Apache marche! pas vrai. incapable de me securiser,j'arrete

Pause Café
#1

j’ai reussi à faire un truc de ouf!!! :smiley:

bon, fin, un truc de ouf pour moi ultradebutant!!!

mais allez-y:
http://dyndyn.homelinux.org/~dyna/

c’est mes “oeuvres”…
le truc de ouf ce ne sont pas mes oeuvres,hein!, (ça c’est mon boulot), mais le fait d’avoir reussi à configurer un serveur lamp sur ma machine et maintenant:

je vais retourner à mes lessons de xhtml, php et css…
à plus!

#2

Ton serveur tourne sous Lenny ? :open_mouth:

Je monte aussi un serveur web, je le sécurise grâce à ce document :
http://www.debian.org/doc/manuals/securing-debian-howto

Mais si ton serveur tourne sous Lenny ça va être dur de le sécuriser :confused:

#3

oui, tourne sur lenny…
j’ai pas encore pensé à l’histoire de la securisation, car en lisant par-ci par là sur le forum et sur le net, j’avais eu l’impression que le fait d’etre derriere à un routeur me mettait à l’abris…
mais je vais à lire le tutoriel que vous m’avez envoyé, surtout car je n’ai pas de tout en clair dans ma tete quels risques je cours!

:confused:

#4

La première à chose à faire est d’installer la distribution Stable <=> Etch. Lenny contient trop de bugs et il y a trop de mises à jours pour un sytème qui doit rester stable.
Et puis il parait que recompiler un noyau statique (sans le support des modules ) est une bonne idée.

#5

On peut se dire que notre serveur n’intéressera pas les “crackers” mais c’est faux. Ils peuvent l’utiliser pour des activités illégales, par exemple pour l’envoi de spam.

#6

ah!
pas drole ça!

mais comment je fais pour revenir en etch sans reinstaller?

car je suis pas tres contente de tout recommencer
:cry:

#7

Je sais pas si ça marche en pratique. Tu édites /etc/apt/preferences/ :

Package: * Pin: release v=4.0r0,o=Debian,a=stable,l=Debian Pin-Priority: 1001
Ca permet l’installation des paquets de etch mais s’il s’agit d’un retour en arrière.
Il faut aussi ajouter les dépots dans ton sources.list :

deb http://ftp.fr.debian.org/debian/ etch main contrib non-free deb-src http://ftp.fr.debian.org/debian/ etch main contrib non-free deb http://security.debian.org/ etch/updates main contrib non-free deb-src http://security.debian.org/ etch/updates main contrib non-free

Mais attend d’autres avis avant d’essayer.

#8

bon , merci, et j’attends volontier, car le retour en arriere de sid à lenny à miserement echoué et finit avec une reinstall…

#9

Bravo,

Et complètement hors sujet : As-tu une raison particulière pour écrire aquarelle ACQ ?

#10

ah, aquarelle!, oui comme d’hab: en italien il faut un “cq”, ce serait une faute gravissime d’ecrire “aquarello” en italie, on te lave le cerveaux de la maternelle pour qu’on ecrit cette benite cq, apres c’est difficile s’en debarasser!

merci, je vais corriger ça !!!

#11

Je ne comprend plus, jusqu’ici d’après ce forum j’avais l’impression que lenny (testing) était relativement fiable. Pas stable parce qu’il bougeait tout le temps mais que ça suffisait.

Qu’il fallait une debian stable seulement pour quelque chose qu’on ne doit toucher et qui a prouvé sa stabilité.

#12

bonjour, pour commencer, voilà la config de ssh:

ça a l’aire bien (=sur) ce fichier sshd_config?

[code]# Package generated configuration file

See the sshd(8) manpage for details

What ports, IPs and protocols we listen for

Port 666

Use these options to restrict which interfaces/protocols sshd will bind to

#ListenAddress ::
ListenAddress 192.168.0.1
Protocol 2

HostKeys for protocol version 2

HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

Lifetime and size of ephemeral version 1 server key

KeyRegenerationInterval 3600
ServerKeyBits 768

Logging

SyslogFacility AUTH
LogLevel INFO

Authentication:

LoginGraceTime 120
PermitRootLogin non
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile %h/.ssh/authorized_keys

Don’t read the user’s ~/.rhosts and ~/.shosts files

IgnoreRhosts yes

For this to work you will also need host keys in /etc/ssh_known_hosts

RhostsRSAAuthentication no

similar for protocol version 2

HostbasedAuthentication no

Uncomment if you don’t trust ~/.ssh/known_hosts for RhostsRSAAuthentication

#IgnoreUserKnownHosts yes

To enable empty passwords, change to yes (NOT RECOMMENDED)

PermitEmptyPasswords no

Change to yes to enable challenge-response passwords (beware issues with

some PAM modules and threads)

ChallengeResponseAuthentication no

Change to no to disable tunnelled clear text passwords

#PasswordAuthentication yes

Kerberos options

#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

GSSAPI options

#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

Allow client to pass locale environment variables

AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

UsePAM yes[/code]

#13

et j’ajoute le pam.d:

[code]# PAM configuration for the Secure Shell service

Read environment variables from /etc/environment and

/etc/security/pam_env.conf.

auth required pam_env.so # [1]

In Debian 4.0 (etch), locale-related environment variables were moved to

/etc/default/locale, so read that as well.

auth required pam_env.so envfile=/etc/default/locale
auth required pam_listfile.so sense=allow onerr=fail item=user file=/etc/loginusers

Standard Un*x authentication.

@include common-auth

Disallow non-root logins when /etc/nologin exists.

account required pam_nologin.so

Uncomment and edit /etc/security/access.conf if you need to set complex

access limits that are hard to express in sshd_config.

account required pam_access.so

Standard Un*x authorization.

@include common-account

Standard Un*x session setup and teardown.

@include common-session

Print the message of the day upon successful login.

session optional pam_motd.so # [1]

Print the status of the user’s mailbox upon successful login.

session optional pam_mail.so standard noenv # [1]

Set up user limits from /etc/security/limits.conf.

session required pam_limits.so

Set up SELinux capabilities (need modified pam)

session required pam_selinux.so multiple

Standard Un*x password updating.

@include common-password[/code]

mmmm, c’est correct?

comment je peux verifier la securité?

#14

Je ne comprend plus, jusqu’ici d’après ce forum j’avais l’impression que lenny (testing) était relativement fiable. Pas stable parce qu’il bougeait tout le temps mais que ça suffisait.[/quote]
Pour un poste client je suis d’accord avec toi.

Ben c’est ce qu’il faut pour un serveur :wink:

Après je suis peut-être un peu paranoïaque mais je suis persuadé qu’il ne faut pas installer Lenny pour un serveur.

#15 
Ca c'est déjà une bonne chose. Après ça dépend si tu t'identifies par un simple mot de passe ou si tu utilises les clés(préférables).
Mais regardes le manuel de sécurisation, tu en apprendras plus le lisant.

Ca c’est déjà une bonne chose. Après ça dépend si tu t’identifies par un simple mot de passe ou si tu utilises les clés(préférables).
Mais regardes le manuel de sécurisation, tu en apprendras plus le lisant.

#16

justement c’est à partir du manuel que j’ai configuré les deux fichiers en question…
j’avance, quoi, mais le manuel est obscur par periods, je faisais la verifivcation… :slightly_smiling:

merci beaucoup et
à plus

#17

question :
ce sont tes oeuvres ?

#18

:smiley:

yes!
toutes, sauf une que est d’une copine, animaautoproduzioni…
seulment ne sont pas les plus recentes…
je vais remedier ça prochianement!

#19

Chapeau, ça a de la gueule.
Ma belle-fille fait aussi de la mosaïque.

#20

:smiley:

merci beaucoup.

la mosaique est assez interessante, votre belle-fille a choisie un tres bon secteur.
pour ma parte, si elle ne le fait pas dejà, je lui conseillerais de l’associer à la ceramique. faire ses propres carrelages ouvre des horizons geniales.