Geekeries diverses

Il est très probable que tout ceux qui sont un peu sensibilisé à la sécurité le connaissent mais pour ceux qui ne le connaissent pas je vous présente un “Password Strength Checker”.

Gni? ça veut dire quoi ça? En gros il teste la force de votre mot de passe en utilisant série d’algos (qu’il explique très bien d’ailleurs).

Et pour vous donner un exemple en image ça donne ceci:

Voilà le site: http://www.passwordmeter.com/

Vous pouvez taper votre vrai mot de passe (tout se passe en js coté navigateur) mais j’ai tendance à être parano et ne jamais taper que des dérivés ;-)

Pour placer un garde fou au niveau réseau sur vos serveurs ces quelques bases vous seront utiles:

• en entrée par défaut couper tout
• en sortie par défaut autoriser tout (c’est pas spécialement une bonne politique, mais c’est un premier jet)
• ouverture du port ssh de façon limitée
• ouverture du port http ET https

Et pour moi c’est tout.

Je vais reporter tout ça dans un tit script ansible ;-)

# become must be on each ufw if not I got a 'ERROR: You need to be root to run this script'

- name: Limit ssh access (brutforce)
  ufw:
    rule: limit
    port: ssh
    proto: tcp
  become: true

- name: Incoming disabled as default
  ufw:
    direction: incoming
    policy: deny
  become: true

- name: Outcoming enabled as default
  ufw:
    direction: outgoing
    policy: allow
  become: true

- name: Enable UFW
  ufw:
    state: enabled
  become: true

- name: Http server
  ufw:
    rule: allow
    port: http
    proto: tcp
  become: true

- name: Https server
  ufw:
    rule: allow
    port: https
    proto: tcp
  become: true

- name: Set logging
  ufw:
    logging: on
  become: true

Petit truc vachement pratique et piqué chez : fluoblog pour remplacer la longue et ‘complexe’ procédure de génération de clé publique, copie via scp sur le serveur, puis inclusion dans le bon fichier.

C’est simplement :

ssh-keygen -t rsa #Génération de votre clé publique

ssh-copy-id utilisateur@serveur #Copie sur le serveur votre clé publique sous l’utilisateur distant ‘utilisateur‘

Et c’est tout, il ne faudra plus vous logguer pour accèder à votre serveur depuis votre PC (et uniquement le votre sous l’utilisateur donné) plutôt sympa non ?

PS : Évidemment, ne faites pas ça sur un ordinateur partagé si un seul compte utilisateur est disponible, et ne faites pas ça si votre ordinateur est insuffisamment protégé (auto signout sur proximité bluetooth et aussi un mot de passe un peu solide sont le minimum syndical pour une sécurité de base).