Plan du site  
pixel
pixel

Articles - Étudiants SUPINFO

Sécuriser son infrastructure avec GNU/Linux - partie 1

Par Antoine VETILLARD Publié le 06/09/2018 à 19:26:43 Noter cet article:
(0 votes)
Avis favorable du comité de lecture

Introduction

Comme les évènements le prouvent chaque mois depuis maintenant quelques années, les ransomwares constituent une menace de plus en plus grandissante pour les particuliers comme pour les entreprises. Ce type de logiciel malveillant est désormais largement utilisé par les pirates informatiques lesquels y voient un moyen de gagner de l’argent aussi aisément que rapidement. Ce phénomène en pleine croissance ne semble pas vouloir s’affaiblir, malgré les nombreux efforts mis en œuvre par les experts en cyber-sécurité. Comment se prémunir du risque de voir ses données disparaître ? Comment éviter de ne plus avoir d’autre choix que d’acquitter la rançon exorbitante exigée par les pirates ? Ces menaces montrent que, quel que soit le niveau auquel elle s’applique (système d’exploitation, logiciel, site web…), la confiance ne peut plus être prise à la légère.

L’objet de cette suite d'articles est de présenter deux types de distributions GNU/Linux dont le point commun est la sécurité : d’une part, les systèmes d’exploitation orientés sécurité et d’autre part, les systèmes d’exploitation orientés tests d’intrusion.

A titre liminaire, rappel de trois notions essentielles : vie privée, sécurité et hacking

Si elles sont souvent associées, ou et parfois même confondues, ces trois notions fondamentales doivent être clairement distinguées. Cette partie présente chacune d’entre elles et décrit leurs relations.

La sécurité est un ensemble de procédés techniques mais aussi humains mis en place pour réduire le plus possible le nombre de menaces envers un système informatique. Elle doit être proportionnée à ce qu’elle va protéger et bien entendu, elle doit être respectée à tous niveaux. La sécurité numérique doit en outre être accompagnée d’une attitude vigilante. Ainsi, en cas d’utilisation de deux ordinateurs, chacun destiné à une tâche (le jeu et le travail par exemple), il va de soi qu’aucun document de travail ne devra être consulté depuis le poste dédié aux jeux.

Pour être protégée, la vie privée d’un utilisateur nécessite une sécurité robuste. En effet, sans sécurité, les données personnelles se retrouvent vulnérables aux collectes d’entités ou aux attaques de personnes malveillantes. « Alors, une politique de sécurité très forte implique forcément le respect de la vie privée ? » pourriez-vous penser. Ce n’est pas le cas. Prenons un exemple : Aujourd’hui je me procure une solution pare-feu/antivirus pour mon ordinateur personnel. Celle-ci va donc me protéger des attaques et logiciels malveillant, ce qui mettra effectivement mes données en sécurité. Cependant, si j’installe un logiciel légal en acceptant aveuglement ses conditions d’utilisation, je mets en péril ma vie privée. En effet, si je ne prends pas en compte ces conditions, rien ne me prouve que certaines de mes informations personnelles, non nécessaire au fonctionnement de ce programme, ne sont pas copiées sur des serveurs distants à des fins commerciales…

Le hacking (ou « piratage » dans notre langue) est une activité dont le but est de déceler et d’exploiter les failles de sécurité des systèmes. Pirater un système peut être réaliser à but malveillant ou bienveillant. En informatique, les appellations « White Hat » et « Black Hat » permettent de différencier les individus ayant un but différent mais dont la profession d’expert en sécurité est commune. Cette article ayant pour objectif de vous sensibiliser sur votre propre sécurité, nous ne parlerons que de ce qu’un White Hat ferait.

Ces quelques notions ont déjà été abordées, dans le contexte de la navigation web, dans le document suivant, qui pourra être utilement consulté à titre de complément : https://www.supinfo.com/articles/single/4945-securiser-sa-navigation.

Les systèmes d’exploitation orientés sécurité

Passons maintenant au vif du sujet. Cette première partie présente différentes distributions GNU/Linux utilisables au quotidien pour assurer la sûreté de vos données. Si vous n’êtes pas familier avec GNU/Linux, je vous recommande ma suite d’articles rédigée il y a quelques temps mais toujours d’actualité aujourd’hui : https://www.supinfo.com/articles/single/3319-debuter-avec-gnu-linux-partie-1.

Qubes OS

Le projet Qubes OS voit le jour à la fin de l’année 2010. Après deux ans de développement, les deux fondateurs du projet sortent la version stable 1.0 de ce système d’exploitation. Quelques années plus tard, en 2016, Edward Snowden, connu pour ses révélations faites au sujet de la surveillance de masse mise en place par la NSA et la CIA, recommande l’utilisation de cet OS (Operating System) sur le réseau social Twitter. Ce simple message offre une occasion exceptionnelle au projet Qubes OS de se faire connaître, faisant naître de part et d’autre du web de très nombreuses études ne tarissant pas d’éloges sur ce système prônant la sécurité.

Cette distribution GNU/Linux fonctionne par cloisonnement de données. Contrairement aux autres distributions, celle-ci ne propose principalement qu’une seule fonctionnalité : la virtualisation. En effet, une intégration de l’outil de virtualisation Xen a été implémentée pour créer toutes sortes de machines virtuelles. Ainsi, à titre d’exemple, il est possible de créer une machine virtuelle Ubuntu pour le travail, une autre machine Arch Linux pour les projets personnels ou encore une machine Windows 10 pour le jeu. Toutes ces machines seront parfaitement hermétiques mais si nécessaire, il est cependant possible de partager des ressources (documents, images…), si vous le désirez. Bien entendu, il sera indispensable de structurer votre travail et de déterminer l’utilisation de chaque machine avant d’installer Qubes OS, afin de ne pas compromettre votre propre sécurité.

Vous trouverez le site officiel et la documentation en cliquant sur le lien suivant : https://www.qubes-os.org/.

Discreete-linux

C’est en 2007 que naît nait le projet Ubuntu Privacy Remix. Basée sur Ubuntu, la première version de cet OS est diffusée début 2008. Sa fonction phare est l’implémentation de Truecrypt, prédécesseur de Veracrypt, permettant de chiffrer ses données personnelles. A la veille de ses 10 ans, le projet est profondément transformé. Les développeurs décident de quitter la distribution Ubuntu servant de base au projet, pour s’établir sur Debian, distribution plus légère. Ubuntu Privacy Remix est donc renommée Discreete Linux.

Tout comme la distribution TAILS, Discreete est un système d’exploitation ne fonctionnant qu’en mode « live », c’est-à-dire qu’il ne pourra être utilisé qu’en direct depuis une clé USB ou un disque par exemple. Ce type de fonctionnement est l’inverse d’une installation « classique » sur disque-dur ou SSD comme le proposent de nombreux systèmes d’exploitation. Cette solution originale se justifie par la sécurité qu’elle procure ; un système ne pourra pas être installé mais ne sera accessible qu’en lecture seule (read-only), de sorte que, seuls les documents et paramètres modifiés par l’utilisateur pourront être sauvegardés. Ainsi, dans l’hypothèse où un logiciel malveillant (ou un pirate) parvenait à modifier le système, ces changements prendraient fin dès l’extinction de l’ordinateur.

Pour l’enregistrement des données, Discreete Linux permet de chiffrer entièrement un périphérique de stockage avec Linux Unified Key Setup (LUKS) ou Veracrypt, outils intégrés dans la distribution. C’est dans ce volume, appelé cryptobox, que les documents et paramètres d’un utilisateur pourront être stockés de façon sûre.

Afin d’accroître davantage la sécurité du système d’exploitation, l’équipe de développement a choisi de mettre en place quelques principes fondamentaux. Tout d’abord, elle n’a opté que pour des logiciels libres et a décidé de publier ses travaux sur la plateforme d’open source GitHub, le but étant de prouver la fiabilité du code et de l’exposer aux critiques des utilisateurs expérimentés. Ensuite, elle a choisi de désactiver l’utilisateur root et de limiter les privilèges accordés aux utilisateurs de sudo (sudoers). Ce choix permet de limiter les dégâts dans le cas où une personne ou un programme mal intentionné viendrait à s’introduire dans le système. Troisièmement, le noyau n’accepte que les programmes dont les modules ont été signés et validés par les développeurs, ce qui signifie qu’aucun programme sans signature valide ne pourra s’exécuter sur la machine. En outre, l’interface d’utilisation se veut être le plus user-friendly (ergonomique, en bon français) possible afin d’augmenter la productivité pour l’utilisateur. Enfin, notons que les développeurs ont prévu d’ajouter une protection contre les « BadUSB ». Ces attaques, de plus en plus facilement réalisables, consistent à insérer dans l’ordinateur une clé USB se faisant passer pour un clavier, ou tout autre périphérique « innocent », dans le but d’injecter du code malveillant. Cette fonctionnalité sera à venir dans la bêta 2 de Discreete Linux qui peut être téléchargée dès maintenant à l’adresse suivante : https://www.discreete-linux.org/howto.html#get_pre.

Subgraph OS

Subgraph OS est sans aucun doute le meilleur compromis entre Qubes OS et la distribution The Amnesic Incognito Live System, plus connu sous le nom de TAILS. Le fonctionnement de cette merveilleuse distribution fait l’objet d’une description détaillée dans un de mes précédents articles « Tirer parti du meilleur de TOR » que je vous recommande vivement.

Subgraph OS est une distribution basée sur Debian, d’origine américaine. Elle se veut la plus ergonomique et facile d’utilisation en embarquant l’environnement de bureau Gnome et en proposant une multitude de petits raccourcis vers ses fonctionnalités. Elle fonctionne conformément au principe d’isolation d’applications (ou autrement dit « sandboxing », pour les anglophones). Au démarrage de votre PC, la connexion à internet sera désactivée par défaut. Le choix d’activation revient à l’utilisateur et non à un préréglage. L’accès aux documents requiert, lui aussi, une action de la part de l’utilisateur pour chaque programme. En effet, afin de minimiser le risque de fuites ou de corruptions de données, chaque logiciel est en possession d’une liste blanche de documents auxquels l’utilisateur peut avoir accès. Dans la continuité de ce principe, le système d’exploitation vous demandera, dès l’installation d’un nouveau programme, si vous souhaitez lui autoriser l’accès à internet et pour quelle durée.

Parallèlement à cela, les développeurs ont renforcé le noyau Linux avec les suites de patchs de sécurité GRsecurity et PaX. Ceux-ci vont rendre le système plus restrictif quant aux accès aux données et ressources du système. Outre ces outils de sécurité d’arrière-plan, la totalité du système doit être chiffrée à l’aide de l’outil LUKS, intégré au système. Enfin, il est important de noter que cette distribution est dotée d’outils de messagerie chiffrés, que ce soit pour les e-mails ou la messagerie instantanée.

Concernant l’anonymat, Subgraph fournit le navigateur TOR et Torbirdy pour les e-mails. Les mises à jour et les installations via le gestionnaire de paquets transitent également par ce darknet. Des logiciels d’anonymisation sont également préinstallés comme BleachBit, qui permet de supprimer totalement une donnée d’un disque dur, ou bien Metadata Anonymisation Toolkit (MAT), dont la fonction est d’ôter toutes les métadonnées d’un fichier.

Enfin, pour perfectionner leur distribution, l’équipe de développement a ajouté le support des clés Yubikey. Ces petits périphériques USB permettent l’authentification à deux facteurs sur votre ordinateur. En d’autres termes, cette clé vient compléter l’authentification par mot de passe, malheureusement vulnérable aux attaques bruteforce. Cet élément supplémentaire complète utilement la panoplie de fonctionnalités, déjà très étendue, de cette distribution prometteuse. Le téléchargement de celle-ci se fera depuis cette page : https://subgraph.com/sgos/download/index.en.html.

Conclusion

Les systèmes d’exploitation présentés dans cette première partie sont tous destinés à être utilisés sur les ordinateurs personnels ou professionnels en toute sécurité. Cette sécurité suppose surtout une évaluation préalable du niveau de confidentialité des données à protéger et donc du niveau des protections à mettre en place. Dans cette perspective, cette étude aura atteint son objectif si elle permet de sélectionner un dispositif adapté aux besoins. Un tel objectif nécessitera probablement l'abandon d'habitudes prises au quotidien, pouvant nuire à cette sécurité. Il faudra donc de la rigueur et de la patience pour s'accoutumer aux nouveaux réflexes à adopter.

Il existe bien entendu d'autres systèmes d'exploitation voués à la sécurité. Cet article n'a pour but de présenter que les plus connus d'entre eux. Il est également possible d'arriver à un niveau de sécurité similaire depuis une distribution GNU/Linux classique, mais cela demanderait un travail important.

La seconde partie de cet article vous présentera les systèmes d’exploitation orientés tests d’intrusion. Vous pourrez la trouver très prochainement à cette adresse.

Bibliographie

Cette partie présente les nombreuses sources m’ayant aidé à rédiger cet article.

Introduction :

https://www.lesechos.fr/08/12/2016/lesechos.fr/0211566598845_les-ransomwares--logiciels-extorqueurs--ont-explose-en-2016.htm

http://www.globalsecuritymag.fr/Le-lourd-bilan-de-la,20180905,80653.html

https://www.01net.com/actualites/le-ransomware-bad-rabbit-cree-le-desordre-en-russie-et-ukraine-1286138.html

Partie « Vie privée, sécurité et hacking » :

https://iamapps.belgium.be/sma/generalinfo?view=privacyAndSecurity&language=fr

https://publib.boulder.ibm.com/tividd/td/ITPME/SC23-1284-00/fr_FR/HTML/p12plmst18.htm

Présentation de la distribution Qubes OS :

https://www.qubes-os.org/intro/

https://en.wikipedia.org/wiki/Qubes_OS

https://distrowatch.com/table.php?distribution=qubes

https://www.numerama.com/tech/242144-test-de-qubes-los-recommande-par-snowden-la-securite-ultime-vaut-bien-quelques-migraines.html

Présentation de la distribution Discreete-linux :

https://www.discreete-linux.org/index.html

https://www.privacy-cd.org/history.html

https://www.discreete-linux.org/features.html

https://www.discreete-linux.org/howto.html#use_pre

https://de.wikipedia.org/wiki/Ubuntu_Privacy_Remix

Présentation de la distribution Subgraph OS :

https://www.linuxtricks.fr/news/10-logiciels-libres/218-subgraph-os-alpha-une-copie-de-tails-en-mieux/

https://www.youtube.com/watch?v=mJRdFcJ9EpQ

https://en.wikipedia.org/wiki/Subgraph_(operating_system)

https://distrowatch.com/table.php?distribution=subgraph

https://subgraph.com/sgos/secure-communication/index.en.html

A propos de SUPINFO | Contacts & adresses | Enseigner à SUPINFO | Presse | Conditions d'utilisation & Copyright | Respect de la vie privée | Investir
Logo de la société Cisco, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société IBM, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Sun-Oracle, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Apple, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Sybase, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Novell, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Intel, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Accenture, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société SAP, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Prometric, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Toeic, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo du IT Academy Program par Microsoft, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management

SUPINFO International University
Ecole d'Informatique - IT School
École Supérieure d'Informatique de Paris, leader en France
La Grande Ecole de l'informatique, du numérique et du management
Fondée en 1965, reconnue par l'État. Titre Bac+5 certifié au niveau I.
SUPINFO International University is globally operated by EDUCINVEST Belgium - Avenue Louise, 534 - 1050 Brussels