spectras
:
Linux + grsec le fait aussi, et ce genre de protection est bien, mais un petit RBAC est un plus : avec ça, meme si un gars chope un acces root, il ne peut rien faire quand meme...
Je viens de vérifier grsec ne fait pas le swap crypté
grsec non, il fait le reste de cette partie de citation. la swap est cryptable avec dm-crypt ou loop-aes
Avec un peu de conf
, ça se fait aussi sous linux, RBAC aide bien a ce niveau (pour interdire le bind de certains process sur certains ports, interdire certains appels système, etc...)
En fait je dirais même avec beaucoup de conf (essaie tu verras t'as plein de merdes avec le /lib qui est plus accessible, php qui peut pas se charger, mysql qui refuse de collaborer avec apache).
C'est pas ça qui m'a franchement gené, ça se fait relativement bien
Bah mon linux (Gentoo) compilé avec les patch pie/ssp (protection contre les stack overflow) + grsec + RBAC (Role based access Control, un peu chiant a configurer)
Ben mon serveur c'est une OpenBSD pas recompilée sans patches sans sucre ajouté ^^
Sans compter que le patch pie/ssp ne protège pas "contre les stack overflow" mais contre certaines formes de stacks overflows seulement.
Bah oui, peut-etre, mais OpenBSD est prévu pour ça dès le départ, un linux n'est vraiment bien sécurisé qu'avec ces choses (je ne crois pas me tromper en disant que pie/ssp est intégré de base a OpenBSD par exemple), et tout bon admin qui met en place un serveur sécurisé sous linux utilise ces choses, c'est pas du "sucre ajouté", c'est des patches très bein intégrés et d'utilisation TRÈS courant dans le domaine du serveur... Et si pie/ssp protège contre certains stack overflows, ajoute le à PAX, notamment Mprotect (inclu dans grsec), et ça devient tout de suite beaucoup plus efficace.
pour sécuser a fond, je trouve que ça demande vraiment plus de boulot que pour maitriser un grsec avec son RBAC associé, pour un niveau de sécurisation sensiblement équivalent
OpenBSD est "secure by default". Tu l'installes et tu as immédiatement, dans la configuration de base, sans rien toucher, un système qui est bien plus sécure que ta gentoo recompilée et patchée de partout.
Si j'était vraiment motivé, je te mettrai au défit de pirater un linux patché de la sorte (et je répete, c pas du patch fait n'importe comment, c'est du patch très utilisé et très intégré, une RHEL et beaucoup de linux serveur (tous devraient d'ailleurs) utilisent ça). Et puis ma Gentoo, elle est pas "recompilée", elle est "compilée", c'est uniquement des sources, hein
, meme si j'avais pas ajouté ces patchs, j'aurais tout compilé, et puis l'intégration de ces patchs est tellement bien faite, qu'il suffit de changer 2 flags et hop, ils sont utilisés direct, sans plus se faire chier
C'est pas BÔ de lancer des trolls comme ça à l'approche des fêtes
Ce n'était pas un troll, je présentais OpenBSD pour ce qu'elle est : une distribution pour laquelle une seule faille a été découverte en 8 ans dans l'install de base (qui inclue apache le serveur ftp, le serveur ssh...).
C'est pas tout a fait vrai : toutes les failles openSSH ont aussi affecté OpenBSD au meme titre que les autres plateformes, et si tu n'updates pas, c'est pas plus sécure que le reste, y a pas de secret, pour rester sécure, faut faire SOUVENT les updates de sécurité, une openBSD d'il y a 2-3ans est autant piratable que n'importe quel linux sans updates
Et si ce genre de choses (pie/ssp/grsec/RBAC) n'est pas intégré de base sur les linux courant, c'est parceque ça apporte d'importantes contraintes au niveau de l'administration et de l'utilisation des programmes, qui sont inutiles pour un linux courant. Il ne faut pas perdre de vue la grande polyvalence de linux
[Edit]
sur ce, je vais me coucher, j'ai pas que ça a foutre en fait, et puis c'est très bien que les 2 alternatives existent
)
, meme si j'avais pas ajouté ces patchs, j'aurais tout compilé, et puis l'intégration de ces patchs est tellement bien faite, qu'il suffit de changer 2 flags et hop, ils sont utilisés direct, sans plus se faire chier 
