité remonte à plus de 6 mois et sur une liste de diffusion de freedesktop en plus.
    Au niveau sécurité, c'est blindé, l'authentification est géré par PolicyKit et il n'y a aucun risque d'escalade de priviléges (d'où l'intérêt de PolicyKit). Dans le cas où un paquet aurait une faille, de un ça touche tout le monde, de deux cette fonctionnalité a peu d'intérêt pour un attaqueur vu que ça ne marche pas lors des sessions distantes, de trois, SELinux et ses amis assurent tes arrières.
    Le problème, c'est que ce n'était pas documenté, que tout le monde ne gère pas ses machines de la même façon (administrateur d'un parc ou particuliers).
    Dans le cadre d'une utilisation de desktop (parce que PackageKit n'est pas installé dans une installation serveur), ça ne changeait pas grand chose avec les pratiques de 90% des utilisateurs.
    Une mise à jour sera bientôt mise à disposition, et la fonctionnalité sera retravaillé pour offrir plus de souplesses (probablement dans le cadre de la gestion d'utilisateur retravaillé de F13).

    RépondreRépondre
    Karl , le 20 novembre 2009 à 13:52
  •  

    Je visite souvent ce blog, et c'est mon premier commentaire !
    J'en profite donc pour vous remercier toutes ces lectures souvent intéressantes :-p

    Venons en maintenant au faite :
    Ce qui me gène dans ce système ce n'est pas tant la possibilité d'utiliser une faille mais surtout le faite de ne plus décider qui peut faire quoi sur un ordinateur que j'installe et que je maintient.

    Imaginez comme il est dit sur le mail en question (Maling list) un père de famille qui installe un système propre et qui à des enfants pas toujours regardant ou un ordinateur dans une société (par exemple pour compiler certain rpm) : qui à le droit de décider que tout le monde puisse installer des logiciels ?

    L'utilisateur non ? Sous windows ce choix en revient a l'administrateur (gestion de droits) et dans les anciennes version de Fedora (Surtout la 10 et 11) il fallait pour acquérir ce droit connaître le password root.

    Tout le monde depuis que les trolls on surgit sur cette "feature" parlent de failles, mais personne jusqu'a maintenant n'a vraiment parlé des soucis de maintenance ?

    Quid de l'utilisateur qui installe bleachbit et qui supprime vos cookie ?
    Quid de l'utilisateur qui installe OpenOffice,Eclipse et netbeans sur un système ayant un espace disque limité ?
    Quid de l'utilisateur qui installer tout les programmes parce qu'il est con (soyons franc) sur une machine ayant un quota adsl ? (Si Si ca existe en Belgique par exemple ;-) )

    Je suis pour le retour à la méthode de Fedora 10 et 11 ou l'admin decide de qui pourra installer des programmes ne serait-ce que pour les 3 raisons que je viens d'évoquer !

    Merci de m'avoir lu !

    RépondreRépondre
    Crupuk , le 20 novembre 2009 à 14:41
  •  

    @Brakbabord : ah bon, un simple utilsateur peut installer des softs sans droits administrateur ? Vous pouvez me dire comment sous Vista et Seven avec la présence de l'UAC ?

    Bon week end à tous

    RépondreRépondre
    toma3775 , le 20 novembre 2009 à 17:14
  •  

    @Crupuk : je suis sur Fedora 11 et packagekit ne me demande aucun mot de passe ...

    RépondreRépondre
    chryso , le 21 novembre 2009 à 10:15
  •  

    #chryso : Il a du le demander au moin une fois suffit d'aller regarder dans les réglages de policykit et tu verras que ton utilisateurs est maintenant autorisé pour les installation.

    Tu peux supprimer cette autorisation et lorsque tu essayeras d'installer un programme il te demandera le passe root avec une option pour "garder cette autorisation de façon définitive"

    RépondreRépondre
    Crupuk , le 22 novembre 2009 à 18:47
 

Ajouter un commentaire

actualité android apache apple astuce astuces bash bilboblog blog boot chrome clavier commande commandes conky date debian Desktop développement elementary exploit faille fedora firefox flash gimp gnome google graphique Graphisme hack hacking Hardware humour intel internet iphone jailbreak Jeux Kde kernel libre Linux log logiciels Logiciels Libres lucid lynx maemo mail maquette metasploit microsoft mobile mockup monitoring mozilla multi-touch musique mysql n900 nautilus nokia noyau openoffice open source password photos php Planet publicité red hat redhat rpm réseau screenshot script serveur serveurs shell sql ssh statistiques sysadmin system Sécurité thème tux-planet tv twitter ubuntu unity vidéo vidéos vlc voyage wallpaper windows wordpress yum