ldbGlobe

Quand on gère un parc de site web important un problème reviens régulièrement ... la mise à jour et la sécurisation des machines qui héberge ces sites.

Tant que la distribution linux en place est encore supporté on lance une mise à jour et pouf on est à peu près tranquille. Mais une fois la date de péremption passé c'est une autre histoire. Car faute de simple mise à jour c'est une réinstallation complète de la machine qui doit avoir lieu. Généralement cela induit des coupures de services pour les clients qui ont du mal à accepter cet état de fait. Et pourtant ce sont les même qui après coup viennent se plaindre d'avoir des problème de mails car la machine à servit à spammer le monde entier faute d'une mise à jour dans les règles.

Au final ce genre d'opération reviens donc à migrer tout le contenu de la machine ailleurs. La difficulté est alors de mettre à jour les DNS de chacun des sites. Dans certains cas on peux faire suivre l'IP simplement d'une machine A à une machine B mais généralement il y à toujours un site qui pose problème et qui ne peux être migré en même temps que les autres du coup on en reviens à des problème de DNS. On à alors deux cas de figures.

1. On dispose des droits d'administration du domaine (identifiant du registrar) et on peux donc organiser la migration dans des conditions optimales
2. Le client tient à conserver la maitrise de son nom de domaine et veux tout faire lui même ... la c'est un poil plus compliqué

Soit il sait ce qu'il fait et il est réactif et tout vas pour le mieux. Soit il ne sait pas trop ce qu'il fait et une fois sur deux son site n'est plus accessible et il me tient pour responsable de tout les malheurs du monde. Soit il à tout simplement la flemme de faire les changements et la migration ne peux avoir lieu. Généralement sur un serveur hébergent une trentaine de site les deux tiers ne pose pas de soucis, et pour le reste c'est 50/50 entre ceux pour lesquels ça se règle avec un peu d'assistance technique et et ceux qui ne font rien. Pour ces derniers nous sommes contraint de maintenir leur site en activité et les vieux serveurs continu d'être vieux et troué comme de vieilles chaussettes.

Et voila qu'aujourd'hui je me retrouve avec un serveur qui sert de bot et qui attaque des dizaine d'autre machine car un site traine encore dessus après près d'un an d'attente et une bonne dizaine de relance après du client.

Le pire dans tout cas c'est que pour entrer sur la machine les hackers ont utilisé une faille dans ... "un patch de sécurité du noyau" si c'est pas un comble ...

Bref sous linux y'a pas de virus il parait ... mais y'a un paquet de connard qui n'ont vraiment pas grand chose à faire.

Aujourd'hui Iris à enfin dit Papa pour autre chose que du pain ^^

Depuis quelques temps les 6 serveurs dédié de la société pour laquelle je travail sont la cible de script kiddies.

Résultat : 4 machines blacklisté pour envoi de spam et 1 machine entièrement réinstallé suite à un avertissement de notre prestataire.
Sur les 2 derniers mois ça représente au compteur près de 100 heures d'interventions diverse pour contrer ces petits malins.

Les solutions misent en place début aout avait eu un petit succès mais pas de réussite total et nous devions changer les mots de passes un peu trop souvent.

Après avoir regardé un peu les solutions à ma disposition (typiquement désactivation des accès de haut niveau, mise en place de Fail2ban et autre mesure limitative) sans grand succès, j'ai commencé à cherché une méthode pour fermer purement est simplement la machine au publique. Au lieu de compter sur des mots de passe pourquoi ne pas plutôt compter sur un bon par feu limitant l'accès au service tendancieux à une série d'IP bien précise.

Pour les dev travaillant dans les locaux de l'entreprise pas de soucis, on autorise l'IP est le tour et joué ... mais pour moi qui dispose d'une IP renouvelé régulièrement je n'avais pas de solution. Puis au détour d'un forum je vois quelqu'un parler de "Port-Knocking" un bien étrange mot mais qui sonne agréablement à mes oreilles.

Pour ceux qui ont eu la flemme de lire l'article sur Wikipédia, le principe et simple et il s'apparente un peu à un mot de passe frappé à une porte tel un toc ... toc .. toctoctoc ... Le rythme des coup étant ici remplacé par les ports réseau

Si la séquence est bonne une action est exécuté. Pour moi l'action résultante et une autorisation d'accès de l'IP ayant frappé vers une ressource précise

L'avantage de cette solution est que le nombre de combinaison possible est immense (+ de 65000 port ... combien de combinaison pour 3 coup ? et pour 10 ?).
Bref ça rajoute une sacré couche aux mesures déjà déployées.

Reste à voir si le résultat est au rendez vous

Non il ne s'agit pas de faire l'éloge du bio et de cracher sur la malbouffe. Il s'agit plutôt d'alimentation d'un type plus carré et métallique tel qu'on en trouve dans nos petit joujou hi-tech ^^

Bref voici l'histoire d'un PC acheté il y à quelques petits mois et qui tout petit déjà souffrait d'un problème de bruit non négligeable (c'est bien connu les enfants sont bruyant). Dans mon cas une petite opération s'imposait et j'avais donc remplacé le ventilateur de l'alimentation - vous voyez on y arrive - par une version bien plus silencieuse. Tout allait bien jusqu'à ce que j'ajoute dans le ventre de la bête deux nouveau disque dur (pas si nouveau que ça d'ailleurs)... apparemment le rail de 12v n'a pas supporté bien longtemps cette nouvelle demande d'énergie et à fondu cette nuit me laissant face à un bloc de métal froid et inerte TT_TT

En attendant de recevoir un alimentation neuve j'ai remplacé la défunte par une autre que j'avais sous la main...

Au fait c'était une alimentation Cooler Master de 600W "Silent Pro" ... qui aurait pu être estampillé Dyson tant par son bruit elle pouvait ressembler à un aspirateur.

Si comme moi vous êtes spectateur du "Joueur du Grenier", vous n'aurez pas manqué son émission du 26 janvier 2010 qui déroge à la la règle en ne traitant non pas d'un jeux vidéo tristement célèbre (ou pas) mais plutôt d'une émission de télé de notre d'il y à longtemps "Téléchat".

Manifestement il n'a pas aimé et dans les commentaires visible sur dailymotion il y à pas mal de gens qui pense comme lui (je passerais sur ceux qui n'ayant jamais vu l'émission bave dessus au regard des extraits commenté par de manière très subjective par notre joueur du grenier)

Bizarrement j'ai plutôt un bon souvenir de Téléchat. Un humour bizarre surement dérangeant mais un esprit vraiment sympa et déjanté. Pour moi on y retrouve l'esprit décalé des Shadock avec une très grande doses de n'importe quoi sur un fond de réalité.