Bonjour,
Je m'occupe d'un système informatique d'une diziane de serveur et d'environ 200 users.
Aujourd'hui notre sécurité est assuré par notre fournisseur d'accès.
pour des raisons de maitrise de notre sécurité j'envisage de mettre une solution du type IPCOP.
L'idéal serait que'IPcop servent de Firewall/Anitvirus. J'ai installé IPCop et CopFilter mais je n'ai pas encore fait reellement de tests.
Avec toute mon ignorance, mes interrogations se tournent vers la sécurité d'une telle solution (qui est gratuite et libre), sans remettre en cause l'intégrité des créateurs, du site ixus.net ni celle de ses "habitués", comment peut-on être sur que IPCop ne possede pas une faille volontairement dissimulées( et peut-etre indetectable pour le moment) pour que ses créateurs en usent ?
Escusez ma parano mais je me vois mal être responsable de l'installation d'une solution qui pourrait nuire à notre système info.
Par ailleurs cette solution est elle reellement gratuite dans un cadre professionnelle ?*
Par avance merci.
Sécurité d'IPCOP pour système informatique professionnel
Modérateur: modos Ixus
11 messages
• Page 1 sur 1
Sécurité d'IPCOP pour système informatique professionnel
par ARL » 24 Oct 2004 18:47
- ARL
- Quartier Maître
- Messages: 24
- Inscrit le: 14 Sep 2004 12:30
par guiguid » 24 Oct 2004 21:14
bien, c'est la force des logiciels libres : les sources sont disponibles, et tu peux toi meme compiler l'ensemble.
Contrairement a une solution proprietaire, ou tu ne peux que te fier aux commerciaux : (notre produit XXX est le meilleur et le plus securisé ......)
C'est beaucoup plus facile pour quelqu'un de mal intentionné de mettre une 'backdoor' sur un logiciel proprietaire ou tu ne pourras pas vérifier le code, plutot que d'essayer d'inculre une "backdoor" dans un pruduit opensource, ou plusieurs personnes (dont toi) pourront decouvrir celui-ci.
Les sources étant disponible, il devient caduque de fouloir faire ce gerne de choses ! Tout le monde le decouvrira au premier audit !
Nous somme ici plusieurs societes à utiliser ipcop, et personnellement, ce n'est pas pour sa gratuité !
C'est essentiellement pour :
- son cote ouvert je maitrise tout ce qui ce passe dans ipcop --> code ouvert
- je peux librement l'adapter a des besoins particuliers
- c'est basé sur des protocoles ouvert et libre : interpolabilité
- la perenité du produit est infinie : pas d'arret si la societe deside de ne plus soutenir le produit (ou depose le bilan ...)
- la robustesse : ne sont installer que ce qui est necessaire.
voila pour un survol...
Contrairement a une solution proprietaire, ou tu ne peux que te fier aux commerciaux : (notre produit XXX est le meilleur et le plus securisé ......)
C'est beaucoup plus facile pour quelqu'un de mal intentionné de mettre une 'backdoor' sur un logiciel proprietaire ou tu ne pourras pas vérifier le code, plutot que d'essayer d'inculre une "backdoor" dans un pruduit opensource, ou plusieurs personnes (dont toi) pourront decouvrir celui-ci.
Les sources étant disponible, il devient caduque de fouloir faire ce gerne de choses ! Tout le monde le decouvrira au premier audit !
Par ailleurs cette solution est elle reellement gratuite dans un cadre professionnelle ?*
Nous somme ici plusieurs societes à utiliser ipcop, et personnellement, ce n'est pas pour sa gratuité !
C'est essentiellement pour :
- son cote ouvert je maitrise tout ce qui ce passe dans ipcop --> code ouvert
- je peux librement l'adapter a des besoins particuliers
- c'est basé sur des protocoles ouvert et libre : interpolabilité
- la perenité du produit est infinie : pas d'arret si la societe deside de ne plus soutenir le produit (ou depose le bilan ...)
- la robustesse : ne sont installer que ce qui est necessaire.
voila pour un survol...
-
guiguid - Vice-Amiral
- Messages: 636
- Inscrit le: 10 Avr 2003 00:00
- Localisation: 66
par ARL » 24 Oct 2004 23:33
merci pour ta réponse
Je comprends ta vision, ce qui m'enrichi vu que je ne voyais pas ca sous cet angle
mais ce qui m'effrai c'est que même en ayant le source vu que je n'ai jamais "touché" à linux de près ou de loin avant cette fin de semaine (avec IPCOP) je ne sais pas lire les sources et y decouvrir la quelquonque faille. ca peut eventuellement venir en cherchant bien mais ca demande du temps que l'on a pas forcement dans un cadre pro.
concernant la gratuité, je ne prétendais pas que c'était son seul attrait mais je voulais avoir confirmation de l'authenticité de cette gratuité dans un cadre pro. A travers le forum j'ai effectivement vu pls personnes decrire l'utilisation d'IPCOP dans leur système info mais cela ne veut pas dire qu'ils en ont le droit ou qu'il n'en ont pas payé le droit. En effet beaucoup de logiciel son "gratuit" s'il reste dans un cadre "amateur" (particulier) maius pas dans un cadre pro. la était le sens de ma question.
Et pour "copfilter" et "Squidguard", est-ce également le cas ?
Encore merci
A+!
Je comprends ta vision, ce qui m'enrichi vu que je ne voyais pas ca sous cet angle
mais ce qui m'effrai c'est que même en ayant le source vu que je n'ai jamais "touché" à linux de près ou de loin avant cette fin de semaine (avec IPCOP) je ne sais pas lire les sources et y decouvrir la quelquonque faille. ca peut eventuellement venir en cherchant bien mais ca demande du temps que l'on a pas forcement dans un cadre pro.
concernant la gratuité, je ne prétendais pas que c'était son seul attrait mais je voulais avoir confirmation de l'authenticité de cette gratuité dans un cadre pro. A travers le forum j'ai effectivement vu pls personnes decrire l'utilisation d'IPCOP dans leur système info mais cela ne veut pas dire qu'ils en ont le droit ou qu'il n'en ont pas payé le droit. En effet beaucoup de logiciel son "gratuit" s'il reste dans un cadre "amateur" (particulier) maius pas dans un cadre pro. la était le sens de ma question.
Et pour "copfilter" et "Squidguard", est-ce également le cas ?
Encore merci
A+!
- ARL
- Quartier Maître
- Messages: 24
- Inscrit le: 14 Sep 2004 12:30
par NooNaN » 25 Oct 2004 01:48
hop, j'en profite pour rebondir la dessus:
Puisque des gens ici utilse IPCOP dans un cadre professionnel, et que d'autres se demande si c'est bien, ne serait-il pas profitable à cette distribution de faire faire une sorte de référence, de CV ... de toutes les boites où elle est utilisée ?
Ou alors si vous avez entendu ou lu des trucs à propos de ça sur le net ou ailleurs ... ca pourrait ainsi renforcer (si besoin est ?) la crédibilité d'IPCOP
moi je trouverai ca cool un petit post-it la dessus
Puisque des gens ici utilse IPCOP dans un cadre professionnel, et que d'autres se demande si c'est bien, ne serait-il pas profitable à cette distribution de faire faire une sorte de référence, de CV ... de toutes les boites où elle est utilisée ?
Ou alors si vous avez entendu ou lu des trucs à propos de ça sur le net ou ailleurs ... ca pourrait ainsi renforcer (si besoin est ?) la crédibilité d'IPCOP
moi je trouverai ca cool un petit post-it la dessus
- NooNaN
- Matelot
- Messages: 8
- Inscrit le: 05 Juin 2004 02:18
par coornelius » 25 Oct 2004 07:14
Bonjour,
Il est effectivement trés tentant de demander des références des société ou autres utilisant IPCOP.
Il ne faut pas oublier le revert de la médaille potentiel à cette publication. En effet, si un jour, improbable j'espère, une faille est découverte, il suffira de prendre cette liste pour aller faire .....
Je sais que c'est une vision un gros peu parano mais il faut avvoir ces elements en tête lorsque l'on parle de sécurité.
La sécurité n'est pas seulement technologique, c'est un comportement.
Je vous rassures, nous sommes Lundi, j'ai le moral, tout va bien !
Bonne semaine à tous.
Il est effectivement trés tentant de demander des références des société ou autres utilisant IPCOP.
Il ne faut pas oublier le revert de la médaille potentiel à cette publication. En effet, si un jour, improbable j'espère, une faille est découverte, il suffira de prendre cette liste pour aller faire .....
Je sais que c'est une vision un gros peu parano mais il faut avvoir ces elements en tête lorsque l'on parle de sécurité.
La sécurité n'est pas seulement technologique, c'est un comportement.
Je vous rassures, nous sommes Lundi, j'ai le moral, tout va bien !
Bonne semaine à tous.
IPCOP 1.4.10
Squiguard + Traffic control & report
Freebox non dégroupée (ADSL Max)
Red - Yellow - Green
Squiguard + Traffic control & report
Freebox non dégroupée (ADSL Max)
Red - Yellow - Green
-
coornelius - Premier-Maître
- Messages: 48
- Inscrit le: 08 Fév 2004 01:00
- Localisation: Fenain (59)
Des ipcop partout...
par olivier_morin » 25 Oct 2004 08:52
J'utilise IPCOP 1.3f9 depuis longtemps sur la majorité des site de ma collectivité et à l'hotel de ville (10 serveurs, 150 PC) sans aucun problèmes pour l'instant.
Si notre accès principal est un oleane sécurisé, je pense passer tout via IPCOP en 2005 pour les raisons suivantes :
- plus grande souplesse : on peut maitriser ses règles d'accès, un fournisseur doit prendre la main sur un serveur pour faire de la télé maintenance, et hop ou ouvre le port vers le serveur, et hop on le ferme à la minute même ou la manip est terminée,
- pas de problèmes de stabilité avec la 1.3,
- adpaptabilité : nous avons fait des modifs de la 1.3, notament pour ajouter squidguard avec une mise à jour automatique,
Par contre, je lis parfois des contribs ou certains veulent tout faire faire à IPCOP, et je trouve cela risqué.
Une solution antivirale externe à IPCOP me semble plus sure.
Pour le coté parano, les logs snort indiquent qu'il n'est pas necessaire d'être connu pour se faire attaquer par des véroles notoires...
Si notre accès principal est un oleane sécurisé, je pense passer tout via IPCOP en 2005 pour les raisons suivantes :
- plus grande souplesse : on peut maitriser ses règles d'accès, un fournisseur doit prendre la main sur un serveur pour faire de la télé maintenance, et hop ou ouvre le port vers le serveur, et hop on le ferme à la minute même ou la manip est terminée,
- pas de problèmes de stabilité avec la 1.3,
- adpaptabilité : nous avons fait des modifs de la 1.3, notament pour ajouter squidguard avec une mise à jour automatique,
Par contre, je lis parfois des contribs ou certains veulent tout faire faire à IPCOP, et je trouve cela risqué.
Une solution antivirale externe à IPCOP me semble plus sure.
Pour le coté parano, les logs snort indiquent qu'il n'est pas necessaire d'être connu pour se faire attaquer par des véroles notoires...
-
olivier_morin - Lieutenant de vaisseau
- Messages: 186
- Inscrit le: 15 Jan 2003 01:00
par tomtom » 25 Oct 2004 09:21
guiguid a écrit:Les sources étant disponible, il devient caduque de fouloir faire ce gerne de choses ! Tout le monde le decouvrira au premier audit !
2 Remarques :
- Qui a lu le source d'ipcop (en entier je veux dire), et donc peut garantir l'integrité du tout ?
- Qui a eu connaissance d'un vrai audit (au sens professionel du terme, avec ce que ca comporte en investissement temporel)
Dire que l'audit d'un code open source est plus facile que celui d'un code fermé est une simplification un peu naïve.
En effet, s'il est exact que le code est accessible à tous, qui peut dire pour autant que le code est plus lu que dan sle cadre de logiciels "commerciaux" ? Qui plus est, qui peut dire que le code est lu par des professionels de la sécurité ? Car c'est bien là le problème... Pour un logicile comme IPCop, une société qui le commercialise fera appel à des professionels pour l'auditer. En revanche, un logiciel libre ne bénéficie que du temps qui y est consacré bénévolement. Et ca fait une différence.
Pour qu'un audit de logiciel open source soit efficace, il faut que ce soit des experts qui le fassent. Et si ca arrive courrament pour les "grands" logiciels open source (j'entends par "grands" "utilisés intensivement en milieu professionel" ), c'est beaucoup moins le cas pour les logicile smoins connus.
Pour ceux qui ont le courage, un article en Anglais sur ce sujet. Au risque de faire réagir les adeptes de l'open source et du logiciel libre (dont je fais partie !), je suis d'accord avec l'auter sur de nombreux points : la sécurité des logiciels libres n'est pas une evidence en soi !
http://tinyurl.com/47r93
Bonne lecture
t.
One hundred thousand lemmings can't be wrong...
-
tomtom - Amiral
- Messages: 6035
- Inscrit le: 26 Avr 2002 00:00
- Localisation: Paris
par ARL » 25 Oct 2004 10:40
merci pour vos infos.
d'après ce que je lis je peux en déduire (pour le moment) que personne ne peut affirmer la totale sécurité de ce produit, tout comme les autres produits y compris commerciaux.
Malgré tout, cet outil est utilisé par plusieurs système informatique (dont celui d'olivier_morin équivalent au mien) sans soucis apparent.
Par ailleurs, je suis également de ton avis lorsque tu défends l'idée de ne pas faire, de IpCop, un produit "tout en un". Et, de ce fait, je possède une autre solution antivirale, mon but était de coupler les deux systèmes pour plus de sécurité
d'après ce que je lis je peux en déduire (pour le moment) que personne ne peut affirmer la totale sécurité de ce produit, tout comme les autres produits y compris commerciaux.
Malgré tout, cet outil est utilisé par plusieurs système informatique (dont celui d'olivier_morin équivalent au mien) sans soucis apparent.
Par ailleurs, je suis également de ton avis lorsque tu défends l'idée de ne pas faire, de IpCop, un produit "tout en un". Et, de ce fait, je possède une autre solution antivirale, mon but était de coupler les deux systèmes pour plus de sécurité
- ARL
- Quartier Maître
- Messages: 24
- Inscrit le: 14 Sep 2004 12:30
par Gesp » 25 Oct 2004 17:03
L'article de TomTom est intéressant. Je ne suis pas en désaccord sur le fond avec l'auteur sur le fait que ce n'est pas nécessairement parce que c'est open-source que la sécurité est garantie.
Cependant je pense qu'il faudrait nuancer les propos de l'auteur.
Parler de sécurité globalement n'a de sens que si on a des objectifs définis.
Qu'est-ce que l'on veut faire, avec quel argent, quelles personnes, en combien de temps?
IPCop n'a pas pour vocation d'être le plus sûr, le plus puissant des firewalls.
C'est un compromis entre sécurité, facilité d'utilisation pour un coût d'utilisation très faible (l'électricité qui fait tourner la machine et un peu de temps pour administrer).
Il y a plus sûr, plus cher, plus compliqué.
L'avantage d'IPCop est que c'est assez simple, relativement sûr (ne rentre que ce qui est autorisé) et cela demande peu de temps pour l'utiliser.
Si vous voulez lire un audit sur IPCop, il y en a un sur Sourceforge concernant la partie rc.firewall :
https://sourceforge.net/tracker/index.p ... tid=428516
Libre à vous ensuite d'apprécier si le titre est approprié.
Concernant les pratiques d'audit avec des outils de recherche automatique, c'est bien cela qui a mis à jour des vulnérabilités dans quelques noyaux linux récents.
Etant très très loin d'avoir la même expérience que l'auteur de l'article, je suis mal placé pour apprécier la justesse de certaines remarques concernant les pratiques inappropriées de certains développeurs. Cela m'a toutefois parru un peu caricatural et m'a fait penser à un message portant le nom de Linus ( et qu'il n'a jamais envoyé un certain 1er Avril).
Cependant je pense qu'il faudrait nuancer les propos de l'auteur.
Parler de sécurité globalement n'a de sens que si on a des objectifs définis.
Qu'est-ce que l'on veut faire, avec quel argent, quelles personnes, en combien de temps?
IPCop n'a pas pour vocation d'être le plus sûr, le plus puissant des firewalls.
C'est un compromis entre sécurité, facilité d'utilisation pour un coût d'utilisation très faible (l'électricité qui fait tourner la machine et un peu de temps pour administrer).
Il y a plus sûr, plus cher, plus compliqué.
L'avantage d'IPCop est que c'est assez simple, relativement sûr (ne rentre que ce qui est autorisé) et cela demande peu de temps pour l'utiliser.
Si vous voulez lire un audit sur IPCop, il y en a un sur Sourceforge concernant la partie rc.firewall :
https://sourceforge.net/tracker/index.p ... tid=428516
Libre à vous ensuite d'apprécier si le titre est approprié.
Concernant les pratiques d'audit avec des outils de recherche automatique, c'est bien cela qui a mis à jour des vulnérabilités dans quelques noyaux linux récents.
Etant très très loin d'avoir la même expérience que l'auteur de l'article, je suis mal placé pour apprécier la justesse de certaines remarques concernant les pratiques inappropriées de certains développeurs. Cela m'a toutefois parru un peu caricatural et m'a fait penser à un message portant le nom de Linus ( et qu'il n'a jamais envoyé un certain 1er Avril).
-
Gesp - Amiral
- Messages: 4481
- Inscrit le: 29 Déc 2002 01:00
par tomtom » 25 Oct 2004 17:10
Tu as tout à fait raison Gesp !
La vie est une affaire de compromis....
Ceci dit, pour faire des audits de temps en temps (professionnellemnt parlant), je sais que c'est une demarche longue et fastidieuse, que les outils ne font pas tout (loin s'en faut) et que franchement je ne me lancerai pas dans un audit de logiciel libre sur mes heures libres (je n'an aurai pas assez d'ailleurs !).
Voila, tout ça pour nuancer simplement l'argument "Le code est ouvert donc c'est plus sécurisé car tout le monde peut le lire". Cet argument n'est valide que dans la mesure où des audits sont effectivement menés. Ce qui est loin d'etre toujours le cas malheureusement....
Au fait Gesp, tu serais pas dispo Mercredi prochain ? ca fait un bail qu'on ne te vit ?
a+
t.
La vie est une affaire de compromis....
Ceci dit, pour faire des audits de temps en temps (professionnellemnt parlant), je sais que c'est une demarche longue et fastidieuse, que les outils ne font pas tout (loin s'en faut) et que franchement je ne me lancerai pas dans un audit de logiciel libre sur mes heures libres (je n'an aurai pas assez d'ailleurs !).
Voila, tout ça pour nuancer simplement l'argument "Le code est ouvert donc c'est plus sécurisé car tout le monde peut le lire". Cet argument n'est valide que dans la mesure où des audits sont effectivement menés. Ce qui est loin d'etre toujours le cas malheureusement....
Au fait Gesp, tu serais pas dispo Mercredi prochain ? ca fait un bail qu'on ne te vit ?
a+
t.
One hundred thousand lemmings can't be wrong...
-
tomtom - Amiral
- Messages: 6035
- Inscrit le: 26 Avr 2002 00:00
- Localisation: Paris
par guiguid » 25 Oct 2004 18:52
tomtom, je rebondis au niveau de l'audit.
C'est sur ,ipcop n'a pas ete audité dans son ensemble,
mais pour tous les sous ensembles on peu dire oui :
le noyau oui
iptables oui
snort oui
apache oui
ntp oui
voir entre autre : http://sardonix.org/By_Category.html
mais les audits publiés sur le net sont rare ! Car ils ne sont valable que pour telle version à telle date !
mais de toutes facons meme apres un audit, ce qui reste , c'est quelles sont les failles connues :
http://www.securityfocus.com/
...
Il ne te reste plus ques les patchs ajoutés a la compilation (il n'y en a pas des masses)
Et les programmes specificques a ipcop (dont les scripts)
----
Gesp a tout a fait raison, ce que l'on appelle securite / audit, ne vaut rien si il n'y a pas de politique globle, le tout est d'avoir
une politique de securitée homogene.
----
A+
C'est sur ,ipcop n'a pas ete audité dans son ensemble,
mais pour tous les sous ensembles on peu dire oui :
le noyau oui
iptables oui
snort oui
apache oui
ntp oui
voir entre autre : http://sardonix.org/By_Category.html
mais les audits publiés sur le net sont rare ! Car ils ne sont valable que pour telle version à telle date !
mais de toutes facons meme apres un audit, ce qui reste , c'est quelles sont les failles connues :
http://www.securityfocus.com/
...
Il ne te reste plus ques les patchs ajoutés a la compilation (il n'y en a pas des masses)
Et les programmes specificques a ipcop (dont les scripts)
----
Gesp a tout a fait raison, ce que l'on appelle securite / audit, ne vaut rien si il n'y a pas de politique globle, le tout est d'avoir
une politique de securitée homogene.
----
A+
-
guiguid - Vice-Amiral
- Messages: 636
- Inscrit le: 10 Avr 2003 00:00
- Localisation: 66
11 messages
• Page 1 sur 1
Qui est en ligne ?
Utilisateur(s) parcourant actuellement ce forum : Aucun utilisateur inscrit et 1 invité