IPOCP 1.4 plus secure que IPCOP1.3 ???

[SIMS]

Salut à tous,

IPCOP 1.4.0 a de nombreuses fonctionnalités en plus par rapport à la version 1.3, mais la version 1.4 est-elle plus sécurisée que la 1.3 ???

La version 1.3 apportait « Iptables » qui est nettement plus sécurisé que « Ipchains », mais avec la 1.4 je me demande si il y a une quelconque amélioration de la sécurité (sauf pour les VPN avec l’apparition de certificats).

Alors qu’en pensez-vous ???

[nemesis]

IPCOP 1.4.0 a de nombreuses fonctionnalités en plus par rapport à la version 1.3, mais la version 1.4 est-elle plus sécurisée que la 1.3 ???

Hum plus sécurisé en quel sens?
Je pense qu'elles sont aussi sécrisée l'une que l'autre... Voir même la 1.4 potentiellement - que la 1.3 (+ de fonctionalités = plus de failles possibles...)

La version 1.3 apportait « Iptables » qui est nettement plus sécurisé que « Ipchains »

Ah bon?

Moi je pense surtout que iptables apporte plus de souplesse au filtrage avec des options de filtrage en +.

Mais un firewall en ipchains correctement configuré est très secure (koi qu'en dise les promoteurs de la modernité...)

Docn je pense que la question est mal posée...

Nem.

[leso]

c vrai qu'il y'a beaucoup de fonction qui sont apparus sur la 1.4 , surement trop ausis a mon avis

[wann]

C'est une question à laquelle il est difficile de répondre de façon définitive, pourtant plusieurs fonctionnalités nouvelles visent à améliorer la sécurité :
- la gestion des certificats pour le VPN (comme cela a déjà été dit),
- la détection d'intrusions (Snort) activable sur le réseau GREEN,
- la facilité de mise à jour des signatures de Snort,
mais également :
- la gestion plus riche des journaux,
- les possibilités de sauvegarde...
Egalement, le softs sont plus récents (mais c'est aussi à double tranchant).

Tout celà concourt à améliorer la sécurité d'IPCop 1.4 par rapport à la version 1.3.

[Gesp]

Il y a aussi des trucs moins visible comme :
- les sources compilées avec le patch ssp pour maitriser des débordements de pile,
- perl 5.8.2 est nettement moins permissif au niveau des scripts setuid (et c'est pour cela que l'on a eu pas mal d'erreur 512 depuis cette évolution et des données à 'déteindre')
- la relecture des données de configuration est plus sécurisée par un programme C compilé qui filtre tout ce qui n'a pas lieu d'être (même si cela ne devrait pas être là étant donné que l'interface web ne doit écrire que des données sures, mais plusieurs barrières valent mieux qu'une)