# \[Avancé\] chattr et cron.daily **URL:** \ **Category:** Support Debian\ **Created:** [Octobre 20, 2020, 12:01 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079 "2020-10-20T12:01:23Z")\ **Posts on this page:** 12\ **Page:** 1
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 12:01 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/1 "2020-10-20T12:01:23Z")
Bonjour, Voilà le problème très spécifique que je rencontre, et il vaut mieux avoir de bonnes connaissances pour me répondre - _c’est pourquoi j’ai mis le drapeau [Avancé]_ 😉 Je suis partisan de durcir un tant soit peu sa Debian/Devuan. Parmi ce durcissement, j’utilise l’outil **chattr**. _(j’explique tout ça dans mon [article dédié](https://doc.huc.fr.eu.org/fr/sec/linux/chattr/))_ Mais j’ai un problème très particulier lors de l’exécution de la tâche **cron.daily** Tous les jours, la tâche cron.daily exécute les tâches précisées dans le répertoire /etc/cron.daily/. La première tâche exécutée est celle d’anacron (dixit le fichier **0anacron** ) qui s’occupe, si j’ai bien compris d’exécuter les autres - _mais je peux peut-être me tromper quant à ma compréhension_. Le mail de rapport me retourne le message suivant : ```nohighlight /etc/cron.daily/apt-listbugs: Fixed packages : kmod cp: cannot create regular file '/etc/apt/preferences.d/apt-listbugs': Operation not permitted run-parts: /etc/cron.daily/apt-listbugs exited with return code 1 /etc/cron.daily/google-earth-pro: /etc/cron.daily/google-earth-pro: 246: cannot create /etc/apt/sources.list.d/google-earth-pro.list: Operation not permitted /etc/cron.daily/google-earth-pro: 247: cannot create /etc/apt/sources.list.d/google-earth-pro.list: Operation not permitted ``` Ces opérations non permises sont en effet empêchées d’exécution du fait de l’usage de chattr. Donc, la question que je me pose est comment appeler chattr de manière adéquate pour permettre l’exécution correcte de la tâche cron.daily ?! ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Octobre 20, 2020, 12:36 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/2 "2020-10-20T12:36:17Z")
Salut Google sur « /etc/cron.daily/apt-listbugs/ » trouve entre autres # apt-listbug: cron.daily apt-listbugs job chokes when run by anacron > **[\#289361 - apt-listbug: cron.daily apt-listbugs job chokes when run by anacron...](https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=289361)** Anacron fonctionne très bien, voici mon petit pense-bête > **[Anacron, c’est pas une insulte.](https://bidouilledebian.wordpress.com/2018/06/02/anacron-cest-pas-une-insulte/)** > > Pour lancer des tâches périodiques, de maintenance  ou autres, rien de mieux que Anacron ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 12:48 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/3 "2020-10-20T12:48:51Z")
> [@grandtoubab](#): > > Anacron fonctionne très bien, voici mon petit pense-bête > > ![](https://www.debian-fr.org/uploads/default/original/2X/8/879e6e65217904a77b7cb09b554af3ac6fe08da4.png) je n’ai pas dit le contraire, et ne pense pas l’avoir insinué ! Pour le reste, merci 😃 ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Octobre 20, 2020, 12:54 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/4 "2020-10-20T12:54:15Z")
il n’y a pas que toi qui lira ce fil…un peu de modestie ne saurait nuire As tu bricolé les droits de /etc/apt/ avec chattr?? > **[Sécurisation des fichiers avec les attributs étendus sous GNU/Linux |...](https://www.it-connect.fr/securisation-des-fichiers-avec-les-attributs-etendus-sous-gnu-linux/)** > > Sécurisation de son système : Comment protéger les fichiers ou répertoires contre des modifications problématiques grâce aux attributs étendus sur GNU/Linux ? ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 1:00 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/5 "2020-10-20T13:00:38Z")
> [@grandtoubab](#): > > un peu de modestie ne saurait nuire Sans commentaire. ☹ > [@grandtoubab](#): > > As tu bricolé les droits de /etc/apt/ avec chattr?? STP, si tu ne réponds que pour afficher tes jugements de valeur, passe ton chemin. Merci d’avance. * * * « bricolé » n’est pas le terme. Je ne bricole pas ! Ensuite, oui, j’utilise chattr, tel que je l’exprime dans mon article. C’est sympa de répondre, mais ça serait certainement mieux de tout lire correctement - ça sert à quoi que je m’efforce d’être explicite. 😉 ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Octobre 20, 2020, 1:27 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/6 "2020-10-20T13:27:25Z")
Je suis toujours surpris de l’imaginations de certains pour se compliquer la vie 😉 Entre blinder son système et le rendre inutilisable (ou difficilement) il y a un juste compromis à trouver. Note que tu aurais pu monter ta partition système en lecture seule, cela reviendrait à peu près au même et serait sans doute plus facile à gérer. Si tu veux conserver cette configuration tordue il faudrait que tu surcharges le service systemd anacron (ou cron) pour qu’il exécute un script qui enlève l’attribut immuable (-i), lance anacron, puis remet cet attribut (+i). ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 1:37 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/7 "2020-10-20T13:37:40Z")
> [@anon70622873](#): > > Je suis toujours surpris de l’imagination Rien à voir avec l’imagination ! Cela fait partie des conseils de sécurité formulées en 2015, 2016 par l’ANSSI, pour justement sécuriser son Linux… Après tu as le droit de penser autrement ! Et, des deux, entre toi et l’ANSSI, je te laisse comprendre les conseils de qui je préfère. 😛 > [@anon70622873](#): > > Entre blinder son système et le rendre inutilisable (ou difficilement) il y a un juste compromis à trouver Il est loin d’être utilisable, loin sans faut. Si, j’ai créer un script shell, c’est justement pour me faciliter la tâche, justement dans l’esprit de ce « compromis ». 😛 Maintenant, j’ai ce détail qui me « chatouille » l’esprit ; si je peux trouver une réponse intéressante à ce « problème », c’est tant mieux. C’est en étant confronté à certaines choses qu’on améliore sa compréhension, son expérience, et qu’on décide des choix à retenir ou non ?! > [@anon70622873](#): > > que tu surcharges le service systemd anacron (ou cron) pour qu’il exécute un script qui enlève l’attribut immuable (-i), lance anacron, puis remet cet attribut (+i). ça, en effet, je m’en doute très fortement. 😃 ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Octobre 20, 2020, 1:40 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/8 "2020-10-20T13:40:30Z")
Je veux bien que tu me donnes la référence de l’ANSSI qui indique cette utilisation très particulière de l’attribut d’immuabilité. > [@PengouinPdt](#): > > ça, en effet, je m’en doute très fortement. Si tu t’en doutes, tu n’as plus qu’a essayer d’appliquer cette solution. Sinon cela pourrait peut-être aussi fonctionner avec : ```auto CapabilityBoundingSet=CAP_LINUX_IMMUTABLE AmbientCapabilities=CAP_LINUX_IMMUTABLE ``` dans l’unité de service. ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 2:05 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/9 "2020-10-20T14:05:15Z")
> [@anon70622873](#): > > Je veux bien que tu me donnes la référence de l’ANSSI Je pensais sincèrement que cela faisait partie de ce fichier : - [https://www.ssi.gouv.fr/uploads/2015/10/NP\_Linux\_Configuration.pdf](https://www.ssi.gouv.fr/uploads/2015/10/NP_Linux_Configuration.pdf) _(mais je n’arrive plus à retrouver la référence dedans)_ Ce qui est sûr, c’est que je ne l’ai pas « inventé ». Mais bon… 😂 Donc, je te pries de m’excuser de l’avoir « avancé » ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Octobre 20, 2020, 2:09 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/10 "2020-10-20T14:09:27Z")
Cela m’étonnerait fort que l’ANSSI fasse ce genre de recommandation (tel que dans le lien de ton premier message). Quel intérêt de mettre cet attribut sur des dossiers/fichiers qui ne sont accessibles qu’à root ? (ex : /root) ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Octobre 20, 2020, 2:17 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/11 "2020-10-20T14:17:47Z")
j’ai pas tout lu 🤣 🤣 🤣 [https://www.ssi.gouv.fr/guide/recommandations-de-securite-relatives-a-un-systeme-gnulinux/](https://www.ssi.gouv.fr/guide/recommandations-de-securite-relatives-a-un-systeme-gnulinux/) ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Octobre 20, 2020, 2:30 UTC](https://www.debian-fr.org/t/avance-chattr-et-cron-daily/83079/12 "2020-10-20T14:30:02Z")
@grandtoubab: oui, la dernière version date de 2019 😉 c’est le même document que la référence que j’ai donnée, simplement màj !