A propos de sudo

Support Debian
#1

Salut,
Lisant ça:

7.2.2.1 Droits d’accès

je vois que mon installation ne satisfait pas la règle de securité:

root@debian:/# cd /usr/bin
root@debian:/usr/bin# ls -al sudo
-rwsr-xr-x 1 root root 136848 janv.  5 01:37 sudo

alors j’ai fait

root@debian:/usr/bin# chown root:sudo sudo
root@debian:/usr/bin# chmod 4750 sudo
root@debian:/usr/bin# ls -al sudo
-rwsr-x--- 1 root sudo 136848 janv.  5 01:37 sudo

vérifier le group sudo

root@debian:/usr/bin# cat /etc/group | grep sudo

Qu’en pensent les experts en sécurité?

1 J'aime
#2

L’idée n’est pas mauvaise.
Au lieu d’autoriser tous les utilisateurs à exploiter une éventuelle faille pour une élévation de privilège, tu limite a un groupe restreint que tu as soigneusement sélectionné.
Comme dit dans le document, ça réduit la surface d’attaque possible.

#3

si vraiment tu veux aller plus loin dans la configuration de sudo et surtout de la gestion des droits, je ne peux que te conseiller de regarder le man sudoers

mieux de de créer un groupe sudo, tu peux règler finement dans la configuration sudoers des alias pour chaque utilisateur / groupe / commande…
(bonne lecture :slight_smile:)

#4

le groupe sudo est créé par Debian d’origine :laughing: :laughing: mais pas finement utilisé et l’utilisation de sudoers bien décrite dans le document que j’ai indiqué…

#5

oups ça m’apprendra :blush:

#6

Ahhh, les vieilles habitudes ont la vie dure … même si elles ne sont pas les plus effic(ac|ient)es !

# getent group sudo

:wink:

#7

“Quand le sage montre la lune, l’idiot regarde le doigt” :joy: :joy: :joy:
ou bien " il ne faut pas lâcher la proie pour l’ombre"

#8

Euhh, moi pas comprendre là ???
Quel est le rapport ?

#9

La modification proposée peut empêcher le fonctionnement de sudo si on configure pour donner des droits à des utilisateurs qui ne sont pas dans le groupe sudo. C’est pas un cas d’utilisation majoritaire, mais la configuration par défaut peut s’expliquer par ça.
Par exemple, ça peut être le cas si on a des utilisateurs dans un LDAP et qu’on veut gérer un groupe qui a les droits sudo dans le LDAP directement.
Mais sinon, c’est une idée de durcissement cohérente qui peut permettre de limiter les dégats en cas de faille dans le programme sudo comme dit par Mimoza.