[RESOLU] IPCOP V2 - commande su non disponible

[Bobm]

En IPCOP V2, la commande "su" n'est plus disponible ; c'est bien dommage

du coup, si on veut ouvrir l'accès SSH, on est obligé de donner les droits ssh au user root !!

Quelqu'un connait-il la raison de ce choix ?
et surtout quelqu'un connait-il une parade pour réinstaller cette commande ?

[jdh]

???

Pourquoi aurait on besoin de cette commande ?

Un ipcop est un firewall. Donc géré par un 'technicien' spécialiste.
C'est conçu de plus pour un contexte limité (aux couleurs strictement = pas 15 interfaces !)

Je ne vois pas le besoin d'avoir plusieurs comptes gérés par plusieurs utilisateurs pour manager un ipcop.
Une personne ou 2-3 qui utilisent le même identifiant parce que du même service informatique.

[Bobm]

IPCOP est un firewall : l'idée c'est de mieux le sécuriser en n'autorisant qu'un utilisateur dédié (autre que root) à prendre la main en accès distant via ssh.

Mais ensuite, il faut ensuite que la commande su soit dispo pour passer root si nécessaire.
Auparavant (en 1.4.21) c'était possible et j'essayais de retrouver cette fonctionnalité en IPCOP V2 ... voilà l'objet de ma question.

[jdh]

Bien sûr ssh peut interdire à root de se connecter (PermitRootLogin no).
Mais on peut déjà supposer qu'il y a filtrage d'accès à ssh, par exemple, ssh ne devrait être accessible que du côté Green.
A partir du moment où ssh n'est accessible que du côté Green, on peut penser qu'ajouter un autre utilisateur pour interdire root puis faire 'su /bin/bash' est un peu beaucoup.

Il n'y a pas une plus grande sécurité fondamentalement apporté par 'PermitRootLogin no' si ssh n'est accessible qu'en interne.
Enfin je peux me tromper ...

Néanmois, on peut trouver le lien http://sourceforge.net/mailarchive/foru ... pcop-devel
qui semble indiquer que 'sudo' n'a jamais fait partie du l'arborescence officielle.

[Franck78]

je parle pour v1.4 mais ca ne doit pas changer pour IPCop v2.

Le risque dans IPCop est qu'il se fasse percer par un utilisateur non privilégié. Comment on s'en fout, mais si cet utilisateur obtient son shell, il n'ira pas très loin. Pas de 'sudo' pour devenir root.

C'est pour ça que les helper 'suid root' font des actions très précises, fail dès qu'un paramètre est inattendu etc etc...

Il n'y aura jamais de 'sudo' et essayer de l'ajouter est une bétise.

[Vehrsey]

Ipcop Team a changé sa vision de stratégie de sécurité par rapport à la 1.4.x. Ils ont "peut-être" trouvés inutile le mode "su" puisque cela semble évident que seul un admin devrait y avoir accès et que l'accès à l'interface Green serait limité. (rire, la plus part des attaques se trouvent plutôt en interne).

C'est un choix stratégique qui leur appartient.
Gills ne s'y oppose pas et n'indique aucune mise en garde.

En principe une connexion ssh devrait être, dans un premier temps, en mode utilisateurs (ce n'est que mon avis) cela permet au moins de ralentir un attaquant ... après tout dépend du niveau de sécurité que chaque admin souhaite avoir, plus élevé ou moins élevé (plus de contraintes, moins de contraintes).
Renforcer les tentative brut force ssh en changeant de port 8022 par un autre, limité le nombre de tentatives, filtrer l'accès ssh par IP, supprimer le compte root ssh, horaires d'accès, PermitRootLogin no, ...
Bref, chacun choisit librement ce qu'il souhaite avoir....
La commande "Su" est disponible également dans la compilation Ipcop version 2 (en mode manuel, SVN tree) mais par défaut cette commande n'est pas intégrée dans la compilation ISO finale officielle.
Ci-dessous le lien de la commande Su (patch) pour ceux qui le souhaitent :

Patch su ipcop V2

Vous avez aussi le choix de le supprimer si vous en avez plus besoin :
rm /bin/su

[Bobm]

Encore Merci Vehrsey pour vos explications et la fourniture de la commande "SU".
J'ai ainsi pu mieux sécuriser les accès ssh ...