Aide pour choix distribution "sécurisée"

[cf]

Bonjour à tous.
Je voudrais vous demander conseil pour le choix d'une distribution Linux (pas BSD, je préfère les manchots et la GPL) pour monter mon serveur (perso, pas en production), qui hébergerait un serveur ftp, web, samba, et tout ce qui me passerait par la tête (c'est surtout pour m'amuser en fait).
Bon, histoire de ne pas perdre de temps, je vous donne mes impressions sur celles que je connais:
-IPCOP: ne fait que firewall, donc non
-SME: pas mal, mais quelques inconvénients: choix des paquets (proftpd/vsftpd par exemple), système de templates, et surtout, à moins que je n'ai pas compris, pas de gestion de partitions (si je dois réinstaller ou la virer, je perds mes données, puisque le programme d'installation formate tout).

Bon, là, j'en vois venir qui me disent Debian:
j'utilise Debian tous les jours, sur deux pc différents. Je l'adore, mais j'ai du mal avec la politique de sécurité:
-avec une installation de base, on se retrouve avec exim, sshd, inetd, portmap, etc
-lancement de tous les serveurs installés
-présence de gcc
-noyau autorisant les modules

Bien sûr, en y passant du temps, je peux la "bétonner" (si je ne fais pas de bourdes ), mais c'est lourd...

J'ai trouvé une distribution qui me semble parfaite, adamantix (ex TrustedDebian), mais, d'après leur doc, elle n'a pas l'air tout à fait au point (des retours d'expériences de certains d'entre vous?)

Voila voila, et merci d'avance

cf

[vince83]

a tout hazard , tu t'es renseigné aussi sur la MNF

à moins que je n'ai pas compris, pas de gestion de partitions (si je dois réinstaller ou la virer, je perds mes données, puisque le programme d'installation formate tout).

exact mais rien ne t'empeche de rajouter un second disque pour tes données ( voir detail de la manip sur le site http://www.sme-fr.homelinux.net/cmdline.php

[Gandalf]

La MNF ne fait que du firewalling, essaye peut-être une distrib Clarkconnect ! Elle répond mieux à tes attentes je pense ( FTP, web ... ).
Ceci dit je me permet de dire qu'il faut éviter de miltiplier les services différents sur un firewall ! Si tu veux un ftp, un serveur web .... tu mets tout ça dans ta DMZ bien au chaud derrière ... un MNF au hasard !

[cf]

Merci.
Non seulement elle ne fait que firewall, mais il me semble qu'elle est payante.
Pour la SME, je n'ai qu'un seul disque. et en plus c'est ******, puisque il faudrait le retirer avant toute réinstallation (voire upgrade).
Pour ce qui est de multiplier les services sur la même machine, c'est justement pour cela que je cherche une distro "solide". Si j'avais plusieurs machines, j'aurais utilisé une DMZ, mais ce n'est pas le cas.

[lembal]

Tu as aussi la distribution Trustix (http://www.trustix.net/) justement développée pour installer un serveur linux ultra sécurisé...

[Breizh-Tux]

Bonjour à tous.
Je voudrais vous demander conseil pour le choix d'une distribution Linux (pas BSD, je préfère les manchots et la GPL)
Bon, là, j'en vois venir qui me disent Debian:
j'utilise Debian tous les jours, sur deux pc différents. Je l'adore, mais j'ai du mal avec la politique de sécurité:
-avec une installation de base, on se retrouve avec exim, sshd, inetd, portmap, etc
-lancement de tous les serveurs installés
-présence de gcc
-noyau autorisant les modules

Bien sûr, en y passant du temps, je peux la "bétonner" (si je ne fais pas de bourdes :wink: ), mais c'est lourd...

J'ai trouvé une distribution qui me semble parfaite, adamantix (ex TrustedDebian), mais, d'après leur doc, elle n'a pas l'air tout à fait au point (des retours d'expériences de certains d'entre vous?)

c'est une blague ??? Pas Debian mais Adamantix ??? Adamantix est basée sur une debian stable toute fraiche apres install ... Et quand à sécuriser Debian face aux arguments que tu avances, laisse moi rire ....
apt-get install postfix && apt-get remove --purge exim c'est si dur que ça ??? La présence de gcc doit pouvoir se contourner , je ne me suis jamais posé la question , pour ce que tu dis avoir besoin j'utilise des BSD :) et enfin le noyau autorisant les modules et bah recompile un kernel monolithique !
Si comme tu le prétends tu veux t'amuser alors il faut que tu te bouges , car avec tes souhaits (a part pour Admantix) , je vois pas ou tu vas t'amuser si tout est déja fait ...
Quand à ta petite phrase ' j'utilise Debian tous les jours, sur deux pc différents. Je l'adore, mais j'ai du mal avec la politique de sécurité: ' , no comment c'est du troll de bas étage ...
Il te reste les linux à construire toi mm, gentoo ou linux mage, ou bien aussi une slackware (distro binaire si vous me permettez de la nommer ainsi) ...

Cordialement,
-=]::BzhTux::[=-

[cf]

c'est une blague ??? Pas Debian mais Adamantix ??? Adamantix est basée sur une debian stable toute fraiche apres install ...

Oui, à ceci près qu'elle intègre PaX, SSP, qu'ils ont bossé sur la pile IP et que apt incorpore un système de signature des paquets... Va dire aux développeurs qu'ils ont juste repackagé une install de Debian par défaut, et écoute leur réponse...

Et quand à sécuriser Debian face aux arguments que tu avances, laisse moi rire ....
apt-get install postfix && apt-get remove --purge exim c'est si dur que ça ??? La présence de gcc doit pouvoir se contourner , je ne me suis jamais posé la question , pour ce que tu dis avoir besoin j'utilise des BSD et enfin le noyau autorisant les modules et bah recompile un kernel monolithique !

Effectivement, j'ai un peu poussé. Mais je n'aime pas l'idée d'avoir à désactiver des services après l'installation, je trouverais plus logique que l'on demande AVANT quels services on veut activer, ça me semble logique. Enfin, tu penses ce que tu veux.

Si comme tu le prétends tu veux t'amuser alors il faut que tu te bouges , car avec tes souhaits (a part pour Admantix) , je vois pas ou tu vas t'amuser si tout est déja fait ...

Bah, en même temps j'aimerais bien trouver une distribution qui me correspond, et j'ai déjà donné pour la configuration/sécurisation de mes Debian...

Quand à ta petite phrase ' j'utilise Debian tous les jours, sur deux pc différents. Je l'adore, mais j'ai du mal avec la politique de sécurité: ' , no comment c'est du troll de bas étage ...

cf plus haut. Je ne comprends pas cette politique qui installe des serveurs à l'installation, et les lance. Il doit y avoir une raison, mais je ne vois pas.

Je vais essayer FreeBSD, je pense que ça pourrait être intéressant.

cf

[Gandalf]

Merci.
Non seulement elle ne fait que firewall, mais il me semble qu'elle est payante.

Non, elle est gratuite !

[Breizh-Tux]

Effectivement si tu veux vraiment t'amuser un FreeBSD 4.11 (dernière stable) sera un bon jouet , je te le confirme, et sans vouloir troller, la compil du noyau c'est un plaisir mm la première fois :)

Cordialement,
BzhTux :)

[Chardhoo]

Bonjour,
Pourquoi pas LFS ?(linux from scratch) (linux à partir de rien)
Certes il faut du courage mais au moins tu sais ce qui se trouve sur ta bécane et toutes les distributions au monde ne feront jamais le poid contre du LFS bien paramétrer.
enfin c'est mon point de vue !
dites moi si je me trompe...

[micjack]

Pourquoi pas LFS ?(linux from scratch) (linux à partir de rien)

Car y'a trop de compile derrire pour ce qu'il veux faire, alors qu'il existe déja des produits clé en main et securisés pour cela

au moins tu sais ce qui se trouve sur ta bécane et toutes les distributions au monde ne feront jamais le poid contre du LFS bien paramétrer.

Je ne suis pas trop d'accord sur ta phrase "les distributions au monde ne feront jamais le poid contre du LFS "

Ben moi comme j'ai la fleme de metre en place une LFS (Linux bouquin) et quand l'on sais comment cela fonctionne, on install plutot une distrib au choix et au minimum avec de quoi compiler (de toute facon les outils de compiles sont necessaires pour construire LFS, si non pas de distrib maison )

Avec une distrib au minimum, on arrive à une install de 550 Mo sources comprises, compiler les drivers non pris en charge par la distrib et par la suite il faut virer les RPM inutiles, désinstaller les sources et les outils de compilation et au final on arrive à une distrib sécurisé de 450 Mo qui fait, Passerelle, Firewall, Routeur filaire, Routeur Wifi, Serveur d'impression.

Alors qu'avec LFS, c'est pour en revenir à la meme chose, mais en se faisant chi.er en partant de rien pour pas grand chose.

PS: Cela n'a rien avoir avec la question de Cf (quoi que) mais c'est juste pour demontrer qu'une install au minimum et selective d'une distrib suffit, et bien sûr, de savoir comment cela fonctionne, donc savoir quoi rajouter ou supprimer suivant l'usage

[Chardhoo]

Le BUT est d' apprendre !!
En commancant de rien c'est super mais bon c'est vrai que la gamme est reservé aux gens COURAGEUX et PARANOYAQUE !

PS: Je ne savais pas qu'il y avait des distributions que pour le firewalking genre IPCop mais bon je ne dispose pas de plusieurs ordinateurs !
Ceci étant dit qu'il est préferable pour Vous de vous mettre sur du IPCop si vous ne disposez pas des caracteres requis (voire en haut)
moi en tout cas je me met dessus (y a pas photos!)

LFS : 8 mo serveur apache
Distrib. : 500 mo serveur apache (install minimal)

[micjack]

LFS : 8 mo serveur apache
Distrib. : 500 mo serveur apache (install minimal)

Ha, si on va dans le meme genre de comparaison, j'ai mieux

Firewall Coyotte Linux: Disquette 1.44 mo
IPCop : ~500 Mo (il me semble)
Et ma distrib multifonction plus haut: ~450 Mo

On peut aller loin comme ca à faire des comparaisons ... Une distrib de "jenesaitquoi" est en rapport de ce l'on veux faire...

Je ne vois pas la difference entre un Apache qui se trouve sur une distrib 8 Mo ou sur une de 500 Mo, mise à part que cela prend plus ou moins de place..

La securité mon sens n'est pas le poid de la distrib, mais connaitre et maitriser de ce qui tourne comme services dessus.

[Chardhoo]

si moi je vois le rapport !
Des fichiers inutilisé !
d' ou la maitrise de connaitre son systeme par coeur fichier par fichier et donc apres ton OS fait quelque méga!
LOGIK
mais on s'écarte du sujet !

[Les_Marches]

Hello!

" Plus le système est petit, plus on le connaît par coeur, plus il est secure " = vrai, il faut donc un bon pilote derrière

" Plus le système est petit, plus il est secure " = faux, les docs et autres modules ne sont pas des "failles"

On peut interpréter cela de différentes manières... Comme il a été souvent dit partout, la sécurité d'un système dépend de son utilisateur ( un bon gars sous mandrake peut rendre ça sécurisé, un gars pas motivé sous *BSD peut tourner ça en gruyère... )