Retrouvez cet article dans : Linux Pratique Hors série 8
Réponse surprenante : non ! Aucun système informatique n'est " sécurisé ". En fait, la question est mal posée : " Est-ce qu'il existe des mécanismes de sécurité sous GNU/Linux ? " serait préférable, d'autant qu'on peut alors répondre : oui. Est-ce que ces mécanismes sont efficaces ? Cette fois, notre réponse est sibylline : cela dépend... de la manière dont ils ont été mis en place, des risques encourus par le système, des objectifs de sécurité, etc.
Prenons un exemple : soit un système W qui sert à Monsieur X à naviguer sur le net et faire ses courses en ligne. Correction : soit un vieux système W, dont aucun patch de sécurité n'a été installé depuis des années (disons depuis 6 ans ; comme ça, on appellera notre système " W2000 ".). Connectez ce système W2000 sur Internet. Qu'observe-t-on ? En une petite dizaine de minutes en moyenne, le système a été compromis par des virus, des vers, des pirates... Conclusion : notre système W2000 n'est (absolument) pas sécurisé !
Maintenant, si on prend exactement le même système et qu'on le place dans les locaux d'une enceinte militaire protégée, avec des gardes armés, et qu'on le conserve dans un coffre-fort de haute sécurité, accessible uniquement à des personnes habilitées dans une pièce ultra sécurisée, sans qu'il soit possible de connecter le système à un quelconque réseau informatique... On comprend bien que la problématique n'est pas la même, et que, malgré le fait que le système en lui-même puisse être une vraie passoire, les informations contenues à l'intérieur pourront parfaitement être sécurisées.
Donc, " sécurisé " ou " pas sécurisé " ne veut pas dire grand-chose. On peut se poser la question différemment : est-ce que mon système offre une sécurité adéquate pour l'usage que je compte en faire ?
Quelle sécurité, pour quels besoins ?
Il est quasiment impossible de faire un tour exhaustif de l'ensemble des mécanismes de sécurité disponibles pour GNU/Linux tant ils sont nombreux. On citera néanmoins quelques outils :
- Pour la maîtrise du trafic : à part l'utilisation de mots de passe solides (sur le sujet, on ne sera jamais assez préventif !), le b-a ba de la sécurité dans un environnement interconnecté est vraiment le firewall (ex. : Netfilter, http://www.netfilter.org/). Beaucoup de distributions Linux sont livrées aujourd'hui avec un firewall préconfiguré pour une utilisation standard du système, ce qui évite la problématique de la configuration du firewall pour quelqu'un qui n'est pas expert. Un firewall permet de maîtriser les flux entrants et sortants de votre machine, et c'est déjà beaucoup !
- Pour l'e-mail : en pratique, même si ce n'est pas de la sécurité au sens strict du terme, on conseille généralement d'ajouter un antispam à son système, afin d'avoir à éviter de trier pendant des heures les vrais mails des annonces publicitaires. Ainsi, on risque moins de cliquer sur tous les programmes vérolés envoyés par les pirates. Jetez un œil à Spamassassin (http://spamassassin.apache.org/), c'est un excellent programme pour cela.
- Pour la sauvegarde des données : si vous souhaitez conserver des données sensibles, pensez à programmer automatiquement des backups (Zip, Amanda, Dump/restore, etc.) ; mais attention cependant à la sécurité de ces informations (confidentialité, intégrité...).
Voilà déjà quelques mesures simples que l'on peut relativement facilement mettre en place et qui sont en pratique assez efficaces.
Vous êtes plutôt parano ? Pour les personnes qui sont plus soucieuses de leur sécurité, quelques outils supplémentaires s'imposent : GnuPG pour chiffrer ses mails, ses backups, etc., des outils de détection d'intrusion (Snort, Aide,...), et un scanner de vulnérabilités pour tester régulièrement sa machine (Nessus...) et vérifier que tout se passe comme on le voulait.
On pourra encore augmenter la sécurité de Linux en ajoutant des modules au noyau du système comme Grsecurity, qui, parmi une multitude de fonctionnalités de sécurité permet de rendre la pile non exécutable, et (sans entrer trop dans les détails) de rendre la vie beaucoup plus difficile à celui qui souhaiterait prendre le contrôle de votre système. A ce niveau, normalement, les contraintes de sécurité commencent à peser sur l'utilisation du système. Eh oui, plus vous restreindrez les éventuelles utilisations malveillantes de votre machine, plus vous serez vous-même contraint de veiller à votre propre utilisation de cette même machine ! Plus question de télécharger et d'exécuter n'importe quoi !
Mais on peut encore largement augmenter la sécurité en utilisant des modèles plus complexes de sécurité, comme le permettent par exemple SELinux, développé et utilisé par une célèbre agence de sécurité américaine. Ces modules permettent de définir une granularité extrêmement fine dans les permissions d'usage du système (des utilisateurs, des process, des sockets, etc.). A ce stade, vous devez avoir appliqué les principes fondamentaux de la sécurité : supprimer tous les programmes qui ne sont pas strictement nécessaires dans votre système, définir et formaliser une politique de sécurité tenue à jour et régulièrement auditée, etc. Autrement dit, une telle machine est bien loin de l'ordinateur " multimédia " dont on se sert presque tous !
La sécurité dans GNU/Linux, comme dans tout autre système, dépend de vos besoins, de vos moyens et des contraintes que vous serez prêt à supporter...
Retrouvez cet article dans : Linux Pratique Hors série 8
