Un <foreignphrase>Shell</foreignphrase> sécurisé

Un <foreignphrase>Shell</foreignphrase>=20 > s=C3=A9curis=C3=A9 > > Quand Tatu Ylonen =C3=A0 l'origine a =C3=A9crit=20 > ssh, on l'a consid=C3=A9r=C3= =A9=20 > comme un substitut de telnet et de=20 > rsh, qui sont des=20 > programmes/protocoles pour se connecter =C3=A0 distance (pour un acc=C3=A8s= =20 > distant =C3=A0 un shell). Cependant,=20 > ssh est un protocole=20 > r=C3=A9seau, ainsi il peut =C3=AAtre utilis=C3=A9 pour cr=C3=A9er des commu= nications=20 > s=C3=A9curis=C3=A9es entre des machines. > > > Chaque serveur ssh poss=C3=A9= de=20 > une cl=C3=A9 priv=C3=A9e—=E2=80=94souvent situ=C3=A9e dans class=3D"directory">/etc/ssh/ssh_host_rsa_key. Souvent, il y a=20 > une seconde cl=C3=A9 priv=C3=A9e dans class=3D"directory">/etc/ssh/ssh_host_dsa_key. Le travail d'un=20 > administrateur r=C3=A9seau est de rassembler les cl=C3=A9s publiques associ= =C3=A9es =C3=A0=20 > chacune de ces cl=C3=A9s priv=C3=A9es (au m=C3=AAme endroit, avec une exten= sion=20 > .pub) et de les distribuer =C3=A0 toutes les machines = > du r=C3=A9seau.=09 > > > La mani=C3=A8re la plus simple de faire ceci est de se rendre sur chaque=20 > ordinateur est de copier ces fichiers dans une cl=C3=A9=20 > USB=20 > (Universal Serial Bus, Bus s=C3=A9rie=20 > universel) : > > >=20 > cp /etc/ssh/ssh_host_rsa_key.pub /media/usb/<ip_addr>.rsa.pub > cp /etc/ssh/ssh_host_dsa_key.pub /media/usb/<ip_addr>.dsa.pub > > > L'administrateur cr=C3=A9e alors un fichier known=20 > hosts : > > > for type in rsa dsa > do > for i in /media/usb/*.$type.pub > do > addr=3D$(basename $i .$type.pub) > (echo -n "$addr "; cut -f1-2 -d' '< $i)>> known_hosts > done > done > > > Ce fichier known_hosts est ensuite copi=C3=A9 dans=20 > /etc/ssh/ssh_known_hosts pour=20 > chaque machine. En conclusion, nous avons d=C3=A9finit des param=C3=A8tres = de=20 > configuration > > > echo "StrictHostKeyChecking yes" >> /etc/ssh/ssh_config > > > pour chaque machine. (Les utilisateurs de chaque ordinateur peuvent=20 > =C3=A9galement devoir modifier le fichier de configuration class=3D"directory">$HOME/.ssh/config s'il existe et=20 > supprimer/editer class=3D"directory">$HOME/.ssh/known_hosts s'il existe).=09 > =09 > > Apr=C3=A8s cette proc=C3=A9dure (=C3=A9videmment) prolixe (mais pas diffici= le), Abdul=20 > et Chin poss=C3=A9dent les cl=C3=A9s publiques de chacun. Ainsi, Abdul peut= =20 > chiffrer des paquets que seul Chin peut lire et Chin peut v=C3=A9rifier des= =20 > signatures faites par Abdul. (Le v=C3=A9ritable protocole=20 > ssh est plus complexe et=20 > il ne nous concerne pas ici). > > > Ainsi, =C3=A0 pr=C3=A9sent, =C3=A0 partir d'Abdul on peut se connecter via = > ssh sur Chin et =C3=AAtre s= =C3=BBr=20 > que c'est Chin qui r=C3=A9pond. Chin demandera cependant le mot de passe = =C3=A0=20 > moins que tous les serveurs permettent la directive=20 > HostBasedAuthentication dans class=3D"directory">/etc/ssh/sshd_config. Ce proc=C3=A9d=C3=A9 p= ourrait=20 > =C3=AAtre risqu=C3=A9 pour Chin, =C3=A0 moins que l'utilisateur=20 > root sur Abdul soit consid=C3=A9r=C3=A9 comm= e=20 > =C3=A9quivalent =C3=A0 l'utilisateur root de= Chin. > > > Que penser de types d'=C3=A9change de donn=C3=A9es autres (que=20 > ssh) ? Heureusement,=20 > ceci aussi a =C3=A9t=C3=A9 consid=C3=A9r=C3=A9. Si Abdul veut =C3=A0 pr=C3= =A9sent ouvrir le port=20 > TCP (Transmission Control=20 > Protocol, protocole de contr=C3=B4le de transmissions)=20 > (disons) 80 de Chin, alors Abdul =C3=A9xecute > > > ssh -q -f -N -L 8080:localhost:80 Chin > > > =C3=80 pr=C3=A9sent, se connecter =C3=A0 =20 > depuis Abdul donne acc=C3=A8s au serveur web= =20 > de Chin. > > > Que pensez-vous de s=C3=A9curiser toutes les donn=C3=A9es =C3=A9chang=C3=A9= es ? Ceci a=20 > aussi =C3=A9t=C3=A9 pris en compte. En fait, sous=20 > ssh il existe au moins=20 > deux mani=C3=A8res : > > > > Les applications qui sont capables d'employer le protocole=20 > SOCKS (comme Mozilla et=20 > Thunderbird) peuvent utiliser un tunnel cr=C3=A9= e=20 > par cette commande : > =09 > ssh -q -f -N -D 1080 Chin > > Il y a =C3=A9galement des biblioth=C3=A8ques de=20 > wrapper comme=20 > tsocks qui peut apprendre =C3=A0 = > n'importe quelle application TCP comment utiliser=20 > SOCKS > On peut =C3=A9galement cr=C3=A9er un tunnel TCP entr= e deux=20 > h=C3=B4tes : > > ssh -q -f -N -w 0:any Chin > > > > En d=C3=A9pit de ses efforts,=20 > SSH ne convient pas=20 > toujours au probl=C3=A8me que nous nous proposons de r=C3=A9soudre pour les= =20 > raisons suivantes : > > > > Le m=C3=A9canisme de distribution des cl=C3=A9s est=20 > complexe. > Ce n'est pas une bonne id=C3=A9e de percer un tunnel=20 > TCP au-dessus de TCP ainsi que=20 > l'explique url=3D"http://sites.inka.de/sites/bigred/devel/tcp-tcp.html">Olaf Titz=20 > dans un article. > Nous devons installer des tunnels entre chaque paire d'h=C3=B4tes dans= =20 > le r=C3=A9seau ; et c'est fastidieux. > >