# Limiter les accès physiques et les possibilités de démarrage **URL:** \ **Category:** Support Debian\ **Created:** [Juillet 10, 2019, 8:39 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599 "2019-07-10T08:39:14Z")\ **Posts on this page:** 11\ **Page:** 1
**Author:** ![scam](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/4491bb/32.png) [@scam](https://www.debian-fr.org/u/scam)\ **Post date:** [Juillet 10, 2019, 8:39 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/1 "2019-07-10T08:39:14Z")
Bonjour Dans mes lectures pour sécuriser debian… on peut estimer que la 1ere étape est : > Limiter les accès physiques et les possibilités de démarrage a) Activer un mot de passe pour le BIOS. b) Désactiver le démarrage depuis périphériques. c) Mettre un mot de passe à LILO ou GRUB (respectivement `/etc/lilo.conf` ou `/boot/grub/menu.lst` ) d) Vérifier que le fichier de configuration de LILO ou de GRUB est en lecture seule. BON pour a) et b) on est d’accord qu’il faut avoir un accès physique au serveur pour tenter de le pirater ??? Peut-on dire que a) et b) ne sont pas très utiles si on a une porte blindé lol… c) Bon comme je débute… je ne sais pas s’il existe une commande pour savoir si on utilise LILO ou GRUB… si cela existe je suis preneur pour ma culture personnelle… Bon j’utilise GRUB (puisque /boot/grub/menu.lst existe alors que /etc/lilo.conf n’exsite pas sur ma machine). Du coup, il va demander ce mot de passe QUAND ? à chaque démarrage ou dans d’autres situation ??? Je sais je suis nul, mais je m’améliore… 😉 ---
**Author:** ![scam](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/4491bb/32.png) [@scam](https://www.debian-fr.org/u/scam)\ **Post date:** [Juillet 10, 2019, 8:46 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/2 "2019-07-10T08:46:43Z")
**# grub-md5-crypt** commande introuvable ??? ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Juillet 10, 2019, 8:58 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/3 "2019-07-10T08:58:48Z")
Bonjour, Limiter l’accès physique veut bien dire ce que ça veut dire : empêcher quelqu’un de non-autorisé à toucher physiquement à la machine. Par exemple, là où je bosse, il s’agit d’une salle serveur avec porte sécurisée dont seules les personnes autorisées ont la clef. Dans les centres de données, ça peut aller beaucoup plus loin : gardien à l’entrée du site, ouverture des portes par biométrie/clef/badge, accès à une baie par clef puis accès au serveur par une autre clef. Dans les solutions simples pour un particulier, certaines tours, comme les serveurs avec cache avant, disposent d’un système de fermeture par clef. Les boutons et les possibilités d’ouverture de la machine étant compliqué sans cette clef. Limiter les possibilité de démarrage peut être un peu plus complexe, mais comme tu le dis : 1. Limiter le démarrage que sur le disque principal (et verrouiller le BIOS par mot de passe) 2. Exiger un mot de passe au démarrage de la machine (BIOS) 3. Redondant, mais exiger un mot de passe sur grub 4. Ne pas afficher le menu de grub pour éviter de démarrer sur autre chose que le système Le problème des 2 et 3, c’est qu’a chaque démarrage, il faudra saisir le mot de passe. Dès lors, il faut que le mot de passe soit connu des utilisateurs ; ce qui le rend pratiquement inutile. Concernant le quatrième point, cela peut poser de nombreux problèmes, notamment si le système ne démarre plus: adieu le mode de récupération. Je reviens sur le “pratiquement inutile”. Le mot de passe au démarrage, que ce soit sur le BIOS ou grub, permet tout de même d’empêcher toutes personnes inconnues de démarrer l’OS de la station. Malheureusement, si la station est volée, puis ouverte, il reste possible de prendre le disque dur et de le mettre dans une autre station ou bien de réinitialiser le BIOS (enlever la pile + jumper à déplacé sur la carte mère). Si il s’agit simplement de protéger tout accès aux données, il suffit de chiffrer le disque dur. Là où je travaille, les stations utilisateurs sont sous Windows, mais nous couplons le premier point avec un chiffrement Bitlocker afin de sécurisé, au mieux, les données. ---
**Author:** ![scam](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/4491bb/32.png) [@scam](https://www.debian-fr.org/u/scam)\ **Post date:** [Juillet 10, 2019, 9:10 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/4 "2019-07-10T09:10:45Z")
Au final mettre un prompt à 0 ne règle t il pas le problème… Le risque d’obtenir un accès ROOT avec Grub ne se présente qu’au démarrage… si quelqu’un manipule le serveur physiquement ??? Ce risque n’existe pas depuis une attaque extérieure… ---
**Author:** ![mattotop](https://www.debian-fr.org/user_avatar/www.debian-fr.org/mattotop/32/3942_2.png) [@mattotop](https://www.debian-fr.org/u/mattotop)\ **Post date:** [Juillet 10, 2019, 9:58 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/5 "2019-07-10T09:58:15Z")
> [@scam](#): > > Peut-on dire que a) et b) ne sont pas très utiles si on a une porte blindé lol… Ben oui, mais ça vaut pour c et d aussi. > [@scam](#): > > c) Bon comme je débute… je ne sais pas s’il existe une commande pour savoir si on utilise LILO ou GRUB… si cela existe je suis preneur pour ma culture personnelle… [https://superuser.com/questions/466086/how-can-i-discover-which-bootloader-is-installed-where/466248](https://superuser.com/questions/466086/how-can-i-discover-which-bootloader-is-installed-where/466248) > [@scam](#): > > Du coup, il va demander ce mot de passe QUAND ? à chaque démarrage Exactement. ---
**Author:** ![scam](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/4491bb/32.png) [@scam](https://www.debian-fr.org/u/scam)\ **Post date:** [Juillet 10, 2019, 10:16 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/6 "2019-07-10T10:16:26Z")
> [@scam](#): > > **# grub-md5-crypt** commande introuvable ??? grub-md5-crypt n’est pas installé avec grub ? il faut l’installer en plus (comment savoir quel paquet installer) ---
**Author:** ![sk4hrr](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/7bcc69/32.png) [@sk4hrr](https://www.debian-fr.org/u/sk4hrr)\ **Post date:** [Juillet 10, 2019, 12:02 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/7 "2019-07-10T12:02:03Z")
> [@scam](#): > > Au final mettre un prompt à 0 ne règle t il pas le problème… Le prompt de grub ? > [@scam](#): > > Le risque d’obtenir un accès ROOT avec Grub ne se présente qu’au démarrage… si quelqu’un manipule le serveur physiquement ??? Une fois l’OS démarré, disons Debian, il faut s’identifier avant de faire quoique ce soit, donc oui. > [@scam](#): > > grub-md5-crypt n’est pas installé avec grub ? Visiblement ce n’est disponible qu’avec le paquet `grub-legacy`: [I Challenge Thee](https://packages.debian.org/search?suite=default§ion=all&arch=any&searchon=contents&keywords=grub-md5-crypt) ---
**Author:** ![littlejohn75](https://www.debian-fr.org/user_avatar/www.debian-fr.org/littlejohn75/32/3840_2.png) [@littlejohn75](https://www.debian-fr.org/u/littlejohn75)\ **Post date:** [Juillet 10, 2019, 2:11 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/8 "2019-07-10T14:11:27Z")
> [@scam](#): > > > **# grub-md5-crypt** commande introuvable ??? > > grub-md5-crypt n’est pas installé avec grub ? il faut l’installer en plus (comment savoir quel paquet installer) Voilà encore un message typique de @scam Toutes les phrases se terminent par un point d’interrogation. Une recherche avec Debian et cette commande m’amène directement à [une page de wiki ubunti](https://help.ubuntu.com/community/Grub2/Passwords) On y voit à la fin comment procéder pour chiffrer les mots de passe dans la configuration de grub, via la commande `grub-mkpasswd-pbkdf2` qui est bien présente sur une Debian moderne ```plaintext fp2@debpacha:~$ dpkg-query --search $(which grub-mkpasswd-pbkdf2) grub-common: /usr/bin/grub-mkpasswd-pbkdf2 fp2@debpacha:~$ dpkg --get-selections | fgrep grub grub-common install grub-pc install grub-pc-bin install grub2-common install fp2@debpacha:~$ ``` Le paquet `grub` est depuis longtemps un paquet de transition qui installe les bons paquets de grub2 (ici `grub-pc` au lieu des `grub-efi*` > [@scam](#): > > c) Mettre un mot de passe à LILO ou GRUB (respectivement `/etc/lilo.conf` ou `/boot/grub/menu.lst` ) > d) Vérifier que le fichier de configuration de LILO ou de GRUB est en lecture seule. Pourriez-vous nous donner les URLs où vous avez trouvé ces informations ? Même si le paquet `lilo` est encore présent dans les dépôts Debian, cela fait belle lurette que `grub` l’a remplacé (sur les compatibles PC, sur des PowerPC on peut encore avoir `yaboot` ), et `/boot/grub/menu.lst` c’est du grub version 1, du paquet `grub-legacy`. Bref, serait-il possible lorsque vous lisez quelque chose sur internet de réfréner votre envie pressante de poser des questions sur ce forum ( à la vitesse d’une mitraillette ) avant même d’avoir fait vous-même un minimum de recoupements et de recherche sur le sujet. (au moins estimer la date des documents ). Cordialement, Regards, Mit freundlichen Grüßen, مع تحياتي الخالصة * * * F. Petitjean Ingénieur civil du Génie Maritime. « C’est terrible d’allonger la vie en prolongeant seulement la vieillesse. » – Professeur Choron « La vraie science est une ignorance qui se sait. » – Michel Eyquem de Montaigne ---
**Author:** ![scam](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/4491bb/32.png) [@scam](https://www.debian-fr.org/u/scam)\ **Post date:** [Juillet 10, 2019, 2:23 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/9 "2019-07-10T14:23:23Z")
[https://www.debian.org/doc/manuals/securing-debian-howto/ch4.fr.html](https://www.debian.org/doc/manuals/securing-debian-howto/ch4.fr.html) Cela semblait pas trop nul comme source [http://secian.free.fr/securite/password\_grub.html](http://secian.free.fr/securite/password_grub.html) Certains ne lisent pas… ils veulent une réponse… Moi je lis… puis j’échange sur le forum pour essayer de comprendre. Bon après peut être que je ne lis pas les bons trucs, mais je lis ce que je trouve 😉 J’ai une explication, comme je ne parle pas anglais… avec le décalage horaire… les tuto en fraçais sont souvent périmés ---
**Author:** ![littlejohn75](https://www.debian-fr.org/user_avatar/www.debian-fr.org/littlejohn75/32/3840_2.png) [@littlejohn75](https://www.debian-fr.org/u/littlejohn75)\ **Post date:** [Juillet 10, 2019, 3:55 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/10 "2019-07-10T15:55:42Z")
> [@scam](#): > > Cela semblait pas trop nul comme source Pas nul certes, mais plus que datée. Par exemple dans 4.10 les lignes qui précèdent le paragraphe 4.10.1 font référence à `/dev/fd0` qui est le lecteur de disquettes. Le fait que le paragraphe 4.10.1 Paramétrer /tmp en noexec est resté en anglais aurait pu aussi vous mettre la puce à l’oreille. Ce document assez long contient aussi des conseils et vous pouvez facilement vérifier si c’est appliqué sur votre système. Par exemple en 4.18.2 ```plaintext cat /proc/sys/net/ipv4/tcp_syncookies ``` Le paragraphe 4.18.5 Désactiver les problèmes d’hôtes week-ennd fait allusion aux noyaux de version 2.2 ou antérieur. Je ne me rappelle plus exactement de la date de sortie de la version 3.11 Linux for workgroups, en fait on me dit que c’était en juillet 2013. En ce qui concerne 4.20.1 svgalib d’après [debian tracker svgalib](https://tracker.debian.org/pkg/svgalib) la suppression de cette bibliothèque date de 2013. Un peu d’esprit critique (surtout en matière de sécurité ) Cordialement, Regards, Mit freundlichen Grüßen, مع تحياتي الخالصة * * * F. Petitjean Ingénieur civil du Génie Maritime. « Celui qui, parti de rien, n’est arrivé nulle part n’a de merci à dire à personne !! » Pierre Dac « Je préfère le vin d’ici à l’au-delà » Pierre Dac ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Juillet 20, 2019, 9:20 UTC](https://www.debian-fr.org/t/limiter-les-acces-physiques-et-les-possibilites-de-demarrage/79599/11 "2019-07-20T09:20:03Z")
> [@scam](#): > > Du coup, il va demander ce mot de passe QUAND ? à chaque démarrage ou dans d’autres situation ??? Ça dépend. Dans le BIOS il y a généralement deux mots de passe différents : - un mot de passe « utilisateur » nécessaire pour démarrer quand il est défini ; - un mot de passe « administrateur » nécessaire lorsqu’il est défini pour modifier la configuration ou sélectionner une soure d’amorçage autre que celle configurée par défaut. Dans GRUB, on peut mettre en place des mots de passe pour différentes actions : - pour modifier la configuration ou lancer le shell depuis le menu de démarrage ; - pour sélectionner une entrée de menu particulière.