harden-doc - en to fr translation catalogue (2369 entries)

note: type: definition of entity &language;
en: en
fr: fr

note: type: <version></version>
en: &version;, built on &docdate;
fr: &version;, construite le &docdate;

note: type: <abstract></abstract>
en: This document describes security in the Debian project and in the Debian operating system. Starting with the process of securing and hardening the default Debian GNU/Linux distribution installation, it also covers some of the common tasks to set up a secure network environment using Debian GNU/Linux, gives additional information on the security tools available and talks about how security is enforced in Debian by the security and audit team.
fr: Ce document décrit la sécurité dans le projet Debian ainsi que dans le système d'exploitation Debian. Il commence par la sécurisation et le renforcement de l'installation standard d'une distribution Debian GNU/Linux. Il couvre quelques tâches courantes telles que la sécurisation d'un réseau utilisant Debian GNU/Linux et il donne également des informations complémentaires sur les outils de sécurisation disponibles ainsi que sur le travail accompli au sein du projet Debian par l'équipe en charge de la sécurité et par l'équipe d'audit.

note: type: <p></p>
en: Permission is granted to copy, distribute and/or modify this document under the terms of the <url id="&gplhomev2;" name="GNU General Public License, Version 2"> or any <url id="&gplhome;" name="later version"> published by the Free Software Foundation. It is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY.
fr: Permission is granted to copy, distribute and/or modify this document under the terms of the <url id="&gplhome;" name="GNU General Public License, Version 2"> or any <url id="&gplhome;" name="later version"> published by the Free Software Foundation. It is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY.

note: type: <p></p>
en: One of the hardest things about writing security documents is that every case is unique. Two things you have to pay attention to are the threat environment and the security needs of the individual site, host, or network. For instance, the security needs of a home user are completely different from a network in a bank. While the primary threat a home user needs to face is the script kiddie type of cracker, a bank network has to worry about directed attacks. Additionally, the bank has to protect their customer's data with arithmetic precision. In short, every user has to consider the trade-off between usability and security/paranoia.
fr: L'une des choses les plus difficiles dans l'écriture de documents liés à la sécurité est que chaque cas est unique. Il faut prêter attention à deux choses&nbsp;: la menace que constitue l'environnement et les besoins de sécurité liés à un site individuel, une machine ou un réseau. Par exemple, les exigences que l'on a pour une utilisation familiale n'ont rien de comparable aux exigences que l'on retrouve dans le réseau d'une banque. Alors que dans le premier cas, l'utilisateur aura à affronter de simples scripts d'attaque, le réseau d'une banque sera, lui, sous la menace d'attaques directes. De plus, la banque se doit de protéger l'exactitude des données de ses clients. Il faudra donc que chaque utilisateur trouve le bon compromis entre la facilité d'utilisation et la sécurité poussée à l'extrême.

note: type: <p></p>
en: Note that this manual only covers issues relating to software. The best software in the world can't protect you if someone can physically access the machine. You can place it under your desk, or you can place it in a hardened bunker with an army in front of it. Nevertheless the desktop computer can be much more secure (from a software point of view) than a physically protected one if the desktop is configured properly and the software on the protected machine is full of security holes. Obviously, you must consider both issues.
fr: Prenez conscience que cet ouvrage traite uniquement des questions liées aux logiciels. Le meilleur programme du monde ne pourra pas vous protéger contre quelqu'un qui aura un accès physique à la machine. Vous pouvez mettre la machine sous le bureau ou dans un bunker protégé par une armée. Pourtant, un ordinateur de bureau avec une bonne configuration sera beaucoup plus sûr (d'un point de vue logiciel) qu'un ordinateur protégé physiquement si son disque dur est truffé de logiciels connus pour avoir des failles de sécurité. Bien entendu, vous devez prendre en compte les deux aspects.

note: type: <p></p>
en: This document just gives an overview of what you can do to increase the security of your Debian GNU/Linux system. If you have read other documents regarding Linux security, you will find that there are common issues which might overlap with this document. However, this document does not try to be the ultimate source of information you will be using, it only tries to adapt this same information so that it is meaningful to a Debian GNU/Linux system. Different distributions do some things in different ways (startup of daemons is one example); here, you will find material which is appropriate for Debian's procedures and tools.
fr: Ce document donne simplement un aperçu de ce qu'il est possible de faire pour accroître la sécurité du système Debian GNU/Linux. Si vous avez déjà lu des ouvrages traitant de la sécurité sous Linux, vous trouverez des similitudes avec ce document. Ce manuel ne prétend pas être l'ultime source d'informations à laquelle vous devez vous référer. Il essaye seulement d'adapter ces informations pour le système Debian GNU/Linux. D'autres distributions procèdent de manière différente pour certaines questions (le démarrage de démons est un exemple courant)&nbsp;; vous trouverez dans cet ouvrage les éléments propres aux procédures et aux outils de Debian.

note: type: <heading></heading>
en: Authors
fr: Auteurs

note: type: <p></p>
en: The current maintainer of this document is <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña">. Please forward him any comments, additions or suggestions, and they will be considered for inclusion in future releases of this manual.
fr: Le responsable actuel de ce document est <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña">. Veuillez lui envoyer vos commentaires, ajouts et suggestions et ils seront examinés pour une possible inclusion dans les prochaines versions de ce manuel.

note: type: <p><list>
en: This manual was started as a <em>HOWTO</em> by <url id="mailto:ar@rhwd.de" name="Alexander Reelsen">. After it was published on the Internet, <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña"> incorporated it into the <url id="http://www.debian.org/doc" name="Debian Documentation Project">. A number of people have contributed to this manual (all contributions are listed in the changelog) but the following deserve special mention since they have provided significant contributions (full sections, chapters or appendices):
fr: Ce manuel a été lancé en tant que <em>HOWTO</em> par <url id="mailto:ar@rhwd.de" name="Alexander Reelsen">. Après sa publication sur Internet, <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña"> l'a incorporé dans le <url id="http://www.debian.org/doc" name="Projet de Documentation Debian">. Un certain nombre de personnes ont contribué à ce manuel (la liste de toutes les contributions est dans le journal de modifications), mais les personnes suivantes méritent une mention spéciale car elles ont fourni des contributions significatives (des sections, chapitres ou annexes complets)&nbsp;:

note: type: <p></p>
en: Stefano Canepa
fr: Stefano Canepa ;

note: type: <p></p>
en: Era Eriksson
fr: Era Eriksson ;

note: type: <p></p>
en: Carlo Perassi
fr: Carlo Perassi ;

note: type: <p></p>
en: Alexandre Ratti
fr: Alexandre Ratti ;

note: type: <p></p>
en: Jaime Robles
fr: Jaime Robles ;

note: type: <p></p>
en: Yotam Rubin
fr: Yotam Rubin ;

note: type: <p></p>
en: Frederic Schutz
fr: Frederic Schutz ;

note: type: <p></p>
en: Pedro Zorzenon Neto
fr: Pedro Zorzenon Neto ;

note: type: <p></p>
en: Oohara Yuuma
fr: Oohara Yuuma ;

note: type: <p></p>
en: Davor Ocelic
fr: Davor Ocelic.

note: type: <heading></heading>
en: Where to get the manual (and available formats)
fr: Où récupérer ce manuel (et formats disponibles)

note: type: <p></p>
en: You can download or view the latest version of the Securing Debian Manual from the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/" name="Debian Documentation Project">. If you are reading a copy from another site, please check the primary copy in case it provides new information. If you are reading a translation, please review the version the translation refers to to the latest version available. If you find that the version is behind please consider using the original copy or review the <ref id="changelog"> to see what has changed.
fr: Vous pouvez télécharger ou consulter la dernière version du manuel de sécurisation Debian sur le site du <url id="http://www.debian.org/doc/manuals/securing-debian-howto/" name="projet de documentation de Debian">. Si vous lisez une copie depuis un autre site, veuillez vérifier la version d'origine au cas où elle fournirait des informations plus récentes. Si vous lisez une traduction, veuillez vérifier que la version à laquelle se réfère cette traduction est la dernière version disponible. Si vous notez que la version est en retard, veuillez utiliser la version d'origine ou consultez le <ref id="changelog"> pour voir ce qui a changé.

note: type: <p></p>
en: If you want a full copy of the manual you can either download the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.en.txt" name="text version"> or the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.en.pdf" name="PDF version"> from the Debian Documentation Project's site. These versions might be more useful if you intend to copy the document over to a portable device for offline reading or you want to print it out. Be forewarned, the manual is over two hundred pages long and some of the code fragments, due to the formatting tools used, are not wrapped in the PDF version and might be printed incomplete.
fr: Si vous désirez obtenir une copie complète de ce manuel, vous pouvez télécharger le document au <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.fr.txt" name="format texte"> ou au <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.fr.pdf" name="format PDF"> depuis le site du projet de documentation Debian. Ces versions peuvent être plus utiles si vous avez l'intention de copier le document vers une machine portable pour lecture hors ligne ou si vous voulez l'imprimer. Soyez prévenu que le manuel fait plus de deux cents pages et que certains des fragments de code, à cause des outils de formatage utilisés, ne sont pas coupés dans la version PDF et peuvent donc s'imprimer de façon incomplète.

note: type: <p></p>
en: The document is also provided in text, html and PDF formats in the <url id="http://packages.debian.org/harden-doc" name="harden-doc"> package. Notice, however, that the package maybe not be completely up to date with the document provided on the Debian site (but you can always use the source package to build an updated version yourself).
fr: Le document est également fourni aux formats texte, HTML et PDF dans le paquet <url id="http://packages.debian.org/harden-doc" name="harden-doc">. Cependant, notez que le paquet peut ne pas être tout à fait à jour par rapport au document fourni sur le site Debian (mais vous pouvez toujours utiliser le paquet source pour construire vous-même une version à jour).

note: type: <p><example>
en: This document is part of the documents distributed by the <url id="https://www.debian.org/doc/ddp" name="Debian Documentation Project">. You can review the changes introduced in the document using a web browser and obtaining information from the <url id="http://anonscm.debian.org/viewvc/ddp/manuals/trunk/securing-howto" name="version control logs online">. You can also checkout the code using SVN with the following call in the command line:
fr: Ce document fait partie des documents distribués par le <url id="https://www.debian.org/doc/ddp" name="Projet de documentation Debian">. Les modifications introduites à ce document sont consultables à l'aide d'un navigateur web depuis les <url id="http://anonscm.debian.org/viewvc/ddp/manuals/trunk/securing-howto" name="journaux en ligne du système de gestion de version">. Vous pouvez aussi obtenir l'intégralité du code en utilisant Subversion :

note: type: <heading></heading>
en: Organizational notes/feedback
fr: Avis et réactions

note: type: <p></p>
en: Now to the official part. At the moment I (Alexander Reelsen) wrote most paragraphs of this manual, but in my opinion this should not stay the case. I grew up and live with free software, it is part of my everyday use and I guess yours, too. I encourage everybody to send me feedback, hints, additions or any other suggestions you might have.
fr: Maintenant, la partie officielle. Pour l'instant, c'est Alexander Reelsen qui a écrit la plupart des paragraphes de ce manuel mais, selon lui, cela devrait évoluer. Il a grandi et vécu avec les logiciels libres : « c'est une part de ma vie quotidienne et, j'espère, de la vôtre aussi ». Il encourage chacun à lui envoyer ses réactions, astuces, ajouts ou suggestions.

note: type: <p></p>
en: If you think, you can maintain a certain section or paragraph better, then write to the document maintainer and you are welcome to do it. Especially if you find a section marked as FIXME, that means the authors did not have the time yet or the needed knowledge about the topic. Drop them a mail immediately.
fr: Si vous pensez que vous pouvez vous occuper d'une partie en particulier ou d'un paragraphe, écrivez au responsable du document. Cela sera apprécié&nbsp;! En particulier, si vous trouvez une section estampillée «&nbsp;FIXME&nbsp;», qui signifie que les auteurs n'ont pas eu le temps ou les connaissances requises pour s'en occuper, envoyez-leur un courrier immédiatement.

note: type: <p></p>
en: The topic of this manual makes it quite clear that it is important to keep it up to date, and you can do your part. Please contribute.
fr: Le thème de ce manuel fait clairement comprendre qu'il est important de tenir ce manuel à jour&nbsp;; vous pouvez apporter votre pierre à l'édifice. S'il vous plaît, aidez-nous.

note: type: <heading></heading>
en: Prior knowledge
fr: Connaissances requises

note: type: <p></p>
en: The installation of Debian GNU/Linux is not very difficult and you should have been able to install it. If you already have some knowledge about Linux or other Unices and you are a bit familiar with basic security, it will be easier to understand this manual, as this document cannot explain every little detail of a feature (otherwise this would have been a book instead of a manual). If you are not that familiar, however, you might want to take a look at <ref id="references"> for where to find more in-depth information.
fr: L'installation de Debian GNU/Linux n'est pas très difficile et vous avez sans doute été capable de l'installer. Si vous disposez déjà de connaissances concernant Linux ou d'autres systèmes UNIX et si vous êtes quelque peu familier avec les problèmes élémentaires de sécurité, il vous sera plus facile de comprendre ce manuel, car ce document ne peut pas entrer dans tous les petits détails (sans quoi cela aurait été un livre plutôt qu'un manuel). Si vous n'êtes pas si familier que cela avec ces systèmes, vous pouvez consulter <ref id="references"> pour savoir où trouver des informations plus approfondies sur le sujet.

note: type: <heading></heading>
en: Things that need to be written (FIXME/TODO)
fr: Éléments à écrire (FIXME/TODO)

note: type: <p></p>
en: This section describes all the things that need to be fixed in this manual. Some paragraphs include <em>FIXME</em> or <em>TODO</em> tags describing what content is missing (or what kind of work needs to be done). The purpose of this section is to describe all the things that could be included in the future in the manual, or enhancements that need to be done (or would be interesting to add).
fr: Cette section décrit toutes les choses à corriger dans ce manuel. Certains paragraphes incluent des marques <em>FIXME</em> ou <em>TODO</em> décrivant quel contenu est manquant (ou quel type de travail doit être réalisé). Le but de cette section est de décrire toutes les choses qui devraient être incluses à l'avenir dans le manuel ou les améliorations à faire (ou qu'il serait intéressant d'ajouter).

note: type: <p><list>
en: If you feel you can provide help in contributing content fixing any element of this list (or the inline annotations), contact the main author (<ref id="authors">).
fr: Si vous pensez que vous pouvez apporter une contribution au contenu en corrigeant tout élément de cette liste (ou des annotations dans le texte lui-même), veuillez contacter l'auteur principal (<ref id="authors">).

note: type: <p></p>
en: This document has yet to be updated based on the latest Debian releases. The default configuration of some packages need to be adapted as they have been modified since this document was written.
fr: Ce document doit encore être mis à jour en fonction des dernières publications de Debian. La configuration par défaut de certains paquets doit être adaptée car elles ont été modifiées depuis que ce document a été écrit.

note: type: <p></p>
en: Expand the incident response information, maybe add some ideas derived from Red Hat's Security Guide's <url id="http://www.redhat.com/docs/manuals/linux/RHL-9-Manual/security-guide/ch-response.html" name="chapter on incident response">.
fr: Développer les informations sur la réponse aux incidents, peut-être ajouter quelques idées dérivées du Guide de la sécurité de Red Hat au <url id="http://www.redhat.com/docs/manuals/linux/RHL-9-Manual/security-guide/ch-response.html" name="chapitre sur la réponse aux incidents">.

note: type: <p></p>
en: Write about remote monitoring tools (to check for system availability) such as <package>monit</package>, <package>daemontools</package> and <package>mon</package>. See <url id="http://linux.oreillynet.com/pub/a/linux/2002/05/09/sysadminguide.html">.
fr: Écrire sur les outils de surveillance à distance (pour vérifier la disponibilité du système) tels que <package>monit</package>, <package>daemontools</package> et <package>mon</package>. Consultez <url id="http://linux.oreillynet.com/pub/a/linux/2002/05/09/sysadminguide.html">.

note: type: <p></p>
en: Consider writing a section on how to build Debian-based network appliances (with information such as the base system, <package>equivs</package> and FAI).
fr: Envisager la rédaction d'une section sur la construction d'applications orientées réseau pour Debian (avec des informations telles que le système de base, <package>equivs</package> et FAI).

note: type: <p></p>
en: Check if <url id="http://www.giac.org/practical/gsec/Chris_Koutras_GSEC.pdf"> has relevant info not yet covered here.
fr: Vérifier si <url id="http://www.giac.org/practical/gsec/Chris_Koutras_GSEC.pdf"> n'a pas d'informations pertinentes non traitées ici.

note: type: <p></p>
en: Add information on how to set up a laptop with Debian <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf">.
fr: Ajouter des informations sur la manière de configurer un portable avec Debian <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf">.

note: type: <p></p>
en: Add information on how to set up a firewall using Debian GNU/Linux. The section regarding firewalling is oriented currently towards a single system (not protecting others...) also talk on how to test the setup.
fr: Comment mettre en place un pare-feu en utilisant Debian GNU/Linux. La section sur les pare-feu concerne actuellement un système isolé (pas de protection d'autres machines, etc.). Comment tester la configuration.

note: type: <p></p>
en: Add information on setting up a proxy firewall with Debian GNU/Linux stating specifically which packages provide proxy services (like <package>xfwp</package>, <package>ftp-proxy</package>, <package>redir</package>, <package>smtpd</package>, <package>dnrd</package>, <package>jftpgw</package>, <package>oops</package>, <package>pdnsd</package>, <package>perdition</package>, <package>transproxy</package>, <package>tsocks</package>). Should point to the manual for any other info. Note that <package>zorp</package> is now available as a Debian package and <em>is</em> a proxy firewall (they also provide Debian packages upstream).
fr: Paramétrage d'un serveur mandataire pare-feu avec Debian GNU/Linux et faire un état des lieux des paquets fournissant des services <em>proxy</em> (tels que <package>xfwp</package>, <package>ftp-proxy</package>, <package>redir</package>, <package>smtpd</package>, <package>dnrd</package>, <package>jftpgw</package>, <package>oops</package>, <package>pdnsd</package>, <package>perdition</package>, <package>transproxy</package>, <package>tsocks</package>). Renvoi au manuel pour toute autre information. Considérer également que <package>zorp</package> est maintenant disponible comme paquet Debian et qu'il <em>s'agit</em> d'un mandataire pare-feu (il existe également des paquets Debian fournis par les auteurs).

note: type: <p></p>
en: Information on service configuration with file-rc.
fr: Informations sur la configuration des services avec file-rc.

note: type: <p></p>
en: Check all the reference URLs and remove/fix those no longer available.
fr: Vérifier toutes les URLs et supprimer ou corriger celles qui ne sont plus disponibles.

note: type: <p><list>
en: Add information on available replacements (in Debian) for common servers which are useful for limited functionality. Examples:
fr: Ajouter des informations sur les substituts de serveurs typiques (disponibles dans Debian) qui fournissent des fonctionnalités restreintes. Par exemple&nbsp;:

note: type: <p></p>
en: local lpr with cups (package)?
fr: lpr local par CUPS (paquet)&nbsp;?&nbsp;;

note: type: <p></p>
en: remote lrp with lpr
fr: lrp distant par lpr&nbsp;;

note: type: <p></p>
en: bind with dnrd/maradns
fr: BIND par dnrd/maradns&nbsp;;

note: type: <p></p>
en: apache with dhttpd/thttpd/wn (tux?)
fr: Apache par dhttpd/thttpd/wn (tux?)&nbsp;;

note: type: <p></p>
en: exim/sendmail with ssmtpd/smtpd/postfix
fr: Exim/Sendmail par ssmtpd/smtpd/postfix&nbsp;;

note: type: <p></p>
en: squid with tinyproxy
fr: Squid par tinyproxy&nbsp;;

note: type: <p></p>
en: ftpd with oftpd/vsftp
fr: ftpd par oftpd/vsftpd&nbsp;;

note: type: <p></p>
en: ...
fr: etc.

note: type: <p><list>
en: More information regarding security-related kernel patches in Debian, including the ones shown above and specific information on how to enable these patches in a Debian system.
fr: De plus amples informations concernant les correctifs spécialisés dans la sécurité du noyau dans Debian, incluant ceux montrés ci-dessus et ajouter des informations spécifiques sur la façon d'activer ces correctifs dans un système Debian.

note: type: <p></p>
en: Linux Intrusion Detection (<package>kernel-patch-2.4-lids</package>)
fr: Linux Intrusion Detection (<package>kernel-patch-2.4-lids</package>)&nbsp;;

note: type: <p></p>
en: Linux Trustees (in package <package>trustees</package>)
fr: Linux Trustees (paquet <package>trustees</package>)&nbsp;;

note: type: <p></p>
en: <package>linux-patch-openswan</package>
fr: <package>linux-patch-openswan</package>.

note: type: <p></p>
en: Details of turning off unnecessary network services (besides <prgn>inetd</prgn>), it is partly in the hardening procedure but could be broadened a bit.
fr: Précisions sur l'arrêt de services réseaux inutiles (outre <prgn>inetd</prgn>)&nbsp;; c'est en partie dans la procédure de consolidation mais pourrait être élargi un petit peu.

note: type: <p></p>
en: Information regarding password rotation which is closely related to policy.
fr: Informations sur le renouvellement des mots de passe&nbsp;; c'est étroitement lié à la politique mise en place.

note: type: <p></p>
en: Policy, and educating users about policy.
fr: Politique de sécurité et formation des utilisateurs.

note: type: <p></p>
en: More about tcpwrappers, and wrappers in general?
fr: Davantage à propos de tcpwrappers, et de l'encapsulation en général&nbsp;?

note: type: <p></p>
en: <file>hosts.equiv</file> and other major security holes.
fr: <file>hosts.equiv</file> et d'autres trous de sécurité majeurs.

note: type: <p></p>
en: Issues with file sharing servers such as Samba and NFS?
fr: Problèmes avec les serveurs de partage de fichiers tels que Samba et NFS&nbsp;?

note: type: <p></p>
en: lpr and lprng.
fr: lpr et lprng.

note: type: <p></p>
en: Switching off the GNOME IP things.
fr: Désactiver les outils GNOME qui utilisent IP.

note: type: <p></p>
en: Talk about pam_chroot (see <url id="http://lists.debian.org/debian-security/2002/debian-security-200205/msg00011.html">) and its usefulness to limit users. Introduce information related to <url id="http://online.securityfocus.com/infocus/1575">. <package>pdmenu</package>, for example is available in Debian (whereas flash is not).
fr: Parler de pam_chroot (consultez <url id="http://lists.debian.org/debian-security/2002/debian-security-200205/msg00011.html">) et de son utilité pour restreindre les utilisateurs. Introduire les informations relatives à <url id="http://online.securityfocus.com/infocus/1575">. <package>pdmenu</package>, par exemple, est disponible dans Debian (alors que flash ne l'est pas).

note: type: <p></p>
en: Talk about chrooting services, some more info on <url id="http://www.linuxfocus.org/English/January2002/article225.shtml">.
fr: Parler des services «&nbsp;chrootés&nbsp;», plus d'informations sur <url id="http://www.linuxfocus.org/English/January2002/article225.shtml">.

note: type: <p></p>
en: Talk about programs to make chroot jails. <package>compartment</package> and <package>chrootuid</package> are waiting in incoming. Some others (makejail, jailer) could also be introduced.
fr: Parler des programmes pour faire des «&nbsp;prisons&nbsp;» chroot. <package>compartment</package> et <package>chrootuid</package> sont en attente dans incoming. D'autres (makejail, jailer) pourraient aussi être présentés.

note: type: <p></p>
en: More information regarding log analysis software (i.e. logcheck and logcolorise).
fr: Plus d'informations concernant les logiciels d'analyse de journaux (c'est-à-dire <package>logcheck</package> et <package>logcolorise</package>).

note: type: <p></p>
en: 'advanced' routing (traffic policing is security related).
fr: Routage «&nbsp;avancé&nbsp;» (la politique de trafic concerne la sécurité).

note: type: <p></p>
en: limiting <prgn>ssh</prgn> access to running certain commands.
fr: Restreindre <prgn>SSH</prgn> pour qu'il puisse uniquement exécuter certaines commandes.

note: type: <p></p>
en: using dpkg-statoverride.
fr: Utilisation de dpkg-statoverride.

note: type: <p></p>
en: secure ways to share a CD burner among users.
fr: Moyens sûrs de partager un graveur de CD parmi les utilisateurs.

note: type: <p></p>
en: secure ways of providing networked sound in addition to network display capabilities (so that X clients' sounds are played on the X server's sound hardware).
fr: Moyens sûrs de fournir du son en réseau en plus des possibilités d'affichage en réseau (pour que le son des clients X soit envoyé sur le périphérique de son du serveur&nbsp;X).

note: type: <p></p>
en: securing web browsers.
fr: Sécurisation des navigateurs web.

note: type: <p></p>
en: setting up ftp over <prgn>ssh</prgn>.
fr: Configurer FTP au travers de <prgn>SSH</prgn>.

note: type: <p></p>
en: using crypto loopback file systems.
fr: Utilisation des systèmes de fichiers «&nbsp;loopback&nbsp;» chiffrés.

note: type: <p></p>
en: encrypting the entire file system.
fr: Chiffrement entier du système de fichiers.

note: type: <p></p>
en: steganographic tools.
fr: Outils stéganographiques.

note: type: <p></p>
en: setting up a PKA for an organization.
fr: Configurer une autorité de clefs publiques (PKA) pour une organisation.

note: type: <p></p>
en: using LDAP to manage users. There is a HOWTO of ldap+kerberos for Debian at <url id="http://www.bayour.com"> written by Turbo Fredrikson.
fr: Utiliser LDAP pour gérer les utilisateurs. Il y a un HOWTO sur ldap+kerberos pour Debian écrit par Turbo Fredrikson et disponible à <url id="http://www.bayour.com/LDAPv3-HOWTO.html">.

note: type: <p></p>
en: How to remove information of reduced utility in production systems such as <file>/usr/share/doc</file>, <file>/usr/share/man</file> (yes, security by obscurity).
fr: Comment enlever des informations non essentielles sur les systèmes de production tels que <file>/usr/share/doc</file>, <file>/usr/share/man</file> (oui, sécurité par obscurité).

note: type: <p></p>
en: More information on lcap based on the packages README file (well, not there yet, see <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=169465" name="Bug #169465">) and from the article from LWN: <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development">.
fr: Plus d'informations sur lcap basées sur le fichier README des paquets (pas encore tout à fait présent, consultez le <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=169465" name="bogue nº 169465">) et à partir de l'article de LWN&nbsp;: <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development">.

note: type: <p></p>
en: Add Colin's article on how to setup a chroot environment for a full sid system (<url id="http://people.debian.org/~walters/chroot.html">).
fr: Ajouter l'article de Colin sur la façon de configurer un environnement chroot pour un système <em>Sid</em> complet (<url id="http://people.debian.org/~walters/chroot.html">).

note: type: <p></p>
en: Add information on running multiple <prgn>snort</prgn> sensors in a given system (check bug reports sent to <package>snort</package>).
fr: Ajouter des informations sur l'exécution de plusieurs senseurs <prgn>snort</prgn> dans un système donné (vérifier les rapports de bogues envoyés à <package>snort</package>).

note: type: <p></p>
en: Add information on setting up a honeypot (<package>honeyd</package>).
fr: Ajouter des informations sur la mise en place d'un pot de miel (« <em>honeypot</em> ») avec le paquet <package>honeyd</package>.

note: type: <p></p>
en: Describe situation wrt to FreeSwan (orphaned) and OpenSwan. VPN section needs to be rewritten.
fr: Décrire la situation relative à FreeSwan (abandonné) et OpenSwan. La section VPN a besoin d'être récrite.

note: type: <p></p>
en: Add a specific section about databases, current installation defaults and how to secure access.
fr: Ajouter une section spécifique à propos des bases de données, l'installation par défaut et sur la façon de sécuriser les accès.

note: type: <p></p>
en: Add a section about the usefulness of virtual servers (Xen et al).
fr: Ajouter une section sur l'utilité des serveurs virtuels (Xen, Vserver, etc.).

note: type: <p></p>
en: Explain how to use some integrity checkers (AIDE, integrit or samhain). The basics are simple and could even explain some configuration improvements.
fr: Expliquer comment utiliser plusieurs vérificateurs d'intégrité tels que <package>aide</package>, <package>integrit</package> ou <package>samhain</package>. La base est très simple à expliquer et permet de personnaliser la configuration par défaut.

note: type: <heading></heading>
en: Changelog/History
fr: Journal des modifications et historique

note: type: <heading></heading>
en: Version 3.17 (June 2013)
fr: Version 3.17 (juin 2013)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña.
fr: Modifications de Javier Fernández-Sanguino Peña.

note: type: <p></p>
en: Point to the Basille sourceforge project instead of the bastille-unix.org site as it is not responding.
fr: Pointer vers le projet SourceForge de Basille au lieu du site bastille-unix.org car il ne répond plus.

note: type: <heading></heading>
en: Version 3.16 (January 2013)
fr: Version&nbsp;3.16 (janvier&nbsp;2013)

note: type: <p></p>
en: Indicate that the document is not updated with latest versions.
fr: Indication que le document n'est pas mis à jour avec les dernières versions.

note: type: <p></p>
en: Update pointers to current location of sources.
fr: Mise à jour des liens vers l'emplacement actuel des sources.

note: type: <p></p>
en: Update information on security updates for newer releases.
fr: Mise à jour des renseignements de sécurité pour les publications les plus récentes.

note: type: <p></p>
en: Point information for Developers to online sources instead of keeping the information in the document, to prevent duplication.
fr: Lien vers des renseignements pour les développeurs sur les sources en ligne au lieu de les garder dans ce document pour éviter les doublons.

note: type: <p></p>
en: Extend the information regarding securing console access, including limiting the Magic SysRq key.
fr: Extension des renseignements sur la sécurisation d'accès à la console, y compris la limitation des touches SysRq magiques.

note: type: <p></p>
en: Update the information related to PAM modules including how to restrict console logins, use cracklib and use the features avialable in /etc/pam.d/login. Remove the references to obsolete variables in /etc/login.defs.
fr: Mise à jour des renseignements sur les modules PAM, y compris une façon de restreindre les connexions en console, l'utilisation de cracklib et l'utilisation de fonctionnalités disponibles dans /etc/pam.d/login. Retrait des références aux variables obsolètes de /etc/login.defs.

note: type: <p></p>
en: Reference some of the PAM modules available to use double factor authentication, for administrators that want to stop using passwords altogether.
fr: Référence à certains modules PAM disponibles pour permettre l'authentification à deux facteurs, pour les administrateurs voulant arrêter de partager des mots de passe.

note: type: <p></p>
en: Fix shell script example in Appendix.
fr: Correction de l'exemple de script en annexe.

note: type: <p></p>
en: Fix reference errors.
fr: Correction d'erreurs de référence.

note: type: <heading></heading>
en: Version 3.15 (December 2010)
fr: Version 3.15 (décembre 2010)

note: type: <p></p>
en: Change reference to Log Analysis' website as this is no longer available.
fr: Modification de la référence au site web de Log Analysis car il n'est plus disponible.

note: type: <heading></heading>
en: Version 3.14 (March 2009)
fr: Version 3.14 (mars 2009)

note: type: <p></p>
en: Change the section related to choosing a filesystem: note that ext3 is now the default.
fr: Modification de la section indiquant comment choisir un système de fichiers. ext3 est maintenant le système de fichiers par défaut.

note: type: <p></p>
en: Change the name of the packages related to enigmail to reflect naming changes introduced in Debian.
fr: Modification du nom des paquets relatifs à Enigmail pour correspondre aux modifications de nom introduites dans Debian.

note: type: <heading></heading>
en: Version 3.13 (February 2008)
fr: Version&nbsp;3.13 (février&nbsp;2008)

note: type: <p></p>
en: Change URLs pointing to Bastille Linux to www.Bastille-UNIX.org since the domain has been <url id="http://bastille-linux.sourceforge.net/press-release-newname.html" name="purchased by a cybersquatter">.
fr: Changement des URL pointant Bastille Linux vers www.Bastille-UNIX.org car le domaine a été <url id="http://bastille-linux.sourceforge.net/press-release-newname.html" name="acheté par un cybersquatter">.

note: type: <p></p>
en: Fix pointers to Linux Ramen and Lion worms.
fr: Correction des liens sur les vers Linux dénommés Ramen et Lion.

note: type: <p></p>
en: Use linux-image in the examples instead of the (old) kernel-image packages.
fr: Utilisation de linux-image dans les exemples à la place de l'ancien paquet kernel-image.

note: type: <p></p>
en: Fix typos spotted by Francesco Poli.
fr: Corrections typographiques indiquées par Francesco Poli.

note: type: <heading></heading>
en: Version 3.12 (August 2007)
fr: Version&nbsp;3.12 (août&nbsp;2007)

note: type: <p></p>
en: Update the information related to security updates. Drop the text talking about Tiger and include information on the update-notifier and adept tools (for Desktops) as well as debsecan. Also include some pointers to other tools available.
fr: Mise à jour des informations au sujet des mises à jour de sécurité. Abandon du texte parlant de <package>Tiger</package>. Inclusion d'informations sur les outils <package>update-notifier</package> et <package>adept</package> (pour les stations) ainsi que <package>debsecan</package>. Ajout de quelques liens vers d'autres outils disponibles.

note: type: <p></p>
en: Divide the firewall applications based on target users and add fireflier to the Desktop firewall applications list.
fr: Division des applications de pare-feu selon les utilisateurs cibles et ajout de fireflier à la liste des applications de pare-feu pour postes de travail.

note: type: <p></p>
en: Remove references to libsafe, it's not in the archive any longer (was removed January 2006).
fr: Retrait des références à libsafe, un paquet retiré du dépôt de Debian (en janvier 2006).

note: type: <p></p>
en: Fix the location of syslog's configuration, thanks to John Talbut.
fr: Correction de l'emplacement du fichier de configuration de syslog. Merci à John Talbut.

note: type: <heading></heading>
en: Version 3.11 (January 2007)
fr: Version&nbsp;3.11 (janvier&nbsp;2007)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña. Thanks go to Francesco Poli for his extensive review of the document.
fr: Changements par Javier Fernández-Sanguino Peña. Merci à Francesco Poli pour sa révision étendue du document.

note: type: <p></p>
en: Remove most references to the woody release as it is no longer available (in the archive) and security support for it is no longer available.
fr: Retrait de la plupart des références à la version Woody car elle n'est plus disponible dans le dépôt principal et que le suivi en sécurité n'est plus disponible pour celle-ci.

note: type: <p></p>
en: Describe how to restrict users so that they can only do file transfers.
fr: Description de la restriction des utilisateurs pour qu'ils ne puissent faire que des transferts de fichiers.

note: type: <p></p>
en: Added a note regarding the debian-private declasiffication decision.
fr: Ajout d'une note au sujet de la décision de déclassification de debian-private.

note: type: <p></p>
en: Updated link of incident handling guides.
fr: Mise à jour du lien sur les guides de gestion des incidents.

note: type: <p></p>
en: Added a note saying that development tools (compilers, etc.) are not installed now in the default 'etch' installation.
fr: Ajout d'une note indiquant que les outils de développement (compilateurs, etc.) ne sont plus installés par défaut dans Etch.

note: type: <p></p>
en: Fix references to the master security server.
fr: Correction des références sur le serveur maître de sécurité.

note: type: <p></p>
en: Add pointers to additional APT-secure documentation.
fr: Ajout de références vers de la documentation supplémentaire d'apt sécurisé.

note: type: <p></p>
en: Improve the description of APT signatures.
fr: Amélioration de la description des signatures APT.

note: type: <p></p>
en: Comment out some things which are not yet final related to the mirror's official public keys.
fr: Mise en commentaire de points qui ne sont pas encore finalisés au sujet des clefs publiques des miroirs officiels.

note: type: <p></p>
en: Fixed name of the Debian Testing Security Team.
fr: Correction du nom de l'équipe de sécurité Debian Testing (Debian Testing Security Team).

note: type: <p></p>
en: Remove reference to sarge in an example.
fr: Retrait d'une référence à Sarge dans un exemple.

note: type: <p></p>
en: Update the antivirus section, clamav is now available on the release. Also mention the f-prot installer.
fr: Mise à jour de la section sur les antivirus&nbsp;: clamav est maintenant disponible depuis Etch. Mention de l'installateur pour f-prot.

note: type: <p></p>
en: Removes all references to freeswan as it is obsolete.
fr: Retrait de toutes les références à freeswan, car il est désuet.

note: type: <p></p>
en: Describe issues related to ruleset changes to the firewall if done remotely and provide some tips (in footnotes).
fr: Description des problèmes liés aux changements des règles de firewall à distance et quelques conseils en notes de bas de page.

note: type: <p></p>
en: Update the information related to the IDS installation, mention BASE and the need to setup a logging database.
fr: Mise à jour des informations sur l'installation d'IDS, mentionner BASE et la nécessité de mettre en place une base de données d'audit.

note: type: <p></p>
en: Rewrite the "running bind as a non-root user" section as this no longer applies to Bind9. Also remove the reference to the init.d script since the changes need to be done through /etc/default.
fr: Réécriture de la section « lancer bind par un utilisateur non superutilisateur » car cela ne s'applique plus à BIND 9. Retrait de la référence au script init.d car les configurations doivent être faites à l'aide de /etc/default/.

note: type: <p></p>
en: Remove the obsolete way to setup iptables rulesets as woody is no longer supported.
fr: Retrait de la méthode désuète de mise en place des règles d'iptables, car Woody n'est plus maintenu.

note: type: <p></p>
en: Revert the advice regarding LOG_UNKFAIL_ENAB it should be set to 'no' (as per default).
fr: Retrait du conseil à propos de LOG_UNKFAIL_ENAB. Il devrait être positionné à 'no' (la valeur par défaut).

note: type: <p></p>
en: Added more information related to updating the system with desktop tools (including update-notifier) and describe aptitude usage to update the system. Also note that dselect is deprecated.
fr: Ajout de plus d'informations au sujet de la mise à jour du système avec les outils de station de travail (y compris update-notifier) et description de l'utilisation d'aptitude pour mettre le système à jour. Noter aussi que dselect est déprécié.

note: type: <p></p>
en: Updated the contents of the FAQ and remove redundant paragraphs.
fr: Mise à jour du contenu de la FAQ et retrait de paragraphes redondants.

note: type: <p></p>
en: Review and update the section related to forensic analysis of malware.
fr: Relecture et mise à jour de la section sur les analyses post mortem de malwares.

note: type: <p></p>
en: Remove or fix some dead links.
fr: Retrait ou correction de quelques liens morts.

note: type: <p></p>
en: Fix many typos and gramatical errors reported by Francesco Poli.
fr: Correction de nombreuses erreurs typographiques et grammaticales mentionnées par Francesco Poli.

note: type: <heading></heading>
en: Version 3.10 (November 2006)
fr: Version&nbsp;3.10 (novembre&nbsp;2006)

note: type: <p></p>
en: Provide examples using apt-cache's rdepends as suggested by Ozer Sarilar.
fr: Ajout d'exemples d'utilisation de l'option rdepends d'<prgn>apt-cache</prgn> tel que suggéré par Ozer Sarilar.

note: type: <p></p>
en: Fix location of Squid's user's manual because of its relocation as notified by Oskar Pearson (its maintainer).
fr: Correction de l'emplacement du manuel de l'utilisateur de Squid après qu'Oskar Pearson (son responsable) nous ait informé de son déplacement.

note: type: <p></p>
en: Fix information regarding umask, it's logins.defs (and not limits.conf) where this can be configured for all login connections. Also state what is Debian's default and what would be a more restrictive value for both users and root. Thanks to Reinhard Tartler for spotting the bug.
fr: Correction des informations au sujet d'umask. C'est dans logins.defs (et non pas limits.conf) que cela peut être configuré pour toutes les connexions. Préciser les valeurs par défaut de Debian et suggérer des valeurs plus restrictives pour les utilisateurs et le superutilisateur. Merci à Reinhard Tartler pour avoir détecté cette erreur.

note: type: <heading></heading>
en: Version 3.9 (October 2006)
fr: Version&nbsp;3.9 (octobre&nbsp;2006)

note: type: <p></p>
en: Add information on how to track security vulnerabilities and add references to the Debian Testing Security Tracker.
fr: Ajout d'informations sur le suivi des vulnérabilités de sécurité et ajout de références à propos du système de suivi en sécurité de Debian testing.

note: type: <p></p>
en: Add more information on the security support for testing.
fr: Ajout d'informations sur le suivi en sécurité pour Debian testing.

note: type: <p></p>
en: Fix a large number of typos with a patch provided by Simon Brandmair.
fr: Correction d'un grand nombre d'erreurs typographiques à partir de correctifs fournis par Simon Brandmair.

note: type: <p></p>
en: Added section on how to disable root prompt on initramfs provided by Max Attems.
fr: Ajout d'une section rédigée par Max Attems sur la façon de désactiver la console de superutilisateur avec initramfs.

note: type: <p></p>
en: Remove references to queso.
fr: Retrait des références à queso.

note: type: <p></p>
en: Note that testing is now security-supported in the introduction.
fr: Signalement dans l'introduction que testing est maintenant suivie par l'équipe de sécurité de Debian.

note: type: <heading></heading>
en: Version 3.8 (July 2006)
fr: Version&nbsp;3.8 (juillet&nbsp;2006)

note: type: <p></p>
en: Rewrote the information on how to setup ssh chroots to clarify the different options available, thank to Bruce Park for bringing up the different mistakes in this appendix.
fr: Réécriture de la mise en place de prisons (chroot) SSH pour clarifier les différentes options disponibles. Merci à Bruce Park avoir fait remarquer diverses erreurs dans cette annexe.

note: type: <p></p>
en: Fix lsof call as suggested by Christophe Sahut.
fr: Correction des appels de <prgn>lsof</prgn> tel que suggéré par Christophe Sahut.

note: type: <p></p>
en: Include patches for typo fixes from Uwe Hermann.
fr: Inclusion des correctifs d'Uwe Hermann corrigeant plusieurs erreurs typographiques.

note: type: <p></p>
en: Fix typo in reference spotted by Moritz Naumann.
fr: Correction d'une erreur typographique soulignée par Moritz Naumann dans une référence.

note: type: <heading></heading>
en: Version 3.7 (April 2006)
fr: Version&nbsp;3.7 (avril&nbsp;2006)

note: type: <p></p>
en: Add a section on Debian Developer's best practices for security.
fr: Ajout d'une section sur les meilleures techniques de sécurité recommandées aux développeurs de Debian.

note: type: <p></p>
en: Ammended firewall script with comments from WhiteGhost.
fr: Ajout de commentaires au script d'un pare-feu par WhiteGhost.

note: type: <heading></heading>
en: Version 3.6 (March 2006)
fr: Version&nbsp;3.6 (mars&nbsp;2006)

note: type: <p></p>
en: Included a patch from Thomas Sjögren which describes that <tt>noexec</tt> works as expected with "new" kernels, adds information regarding tempfile handling, and some new pointers to external documentation.
fr: Inclusion de correctifs de Thomas Sjögren qui expliquent que <tt>noexec</tt> fonctionne avec les «&nbsp;nouveau&nbsp;» noyaux. Ajout d'informations à propos de la gestion des fichiers temporaires ainsi que des liens vers de la documentation externe.

note: type: <p></p>
en: Add a pointer to Dan Farmer's and Wietse Venema's forensic discovery web site, as suggested by Freek Dijkstra, and expanded a little bit the forensic analysis section with more pointers.
fr: Ajout d'un lien vers le site de Dan Farmer et Wietse Venema sur l'analyse post mortem, tel que suggéré par Freek Dijkstra. Ajout de quelques liens additionnels sur l'analyse post mortem.

note: type: <p></p>
en: Fixed URL of Italy's CERT, thanks to Christoph Auer.
fr: Correction de l'URL du site italien du CERT. Merci à Christoph Auer.

note: type: <p></p>
en: Reuse Joey Hess' information at the wiki on secure apt and introduce it in the infrastructure section.
fr: Réutilisation des informations du wiki de Joey Hess sur apt sécurisé et insertion dans la section sur les infrastructures.

note: type: <p></p>
en: Review sections referring to old versions (woody or potato).
fr: Révision des sections se référant à d'anciennes versions (Woody ou Potato).

note: type: <p></p>
en: Fix some cosmetic issues with patch from Simon Brandmair.
fr: Correction de quelques problèmes esthétiques avec les correctifs proposés par Simon Brandmair.

note: type: <p></p>
en: Included patches from Carlo Perassi: acl patches are obsolete, openwall patches are obsolete too, removed fixme notes about 2.2 and 2.4 series kernels, hap is obsolete (and not present in WNPP), remove references to Immunix (StackGuard is now in Novell's hands), and fix a FIXME about the use of bsign or elfsign.
fr: Inclusion des correctifs de Carlo Perassi&nbsp;: les extraits de code sur les ACL sont désuets, les correctifs pour Openwall sont également désuets. Retrait des notes FIXME à propos des noyaux&nbsp;2.2 et 2.4, <package>hap</package> est désuet (et absent du WNPP), retrait des références à Immunix (StackGuard appartient maintenant à Novell) et résolution d'un FIXME à propos de l'utilisation de bsign et elfsign.

note: type: <p></p>
en: Updated references to SElinux web pages to point to the Wiki (currently the most up to date source of information).
fr: Mise à jour des références au site Internet de SELinux afin qu'elles pointent vers le wiki (présentement la source d'informations la plus à jour).

note: type: <p></p>
en: Include file tags and make a more consistent use of "MD5 sum" with a patch from Jens Seidel.
fr: Ajout de balises de fichiers et utilisation plus constante de l'expression «&nbsp;somme MD5&nbsp;» avec un correctif de Jens Seidel.

note: type: <p></p>
en: Patch from Joost van Baal improving the information on the firewall section (pointing to the wiki instead of listing all firewall packages available) (Closes: #339865).
fr: Correctifs de Joost van Baal améliorant les informations dans la section sur les pare-feu (lien vers le wiki au lieu de faire une liste de tous les paquets disponibles sur les pare-feu). Ferme le bogue nº 339865.

note: type: <p></p>
en: Review the FAQ section on vulnerability stats, thanks to Carlos Galisteo de Cabo for pointing out that it was out of date.
fr: Révision de la FAQ sur les statistiques sur les vulnérabilités. Merci à Carlos Galisteo de Cabo d'avoir mentionné que l'information n'était plus à jour.

note: type: <p></p>
en: Use the quote from the Social Contract 1.1 instead of 1.0 as suggested by Francesco Poli.
fr: Citation d'extraits du Contrat social Debian&nbsp;1.1 au lieu de 1.0, tel que suggéré par Francesco Poli.

note: type: <heading></heading>
en: Version 3.5 (November 2005)
fr: Version&nbsp;3.5 (novembre&nbsp;2005)

note: type: <p></p>
en: Note on the SSH section that the chroot will not work if using the nodev option in the partition and point to the latest ssh packages with the chroot patch, thanks to Lutz Broedel for pointing these issues out.
fr: Note sur la section SSH que le chroot ne fonctionnera pas si vous utilisez l'option nodev dans la partition et indication des derniers paquets ssh avec le correctif chroot, merci à Lutz Broedel d'avoir signalé ces problèmes.

note: type: <p></p>
en: Fix typo spotted by Marcos Roberto Greiner (md5sum should be sha1sum in code snippet).
fr: Correction de faute de frappe remarquée par Marcos Roberto Greiner (md5sum devrait être sha1sum dans l'extrait de code).

note: type: <p></p>
en: Included Jens Seidel's patch fixing a number of package names and typos.
fr: Inclusion du correctif de Jens Seidel corrigeant un certain nombre de noms de paquets et de fautes de frappe.

note: type: <p></p>
en: Slightly update of the tools section, removed tools no longer available and added some new ones.
fr: Légère mise à jour de la section d'outils, suppression des outils plus disponibles et ajout de nouveaux outils.

note: type: <p></p>
en: Rewrite parts of the section related to where to find this document and what formats are available (the website does provide a PDF version). Also note that copies on other sites and translations might be obsolete (many of the Google hits for the manual in other sites are actually out of date).
fr: Réécriture de parties de la section liée à l'endroit où trouver ce document et des formats disponibles (le site web fournit une version PDF). Note également sur le fait que les copies sur d'autres sites et les traductions peuvent être désuètes (la plupart des liens fournis par Google pour le manuel sur d'autres sites sont vraiment obsolètes).

note: type: <heading></heading>
en: Version 3.4 (August-September 2005)
fr: Version&nbsp;3.4 (août-septembre&nbsp;2005)

note: type: <p></p>
en: Improved the after installation security enhancements related to kernel configuration for network level protection with a sysctl.conf file provided by Will Moy.
fr: Amélioration des renforcements de sécurité post-installation liés à la configuration du noyau pour la protection au niveau réseau avec un fichier sysctl.conf fourni par Will Moy.

note: type: <p></p>
en: Improved the gdm section, thanks to Simon Brandmair.
fr: Amélioration de la section gdm, grâce à Simon Brandmair.

note: type: <p></p>
en: Typo fixes from Frédéric Bothamy and Simon Brandmair.
fr: Corrections de faute de frappe de Frédéric Bothamy et Simon Brandmair.

note: type: <p></p>
en: Improvements in the after installation sections related to how to generate the MD5 (or SHA-1) sums of binaries for periodic review.
fr: Améliorations des sections post-installation liées à la façon de générer les sommes MD5 (ou SHA-1) des binaires pour vérification périodique.

note: type: <p></p>
en: Updated the after installation sections regarding checksecurity configuration (was out of date).
fr: Mise à jour des sections post-installation concernant la configuration checksecurity (qui était obsolète).

note: type: <heading></heading>
en: Version 3.3 (June 2005)
fr: Version&nbsp;3.3 (juin&nbsp;2005)

note: type: <p></p>
en: Added a code snippet to use grep-available to generate the list of packages depending on Perl. As requested in #302470.
fr: Ajout d'un extrait de code pour utiliser grep-available pour générer la liste des paquets dépendant de Perl. Comme demandé dans le bogue nº 302470.

note: type: <p></p>
en: Rewrite of the section on network services (which ones are installed and how to disable them).
fr: Réécriture de la section sur les services réseau (quels sont les services installés et comment les désactiver).

note: type: <p></p>
en: Added more information to the honeypot deployment section mentioning useful Debian packages.
fr: Ajout de plus d'informations sur la section de déploiement des pots de miel mentionnant des paquets Debian utiles.

note: type: <heading></heading>
en: Version 3.2 (March 2005)
fr: Version&nbsp;3.2 (mars&nbsp;2005)

note: type: <p></p>
en: Expanded the PAM configuration limits section.
fr: Extension de la section sur les limites de la configuration de PAM.

note: type: <p></p>
en: Added information on how to use pam_chroot for openssh (based on pam_chroot's README).
fr: Ajout d'informations sur la façon d'utiliser pam_chroot pour openSSH (basé sur le README de pam_chroot).

note: type: <p></p>
en: Fixed some minor issues reported by Dan Jacobson.
fr: Correction de problèmes mineurs signalés par Dan Jacobson.

note: type: <p></p>
en: Updated the kernel patches information partially based on a patch from Carlo Perassi and also by adding deprecation notes and new kernel patches available (adamantix).
fr: Mise à jour des informations sur les correctifs du noyau basées sur un correctif de Carlo Perassi et également en ajoutant des notes sur les programmes obsolètes et les nouveaux correctifs de noyau disponibles (Adamantix).

note: type: <p></p>
en: Included patch from Simon Brandmair that fixes a sentence related to login failures in terminal.
fr: Inclusion d'un correctif de Simon Brandmair qui corrige une phrase liée aux échecs de connexion dans un terminal.

note: type: <p></p>
en: Added Mozilla/Thunderbird to the valid GPG agents as suggested by Kapolnai Richard.
fr: Ajout de Mozilla/Thunderbird aux agents GPG valables comme suggéré par Kapolnai Richard.

note: type: <p></p>
en: Expanded the section on security updates mentioning library and kernel updates and how to detect when services need to be restarted.
fr: Expansion de la section sur les mises à jour de sécurité en mentionnant les mises à jour de bibliothèques et de noyau et sur la façon de détecter quand les services doivent être redémarrés.

note: type: <p></p>
en: Rewrote the firewall section, moved the information that applies to woody down and expand the other sections including some information on how to manually set the firewall (with a sample script) and how to test the firewall configuration.
fr: Réécriture de la section sur les pare-feu, déplacement vers le bas des informations qui s'appliquent à <em>Woody</em> et expansion des autres sections incluant des informations sur la façon de mettre en place manuellement le pare-feu (avec un exemple de script) et sur la façon de tester la configuration du pare-feu.

note: type: <p></p>
en: Added some information preparing for the 3.1 release.
fr: Ajout d'informations préparatoires pour la version&nbsp;3.1 de Debian.

note: type: <p></p>
en: Added more detailed information on kernel upgrades, specifically targeted at those that used the old installation system.
fr: Ajout d'informations plus détaillées sur les mises à jour du noyau, particulièrement destinées à ceux qui ont utilisé l'ancien système d'installation.

note: type: <p></p>
en: Added a small section on the experimental apt 0.6 release which provides package signing checks. Moved old content to the section and also added a pointer to changes made in aptitude.
fr: Ajout d'une petite section sur la version&nbsp;0.6 d'apt expérimentale qui fournit des vérifications de signature de paquets. Déplacement de l'ancien contenu dans la section et également ajout d'un pointeur vers les changements réalisés dans aptitude.

note: type: <p></p>
en: Typo fixes spotted by Frédéric Bothamy.
fr: Corrections de fautes de frappe signalées par Frédéric Bothamy.

note: type: <heading></heading>
en: Version 3.1 (January 2005)
fr: Version&nbsp;3.1 (janvier&nbsp;2005)

note: type: <p></p>
en: Added clarification to ro /usr with patch from Joost van Baal.
fr: Ajout de clarification sur /usr en lecture seule avec un correctif de Joost van Baal.

note: type: <p></p>
en: Apply patch from Jens Seidel fixing many typos.
fr: Application d'un correctif de Jens Seidel corrigeant plusieurs fautes de frappe.

note: type: <p></p>
en: FreeSWAN is dead, long live OpenSWAN.
fr: FreeSWAN est mort, longue vie à OpenSWAN.

note: type: <p></p>
en: Added information on restricting access to RPC services (when they cannot be disabled) also included patch provided by Aarre Laakso.
fr: Ajout d'informations sur la restriction d'accès aux services RPC (quand ils ne peuvent pas être désactivés), également inclusion d'un correctif fourni par Aarre Laakso.

note: type: <p></p>
en: Update aj's apt-check-sigs script.
fr: Mise à jour du script apt-check-sigs d'aj.

note: type: <p></p>
en: Apply patch Carlo Perassi fixing URLs.
fr: Application du correctif de Carlo Perassi corrigeant des URL.

note: type: <p></p>
en: Apply patch from Davor Ocelic fixing many errors, typos, urls, grammar and FIXMEs. Also adds some additional information to some sections.
fr: Application du correctif de Davor Ocelic corrigeant beaucoup d'erreurs, de fautes de frappe, URL, erreurs de grammaire et FIXME. Ajout également de plusieurs informations supplémentaires pour certaines sections.

note: type: <p></p>
en: Rewrote the section on user auditing, highlight the usage of script which does not have some of the issues associated to shell history.
fr: Réécriture de la section sur l'audit utilisateur, mise en évidence de l'utilisation de script qui n'a pas certains des problèmes associés à l'historique du shell.

note: type: <heading></heading>
en: Version 3.0 (December 2004)
fr: Version&nbsp;3.0 (décembre&nbsp;2004)

note: type: <p></p>
en: Rewrote the user-auditing information and include examples on how to use script.
fr: Réécriture des informations sur l'audit utilisateur et inclusion d'exemples sur la façon d'utiliser script.

note: type: <heading></heading>
en: Version 2.99 (March 2004)
fr: Version&nbsp;2.99 (mars&nbsp;2004)

note: type: <p></p>
en: Added information on references in DSAs and CVE-Compatibility.
fr: Ajout d'informations sur des références dans la compatibilité entre DSA et CVE.

note: type: <p></p>
en: Added information on apt 0.6 (apt-secure merge in experimental).
fr: Ajout d'informations sur apt 0.6 (apt sécurisé intégré dans experimental).

note: type: <p></p>
en: Fixed location of Chroot daemons HOWTO as suggested by Shuying Wang.
fr: Correction de l'emplacement du HOWTO Chroot des démons comme suggéré par Shuying Wang.

note: type: <p></p>
en: Changed APACHECTL line in the Apache chroot example (even if its not used at all) as suggested by Leonard Norrgard.
fr: Modification de la ligne APACHECTL dans l'exemple de chroot Apache (même si elle n'est pas du tout utilisé) comme suggéré par Leonard Norrgard.

note: type: <p></p>
en: Added a footnote regarding hardlink attacks if partitions are not setup properly.
fr: Ajout d'une note concernant les attaques de liens directs («&nbsp;hardlink&nbsp;») si les partitions ne sont pas mises en place correctement.

note: type: <p></p>
en: Added some missing steps in order to run bind as named as provided by Jeffrey Prosa.
fr: Ajout de certaines étapes manquantes pour exécuter bind comme named tel que fourni par Jeffrey Prosa.

note: type: <p></p>
en: Added notes about Nessus and Snort out-of-dateness in woody and availability of backported packages.
fr: Ajout de notes à propos de l'obsolescence de Nessus et de Snort dans Woody et disponibilité de paquets rétroportés.

note: type: <p></p>
en: Added a chapter regarding periodic integrity test checks.
fr: Ajout d'un chapitre concernant des vérifications de test d'intégrité périodiques.

note: type: <p></p>
en: Clarified the status of testing regarding security updates (Debian bug 233955).
fr: Clarification de l'état de testing concernant les mises à jour de sécurité. (bogue Debian nº 233955).

note: type: <p></p>
en: Added more information regarding expected contents in securetty (since it's kernel specific).
fr: Ajout d'informations concernant les contenus attendus dans securetty (comme c'est spécifique au noyau).

note: type: <p></p>
en: Added pointer to snoopylogger (Debian bug 179409).
fr: Ajout de pointeur pour snoopylogger (bogue Debian nº 179409).

note: type: <p></p>
en: Added reference to guarddog (Debian bug 170710).
fr: Ajout d'une référence sur guarddog (bogue Debian nº 170710).

note: type: <p></p>
en: <prgn>apt-ftparchive</prgn> is in <package>apt-utils</package>, not in <package>apt</package> (thanks to Emmanuel Chantreau for pointing this out).
fr: <prgn>apt-ftparchive</prgn> est dans <package>apt-utils</package>, pas dans <package>apt</package> (merci à Emmanuel Chantreau pour l'avoir signalé).

note: type: <p></p>
en: Removed jvirus from AV list.
fr: Suppression de jvirus de la liste des antivirus.

note: type: <heading></heading>
en: Version 2.98 (December 2003)
fr: Version&nbsp;2.98 (décembre&nbsp;2003)

note: type: <p></p>
en: Fixed URL as suggested by Frank Lichtenheld.
fr: Correction de l'URL comme suggéré par Frank Lichtenheld.

note: type: <p></p>
en: Fixed PermitRootLogin typo as suggested by Stefan Lindenau.
fr: Correction d'une faute de frappe PermitRootLogin comme suggéré par Stefan Lindenau.

note: type: <heading></heading>
en: Version 2.97 (September 2003)
fr: Version&nbsp;2.97 (septembre&nbsp;2003)

note: type: <p></p>
en: Added those that have made the most significant contributions to this manual (please mail me if you think you should be in the list and are not).
fr: Ajout des personnes qui ont contribué significativement à ce manuel (merci de m'envoyer un message si vous pensez que vous devriez être dans la liste et que vous n'y êtes pas).

note: type: <p></p>
en: Added some blurb about FIXME/TODOs.
fr: Ajout de quelques bla-bla à propos des FIXME/TODO.

note: type: <p></p>
en: Moved the information on security updates to the beginning of the section as suggested by Elliott Mitchell.
fr: Déplacement des informations sur les mises à jour de sécurité au début de la section comme suggéré par Elliott Mitchell.

note: type: <p></p>
en: Added grsecurity to the list of kernel-patches for security but added a footnote on the current issues with it as suggested by Elliott Mitchell.
fr: Ajout de grsecurity à la liste des kernel-patches pour la sécurité, mais ajout d'une note sur les problèmes actuels avec celui-ci comme suggéré par Elliott Mitchell.

note: type: <p></p>
en: Removed loops (echo to 'all') in the kernel's network security script as suggested by Elliott Mitchell.
fr: Suppression de boucles (echo to 'all') dans le script de sécurité réseau du noyau comme suggéré par Elliott Mitchell.

note: type: <p></p>
en: Added more (up-to-date) information in the antivirus section.
fr: Ajout de plus d'informations (à jour) dans la section antivirus.

note: type: <p></p>
en: Rewrote the buffer overflow protection section and added more information on patches to the compiler to enable this kind of protection.
fr: Réécriture de la section de protection des dépassements de tampon et ajout de plus d'informations sur les correctifs pour le compilateur pour activer ce type de protection.

note: type: <heading></heading>
en: Version 2.96 (August 2003)
fr: Version&nbsp;2.96 (août&nbsp;2003)

note: type: <p></p>
en: Removed (and then re-added) appendix on chrooting Apache. The appendix is now dual-licensed.
fr: Suppression (et nouvel ajout) de l'annexe sur Apache dans un chroot. L'annexe est maintenant sous une double licence.

note: type: <heading></heading>
en: Version 2.95 (June 2003)
fr: Version&nbsp;2.95 (juin&nbsp;2003)

note: type: <p></p>
en: Fixed typos spotted by Leonard Norrgard.
fr: Corrections de fautes signalées par Leonard Norrgard.

note: type: <p></p>
en: Added a section on how to contact CERT for incident handling (<url id="#after-compromise">).
fr: Ajout d'une section sur la façon de contacter le CERT pour la gestion d'incident (<url id="#after-compromise">).

note: type: <p></p>
en: More information on setting up a Squid proxy.
fr: Plus d'informations sur la mise en place d'un serveur mandataire («&nbsp;proxy&nbsp;») Squid.

note: type: <p></p>
en: Added a pointer and removed a FIXME thanks to Helge H. F.
fr: Ajout d'un pointeur et suppression d'un FIXME grâce à Helge H. F.

note: type: <p></p>
en: Fixed a typo (save_inactive) spotted by Philippe Faes.
fr: Correction d'une faute (save_inactive) signalée par Philippe Faes.

note: type: <p></p>
en: Fixed several typos spotted by Jaime Robles.
fr: Corrections de plusieurs fautes signalées par Jaime Robles.

note: type: <heading></heading>
en: Version 2.94 (April 2003)
fr: Version&nbsp;2.94 (avril&nbsp;2003)

note: type: <p></p>
en: Following Maciej Stachura's suggestions I've expanded the section on limiting users.
fr: Selon les suggestions de Maciej Stachura, j'ai développé la section sur les limitations pour les utilisateurs.

note: type: <p></p>
en: Fixed typo spotted by Wolfgang Nolte.
fr: Correction d'une faute signalée par Wolfgang Nolte.

note: type: <p></p>
en: Fixed links with patch contributed by Ruben Leote Mendes.
fr: Correction de liens avec un correctif fourni par Ruben Leote Mendes.

note: type: <p></p>
en: Added a link to David Wheeler's excellent document on the footnote about counting security vulnerabilities.
fr: Ajout d'un lien vers l'excellent document de David Wheeler dans la note sur le décompte des failles de sécurité.

note: type: <heading></heading>
en: Version 2.93 (March 2003)
fr: Version&nbsp;2.93 (mars&nbsp;2003)

note: type: <p><list>
en: Changes made by Frédéric Schütz.
fr: Modifications de Frédéric Schütz.

note: type: <p></p>
en: rewrote entirely the section of ext2 attributes (lsattr/chattr).
fr: Réécriture complète de la section sur les attributs ext2 (lsattr/chattr).

note: type: <heading></heading>
en: Version 2.92 (February 2003)
fr: Version&nbsp;2.92 (février&nbsp;2003)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña and Frédéric Schütz.
fr: Modifications de Javier Fernández-Sanguino Peña et Frédéric Schütz.

note: type: <p></p>
en: Merge section 9.3 ("useful kernel patches") into section 4.13 ("Adding kernel patches"), and added some content.
fr: Fusion de la section&nbsp;9.3 («&nbsp;correctifs noyau utiles&nbsp;») dans la section&nbsp;4.13 («&nbsp;Ajouter des correctifs noyau&nbsp;») et ajout d'un peu de contenu.

note: type: <p></p>
en: Added a few more TODOs.
fr: Ajout de quelques TODO supplémentaires.

note: type: <p></p>
en: Added information on how to manually check for updates and also about cron-apt. That way Tiger is not perceived as the only way to do automatic update checks.
fr: Ajout d'informations sur la façon de vérifier manuellement les mises à jour et également sur cron-apt. Ainsi Tiger n'est plus vu comme le seul moyen de faire des vérifications de mises à jour automatiques.

note: type: <p></p>
en: Slightly rewrite of the section on executing a security updates due to Jean-Marc Ranger comments.
fr: Légère réécriture de la section sur l'exécution des mises à jour de sécurité grâce aux commentaires de Jean-Marc Ranger.

note: type: <p></p>
en: Added a note on Debian's installation (which will suggest the user to execute a security update right after installation).
fr: Ajout d'une note sur l'installation de Debian (qui suggérera à l'utilisateur une mise à jour de sécurité juste après l'installation).

note: type: <heading></heading>
en: Version 2.91 (January/February 2003)
fr: Version&nbsp;2.91 (janvier/février&nbsp;2003)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña (me).
fr: Modifications de Javier Fernández-Sanguino Peña (moi).

note: type: <p></p>
en: Added a patch contributed by Frédéric Schütz.
fr: Ajout d'un correctif proposé par Frédéric Schütz.

note: type: <p></p>
en: Added a few more references on capabilities thanks to Frédéric.
fr: Ajout de quelques références supplémentaires sur les capacités grâce à Frédéric.

note: type: <p></p>
en: Slight changes in the bind section adding a reference to BIND's 9 online documentation and proper references in the first area (Hi Pedro!).
fr: Modifications légères sur la section bind par l'ajout d'une référence à la documentation en ligne de BIND 9 et de références correctes dans la première zone (Salut Pedro&nbsp;!)

note: type: <p></p>
en: Fixed the changelog date - new year :-).
fr: Correction de la date du journal de modifications &ndash; nouvelle année :-).

note: type: <p></p>
en: Added a reference to Colin's articles for the TODOs.
fr: Ajout d'une référence aux articles de Colin pour les TODO.

note: type: <p></p>
en: Removed reference to old ssh+chroot patches.
fr: Suppression de la référence à d'anciens correctifs SSH+chroot.

note: type: <p></p>
en: More patches from Carlo Perassi.
fr: Correctifs additionnels de Carlo Perassi.

note: type: <p></p>
en: Typo fixes (recursive in Bind is recursion), pointed out by Maik Holtkamp.
fr: Corrections de fautes (récursif dans BIND est récursion) signalées par Maik Holtkamp.

note: type: <heading></heading>
en: Version 2.9 (December 2002)
fr: Version&nbsp;2.9 (décembre&nbsp;2002)

note: type: <p></p>
en: Reorganized the information on chroot (merged two sections, it didn't make much sense to have them separated).
fr: Réorganisation des informations sur chroot (fusion de deux sections, cela n'avait pas de sens de les garder séparées).

note: type: <p></p>
en: Added the notes on chrooting Apache provided by Alexandre Ratti.
fr: Ajout de notes sur le chroot d'Apache fournies par Alexandre Ratti.

note: type: <p></p>
en: Applied patches contributed by Guillermo Jover.
fr: Application de correctifs proposés par Guillermo Jover.

note: type: <heading></heading>
en: Version 2.8 (November 2002)
fr: Version&nbsp;2.8 (novembre&nbsp;2002)

note: type: <p></p>
en: Applied patches from Carlo Perassi, fixes include: re-wrapping the lines, URL fixes, and fixed some FIXMEs.
fr: Application des correctifs de Carlo Perassi, corrections incluant&nbsp;: modification de la longueur de lignes, correction d'URL, et correction de certains FIXME.

note: type: <p></p>
en: Updated the contents of the Debian security team FAQ.
fr: Mise à jour du contenu de la FAQ de l'équipe en charge de la sécurité de Debian.

note: type: <p></p>
en: Added a link to the Debian security team FAQ and the Debian Developer's reference, the duplicated sections might (just might) be removed in the future.
fr: Ajout d'un lien vers la FAQ de l'équipe en charge de la sécurité de Debian et la référence du développeur Debian, les sections dupliquées pourraient (juste pourraient) être supprimées à l'avenir.

note: type: <p></p>
en: Fixed the hand-made auditing section with comments from Michal Zielinski.
fr: Correction de la section d'audit manuel avec les commentaires de Michal Zielinski.

note: type: <p></p>
en: Added links to wordlists (contributed by Carlo Perassi).
fr: Ajout d'un lien vers des dictionnaires (contribution de Carlo Perassi).

note: type: <p></p>
en: Fixed some typos (still many around).
fr: Correction de quelques erreurs de frappe (il en reste encore plein).

note: type: <p></p>
en: Fixed TDP links as suggested by John Summerfield.
fr: Correction des liens TDP conformément à la suggestion de John Summerfield.

note: type: <heading></heading>
en: Version 2.7 (October 2002)
fr: Version&nbsp;2.7 (octobre&nbsp;2002)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña (me). Note: I still have a lot of pending changes in my mailbox (which is currently about 5 Mbs in size).
fr: Modifications de Javier Fernández-Sanguino Peña (moi). Note&nbsp;: j'ai encore beaucoup de modifications qui sont stockées dans ma boîte de réception (ce qui représente en ce moment environ 5 Mo) à intégrer.

note: type: <p></p>
en: Some typo fixes contributed by Tuyen Dinh, Bartek Golenko and Daniel K. Gebhart.
fr: Correction de quelques fautes qui ont été signalées par Tuyen Dinh, Bartek Golenko et Daniel K. Gebhart.

note: type: <p></p>
en: Note regarding /dev/kmem rootkits contributed by Laurent Bonnaud.
fr: Note concernant les rootkits utilisant /dev/kmem suggérée par Laurent Bonnaud.

note: type: <p></p>
en: Fixed typos and FIXMEs contributed by Carlo Perassi.
fr: Correction de fautes et de FIXME par Carlo Perassi.

note: type: <heading></heading>
en: Version 2.6 (September 2002)
fr: Version&nbsp;2.6 (septembre&nbsp;2002)

note: type: <p><list>
en: Changes by Chris Tillman, tillman@voicetrak.com.
fr: Modifications de Chris Tillman, tillman@voicetrak.com.

note: type: <p></p>
en: Changed around to improve grammar/spelling.
fr: Modifications pour améliorer la grammaire et l'orthographe.

note: type: <p></p>
en: s/host.deny/hosts.deny/ (1 place).
fr: s/host.deny/hosts.deny/ (1 endroit).

note: type: <p></p>
en: Applied Larry Holish's patch (quite big, fixes a lot of FIXMEs).
fr: Application du correctif de Larry Holish (assez gros, corrige de nombreux FIXME).

note: type: <heading></heading>
en: Version 2.5 (September 2002)
fr: Version&nbsp;2.5 (septembre&nbsp;2002)

note: type: <p></p>
en: Fixed minor typos submitted by Thiemo Nagel.
fr: Corrections de quelques fautes signalées par Thiemo Nagel.

note: type: <p></p>
en: Added a footnote suggested by Thiemo Nagel.
fr: Ajout d'une note de bas de page sur les conseils de Thiemo Nagel.

note: type: <p></p>
en: Fixed an URL link.
fr: Corrige une URL.

note: type: <heading></heading>
en: Version 2.5 (August 2002)
fr: Version&nbsp;2.5 (août&nbsp;2002)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña (me). There were many things waiting on my inbox (as far back as February) to be included, so I'm going to tag this the <em>back from honeymoon</em> release :).
fr: Modifications de Javier Fernández-Sanguino Peña (moi). Il y avait beaucoup de choses en attente dans ma boîte de réception (depuis février), je vais donc appeler cela la version <em>retour de lune de miel</em>&nbsp;:).

note: type: <p></p>
en: Applied a patch contributed by Philipe Gaspar regarding the Squid which also kills a FIXME.
fr: Application d'un correctif fourni par Philipe Gaspar concernant Squid qui supprime aussi un FIXME.

note: type: <p></p>
en: Yet another FAQ item regarding service banners taken from the debian-security mailing list (thread "Telnet information" started 26th July 2002).
fr: Encore une autre FAQ concernant les bannières de services provenant de la liste de diffusion debian-security (discussion «&nbsp;Telnet information&nbsp;» démarrée le 26&nbsp;juillet&nbsp;2002).

note: type: <p></p>
en: Added a note regarding use of CVE cross references in the <em>How much time does the Debian security team...</em> FAQ item.
fr: Ajout d'une note concernant l'utilisation des références croisées CVE dans l'élément de la FAQ <em>En combien de temps l'équipe en charge de la sécurité de Debian...</em>

note: type: <p></p>
en: Added a new section regarding ARP attacks contributed by Arnaud "Arhuman" Assad.
fr: Ajout d'une nouvelle section concernant les attaques ARP fournie par Arnaud «&nbsp;Arhuman&nbsp;» Assad.

note: type: <p></p>
en: New FAQ item regarding dmesg and console login by the kernel.
fr: Nouvelle FAQ concernant dmesg et le démarrage en mode console par le noyau.

note: type: <p></p>
en: Small tidbits of information to the signature-checking issues in packages (it seems to not have gotten past beta release).
fr: Petites parcelles d'informations sur les problèmes de vérification de signature dans les paquets (il semble qu'ils n'aient pas passé le stade de la version bêta).

note: type: <p></p>
en: New FAQ item regarding vulnerability assessment tools false positives.
fr: Nouvelle FAQ concernant les faux positifs des outils d'évaluation de vulnérabilité.

note: type: <p></p>
en: Added new sections to the chapter that contains information on package signatures and reorganized it as a new <em>Debian Security Infrastructure</em> chapter.
fr: Ajout de nouvelles sections au chapitre qui contient des informations sur les signatures de paquet et réorganisation en un nouveau chapitre <em>Infrastructure de sécurité Debian</em>.

note: type: <p></p>
en: New FAQ item regarding Debian vs. other Linux distributions.
fr: Nouvel élément de FAQ concernant Debian et les autres distributions Linux.

note: type: <p></p>
en: New section on mail user agents with GPG/PGP functionality in the security tools chapter.
fr: Nouvelle section sur les clients de messagerie avec des fonctionnalités GPG/PGP dans le chapitre outils de sécurité.

note: type: <p></p>
en: Clarified how to enable MD5 passwords in woody, added a pointer to PAM as well as a note regarding the max definition in PAM.
fr: Clarification sur la manière d'activer les mots de passe MD5 dans <em>Woody</em>, ajout d'un lien vers PAM ainsi qu'une note concernant la définition de max dans PAM.

note: type: <p></p>
en: Added a new appendix on how to create chroot environments (after fiddling a bit with makejail and fixing, as well, some of its bugs), integrated duplicate information in all the appendix.
fr: Ajout d'une nouvelle annexe sur la façon de créer des environnements «&nbsp;chroot&nbsp;» (après avoir joué un peu avec <package>makejail</package> et avoir aussi corrigé quelques-uns de ses bogues), intégration des informations dupliquées dans toutes les annexes.

note: type: <p></p>
en: Added some more information regarding <prgn>SSH</prgn> chrooting and its impact on secure file transfers. Some information has been retrieved from the debian-security mailing list (June 2002 thread: <em>secure file transfers</em>).
fr: Ajout d'informations complémentaires concernant le «&nbsp;chrootage&nbsp;» de <prgn>SSH</prgn> et de son impact sur les transferts sécurisés de fichiers. Certaines informations ont été récupérées de la liste de diffusion debian-security (juin&nbsp;2002 discussion&nbsp;: <em>Secure file transfers</em>).

note: type: <p></p>
en: New sections on how to do automatic updates on Debian systems as well as the caveats of using testing or unstable regarding security updates.
fr: Nouvelles sections sur la mise à jour automatique des systèmes Debian ainsi que les dangers d'utiliser la distribution «&nbsp;testing&nbsp;» ou la distribution «&nbsp;unstable&nbsp;» du point de vue des mises à jour de sécurité.

note: type: <p></p>
en: New section regarding keeping up to date with security patches in the <em>Before compromise</em> section as well as a new section about the debian-security-announce mailing list.
fr: Nouvelle section, concernant la manière de rester à jour avec la mise en place de correctifs de sécurité, dans la section <em>avant la compromission</em> ainsi qu'une nouvelle section sur la liste de diffusion debian-security-announce.

note: type: <p></p>
en: Added information on how to automatically generate strong passwords.
fr: Ajouts d'informations sur la manière de créer automatiquement des mots de passe sûrs.

note: type: <p></p>
en: New section regarding login of idle users.
fr: Nouvelle section relative à la connexion des utilisateurs oisifs (<em>idle</em>).

note: type: <p></p>
en: Reorganized the securing mail server section based on the <em>Secure/hardened/minimal Debian (or "Why is the base system the way it is?")</em> thread on the debian-security mailing list (May 2002).
fr: Réorganisation de la section sécurisation du serveur de mail suite à la discussion <em>Secure/hardened/minimal Debian (ou « Why is the base system the way it is? » : pourquoi le système de base est-il comme ça ?)</em> sur la liste de diffusion debian-security (mai&nbsp;2002).

note: type: <p></p>
en: Reorganized the section on kernel network parameters, with information provided in the debian-security mailing list (May 2002, <em>syn flood attacked?</em> thread) and added a new FAQ item as well.
fr: Réorganisation de la section sur les paramètres réseau du noyau, avec les informations fournies par la liste de diffusion debian-security (mai&nbsp;2002, discussion <em>syn flood attacked?</em>) et ajout d'un nouvel élément de FAQ.

note: type: <p></p>
en: New section on how to check users passwords and which packages to install for this.
fr: Nouvelle section sur la manière de vérifier les mots de passe des utilisateurs et quels paquets utiliser pour cela.

note: type: <p></p>
en: New section on PPTP encryption with Microsoft clients discussed in the debian-security mailing list (April 2002).
fr: Nouvelle section sur le chiffrement PPTP avec les clients Microsoft discuté sur la liste de diffusion debian-security (avril&nbsp;2002).

note: type: <p></p>
en: Added a new section describing what problems are there when binding any given service to a specific IP address, this information was written based on the Bugtraq mailing list in the thread: <em>Linux kernel 2.4 "weak end host" issue (previously discussed on debian-security as "arp problem")</em> (started on May 9th 2002 by Felix von Leitner).
fr: Ajout d'une nouvelle section décrivant les problèmes qui peuvent survenir lorsque l'on attribue une adresse IP spécifique pour chaque service, cette information a été écrite d'après une discussion qui s'est tenue sur la liste de diffusion de Bugtraq&nbsp;: <em>Linux kernel 2.4 "weak end host" issue (discuté précédemment sur debian-security sous le titre «&nbsp;arp problem&nbsp;»)</em> (démarré le 9&nbsp;mai&nbsp;2002 par Felix von Leitner).

note: type: <p></p>
en: Added information on <prgn>ssh</prgn> protocol version 2.
fr: Ajout d'informations sur le protocole <prgn>SSH</prgn> version&nbsp;2.

note: type: <p></p>
en: Added two subsections related to Apache secure configuration (the things specific to Debian, that is).
fr: Ajout de deux sous-sections relatives à la configuration sécurisée d'Apache (c'est-à-dire, les éléments spécifiques à Debian).

note: type: <p></p>
en: Added a new FAQ related to raw sockets, one related to /root, an item related to users' groups and another one related to log and configuration files permissions.
fr: Ajout d'une nouvelle FAQ traitant des «&nbsp;raw sockets&nbsp;», une relative à /root, une partie traitant des groupes d'utilisateurs et une autre traitant des permissions des journaux et des permissions des fichiers de configuration.

note: type: <p></p>
en: Added a pointer to a bug in libpam-cracklib that might still be open... (need to check).
fr: Ajout d'un lien vers un bogue dans libpam-cracklib qui pourrait encore être présent... (besoin de vérifier).

note: type: <p></p>
en: Added more information regarding forensics analysis (pending more information on packet inspection tools such as <prgn>tcpflow</prgn>).
fr: Ajout de plus d'informations sur l'analyse avancée (en attente de plus de renseignements sur les outils d'inspection de paquet tels que <prgn>tcpflow</prgn>).

note: type: <p></p>
en: Changed the "what should I do regarding compromise" into a bullet list and included some more stuff.
fr: Transformation de «&nbsp;Que dois-je faire concernant la compromission&nbsp;» en une série d'énumérations et en y ajoutant plus d'éléments.

note: type: <p></p>
en: Added some information on how to set up the Xscreensaver to lock the screen automatically after the configured timeout.
fr: Ajout d'informations sur la configuration de Xscreensaver pour verrouiller l'écran automatiquement après une durée donnée.

note: type: <p></p>
en: Added a note related to the utilities you should not install in the system. Included a note regarding Perl and why it cannot be easily removed in Debian. The idea came after reading Intersect's documents regarding Linux hardening.
fr: Ajout d'une note sur les utilitaires que vous ne devriez pas installer sur un système. Inclusion d'une note concernant Perl et pourquoi il ne peut pas être retiré facilement de Debian. L'idée vient de la lecture des documents d'Intersect concernant le renforcement de Linux.

note: type: <p></p>
en: Added information on lvm and journalling file systems, ext3 recommended. The information there might be too generic, however.
fr: Ajout d'informations sur lvm et les systèmes de fichiers journalisés, ext3 est préconisé. Les informations pourraient cependant y être trop génériques.

note: type: <p></p>
en: Added a link to the online text version (check).
fr: Ajout d'un lien sur la version texte disponible en ligne (à vérifier).

note: type: <p></p>
en: Added some more stuff to the information on firewalling the local system, triggered by a comment made by Hubert Chan in the mailing list.
fr: Ajout d'informations additionnelles sur la protection par pare-feu d'un système local, faisant suite à un commentaire d'Hubert Chan sur la liste de diffusion.

note: type: <p></p>
en: Added more information on PAM limits and pointers to Kurt Seifried's documents (related to a post by him to Bugtraq on April 4th 2002 answering a person that had ``discovered'' a vulnerability in Debian GNU/Linux related to resource starvation).
fr: Ajout d'informations sur les limites de PAM et de liens vers les documents de Kurt Seifried (relatifs à un de ses messages sur Bugtraq le 4&nbsp;avril&nbsp;2002 répondant à une personne qui «&nbsp;découvrit&nbsp;» une vulnérabilité dans Debian GNU/Linux relative à l'insuffisance de ressources).

note: type: <p></p>
en: As suggested by Julián Muñoz, provided more information on the default Debian umask and what a user can access if he has been given a shell in the system (scary, huh?).
fr: Comme suggéré par Julián Muñoz, ajout d'informations supplémentaires sur l'umask par défaut de Debian et ce à quoi un utilisateur peut accéder si on lui a donné une invite de commande sur le système (effrayant, non&nbsp;?)

note: type: <p></p>
en: Included a note in the BIOS password section due to a comment from Andreas Wohlfeld.
fr: Inclusion d'une note dans la section du mot de passe BIOS suite à un commentaire d'Andreas Wohlfeld.

note: type: <p></p>
en: Included patches provided by Alfred E. Heggestad fixing many of the typos still present in the document.
fr: Inclusion des correctifs fournis par Alfred E. Heggestad corrigeant beaucoup de fautes encore présentes dans le document.

note: type: <p></p>
en: Added a pointer to the changelog in the Credits section since most people who contribute are listed here (and not there).
fr: Ajout d'un lien vers le journal de modifications dans la section des remerciements car la plupart des personnes qui ont contribué sont cités ici (et pas là-bas).

note: type: <p></p>
en: Added a few more notes to the chattr section and a new section after installation talking about system snapshots. Both ideas were contributed by Kurt Pomeroy.
fr: Ajout de quelques notes complémentaires dans la section de chattr et d'une nouvelle section après l'installation qui parle des images systèmes. Les deux idées sont la contribution de Kurt Pomeroy.

note: type: <p></p>
en: Added a new section after installation just to remind users to change the boot-up sequence.
fr: Ajout d'une nouvelle section après l'installation juste pour rappeler aux utilisateurs de changer la séquence de démarrage.

note: type: <p></p>
en: Added some more TODO items provided by Korn Andras.
fr: Ajout d'éléments restant à faire (TODO) fournis par Korn Andras.

note: type: <p></p>
en: Added a pointer to the NIST's guidelines on how to secure DNS provided by Daniel Quinlan.
fr: Ajout d'un lien vers les recommandations du NIST sur la manière de sécuriser un DNS. Cette contribution nous est fournie par Daniel Quinlan.

note: type: <p></p>
en: Added a small paragraph regarding Debian's SSL certificates infrastructure.
fr: Ajout d'un petit paragraphe concernant l'infrastructure des certificats SSL de Debian.

note: type: <p></p>
en: Added Daniel Quinlan's suggestions regarding <prgn>ssh</prgn> authentication and exim's relay configuration.
fr: Ajout des suggestions de Daniel Quinlan concernant l'authentification <prgn>SSH</prgn> et la configuration d'Exim en relais.

note: type: <p></p>
en: Added more information regarding securing bind including changes suggested by Daniel Quinlan and an appendix with a script to make some of the changes commented on in that section.
fr: Ajout de plus d'informations concernant la sécurisation de BIND incluant les modifications suggérées par Daniel Quinlan et une annexe avec un script pour faire quelques uns des changements commentés dans cette section.

note: type: <p></p>
en: Added a pointer to another item regarding Bind chrooting (needs to be merged).
fr: Ajout d'un lien vers un autre élément concernant le «&nbsp;chrootage&nbsp;» de BIND (a besoin d'être fusionné).

note: type: <p></p>
en: Added a one liner contributed by Cristian Ionescu-Idbohrn to retrieve packages with tcpwrappers support.
fr: Ajout d'une ligne de Cristian Ionescu-Idbohrn pour récupérer les paquets avec gestion des tcpwrappers.

note: type: <p></p>
en: Added a little bit more info on Debian's default PAM setup.
fr: Ajout d'un peu plus d'informations sur la configuration PAM par défaut de la Debian.

note: type: <p></p>
en: Included a FAQ question about using PAM to provide services without shell accounts.
fr: Inclusion d'une question dans la FAQ au sujet de l'utilisation de PAM pour fournir des services sans compte shell.

note: type: <p></p>
en: Moved two FAQ items to another section and added a new FAQ regarding attack detection (and compromised systems).
fr: Déplacement de deux éléments de la FAQ dans une autre section et ajout d'une nouvelle FAQ concernant la détection des attaques (et des systèmes corrompus).

note: type: <p></p>
en: Included information on how to set up a bridge firewall (including a sample Appendix). Thanks to Francois Bayart who sent this to me in March.
fr: Inclusion d'informations sur la configuration d'un pont pare-feu (incluant une annexe d'exemple). Merci à François Bayart qui m'a envoyé ça en mars.

note: type: <p></p>
en: Added a FAQ regarding the syslogd's <em>MARK</em> <em>heartbeat</em> from a question answered by Noah Meyerhans and Alain Tesio in December 2001.
fr: Ajout d'une FAQ concernant les <em>MARK</em> d'heartbeat dans le syslogd d'après une question à laquelle Noah Meyerhans et Alain Tesio ont répondu en décembre&nbsp;2001.

note: type: <p></p>
en: Included information on buffer overflow protection as well as some information on kernel patches.
fr: Inclusion d'informations sur la protection contre les débordements de tampons ainsi que quelques informations sur les correctifs du noyau.

note: type: <p></p>
en: Added more information (and reorganized) the firewall section. Updated the information regarding the iptables package and the firewall generators available.
fr: Ajout d'informations supplémentaires (et réorganisation) de la section pare-feu. Mise à jour des informations concernant le paquet iptables et les générateurs de pare-feu disponibles.

note: type: <p></p>
en: Reorganized the information regarding log checking, moved logcheck information from host intrusion detection to that section.
fr: Réorganisation des informations concernant la vérification des journaux, déplacement des informations de logcheck sur la détection d'intrusion machine vers cette section.

note: type: <p></p>
en: Added some information on how to prepare a static package for bind for chrooting (untested).
fr: Ajout d'informations sur la manière de préparer un paquet statique pour BIND dans l'optique d'un «&nbsp;chrootage&nbsp;» (non testé).

note: type: <p></p>
en: Added a FAQ item regarding some specific servers/services (could be expanded with some of the recommendations from the debian-security list).
fr: Ajout d'un élément de FAQ concernant certains serveurs/services spécifiques (pourrait être développé avec quelques unes des recommandations de la liste de diffusion debian-security).

note: type: <p></p>
en: Added some information on RPC services (and when it's necessary).
fr: Ajout d'informations sur les services RPC (et quand ils sont nécessaires).

note: type: <p></p>
en: Added some more information on capabilities (and what lcap does). Is there any good documentation on this? I haven't found any documentation on my 2.4 kernel.
fr: Ajout de plus d'informations sur les capacités («&nbsp;capabilities&nbsp;») en matière de sécurité (et ce que fait lcap). Y a-t-il une bonne documentation sur ce sujet&nbsp;? Je n'ai trouvé aucune documentation sur mon noyau&nbsp;2.4.

note: type: <p></p>
en: Fixed some typos.
fr: Correction de fautes de frappes.

note: type: <heading></heading>
en: Version 2.4
fr: Version&nbsp;2.4

note: type: <p></p>
en: Rewritten part of the BIOS section.
fr: Réécriture d'une partie de la section BIOS.

note: type: <heading></heading>
en: Version 2.3
fr: Version&nbsp;2.3

note: type: <p></p>
en: Wrapped most file locations with the file tag.
fr: Encadrement de la plupart des emplacements de fichiers par la balise «&nbsp;file&nbsp;».

note: type: <p></p>
en: Fixed typo noticed by Edi Stojicevi.
fr: Correction de fautes signalées par Edi Stojicevi.

note: type: <p></p>
en: Slightly changed the remote audit tools section.
fr: Légère modification de la section des outils d'audit distant.

note: type: <p></p>
en: Added some todo items.
fr: Ajout d'éléments à faire.

note: type: <p></p>
en: Added more information regarding printers and cups config file (taken from a thread on debian-security).
fr: Ajout d'informations concernant les imprimantes et du fichier de configuration de CUPS (tiré d'une discussion sur debian-security).

note: type: <p></p>
en: Added a patch submitted by Jesus Climent regarding access of valid system users to Proftpd when configured as anonymous server.
fr: Ajout d'un correctif proposé par Jesus Climent concernant l'accès d'utilisateurs valables du système à ProFTPD quand il est configuré en serveur anonyme.

note: type: <p></p>
en: Small change on partition schemes for the special case of mail servers.
fr: Petite modification aux schémas de partitionnement dans le cas particulier des serveurs de messagerie.

note: type: <p></p>
en: Added Hacking Linux Exposed to the books section.
fr: Ajout du livre «&nbsp;Hacking Linux Exposed&nbsp;» à la section des livres.

note: type: <p></p>
en: Fixed directory typo noticed by Eduardo Pérez Ureta.
fr: Correction d'une faute de frappe sur un répertoire signalée par Eduardo Pérez Ureta.

note: type: <p></p>
en: Fixed /etc/ssh typo in checklist noticed by Edi Stojicevi.
fr: Correction d'une coquille dans /etc/ssh dans la liste de contrôle signalée par Edi Stojicevi.

note: type: <p></p>
en: Fixed location of dpkg conffile.
fr: Correction de l'emplacement du fichier de configuration de dpkg.

note: type: <p></p>
en: Remove Alexander from contact information.
fr: Suppression d'Alexander des informations sur les contacts.

note: type: <p></p>
en: Added alternate mail address.
fr: Ajout d'une autre adresse électronique.

note: type: <p></p>
en: Fixed Alexander mail address (even if commented out).
fr: Correction de l'adresse électronique d'Alexander (même si elle est commentée).

note: type: <p></p>
en: Fixed location of release keys (thanks to Pedro Zorzenon for pointing this out).
fr: Correction de l'emplacement des clefs de versions (merci à Pedro Zorzenon pour avoir relevé cette erreur).

note: type: <heading></heading>
en: Version 2.2
fr: Version&nbsp;2.2

note: type: <p></p>
en: Fixed typos, thanks to Jamin W. Collins.
fr: Corrections de fautes, merci à Jamin W. Collins pour ces corrections.

note: type: <p></p>
en: Added a reference to apt-extracttemplate manpage (documents the APT::ExtractTemplate config).
fr: Ajout d'une référence à la page de manuel d'apt-extracttemplate (documentation sur la configuration de APT::ExtractTemplate).

note: type: <p></p>
en: Added section about restricted SSH. Information based on that posted by Mark Janssen, Christian G. Warden and Emmanuel Lacour on the debian-security mailing list.
fr: Ajout d'une section concernant la limitation de SSH. Informations basées sur celles qui ont été postées par Mark Janssen, Christian G. Warden et Emmanuel Lacour sur la liste de diffusion debian-security.

note: type: <p></p>
en: Added information on antivirus software.
fr: Ajout d'informations sur les logiciels antivirus.

note: type: <p></p>
en: Added a FAQ: su logs due to the cron running as root.
fr: Ajout d'une FAQ&nbsp;: journaux de su provenant du fait que cron fonctionne en tant que superutilisateur.

note: type: <heading></heading>
en: Version 2.1
fr: Version&nbsp;2.1

note: type: <p></p>
en: Changed FIXME from lshell thanks to Oohara Yuuma.
fr: Modifications du «&nbsp;FIXME&nbsp;» de lshell, merci à Oohara Yuuma.

note: type: <p></p>
en: Added package to sXid and removed comment since it *is* available.
fr: Ajout d'un paquet sXid et retrait du commentaire étant donné qu'il est disponible.

note: type: <p></p>
en: Fixed a number of typos discovered by Oohara Yuuma.
fr: De nombreuses fautes relevées par Oohara Yuuma ont été corrigées.

note: type: <p></p>
en: ACID is now available in Debian (in the acidlab package) thanks to Oohara Yuuma for noticing.
fr: ACID est maintenant disponible dans Debian (dans le paquet acidlab).

note: type: <p></p>
en: Fixed LinuxSecurity links (thanks to Dave Wreski for telling).
fr: Liens de LinuxSecurity corrigés (merci à Dave Wreski de nous l'avoir signalé).

note: type: <heading></heading>
en: Version 2.0
fr: Version&nbsp;2.0

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña. I wanted to change to 2.0 when all the FIXMEs were fixed but I ran out of 1.9X numbers :(.
fr: Modifications de Javier Fernández-Sanguino Peña. « Je voulais passer à 2.0 quand tous les «&nbsp;FIXME&nbsp;» auraient été supprimés mais j'ai manqué de numéro dans la série 1.9X&nbsp;:( ».

note: type: <p></p>
en: Converted the HOWTO into a Manual (now I can properly say RTFM).
fr: Transformation du HOWTO en Manuel (maintenant je peux dire RTFM).

note: type: <p></p>
en: Added more information regarding tcp wrappers and Debian (now many services are compiled with support for them so it's no longer an <prgn>inetd</prgn> issue).
fr: Ajout d'informations concernant l'encapsulation TCP et Debian (maintenant plusieurs services sont compilés avec la prise en charge adéquate&nbsp;; ainsi cela n'est plus un problème d'<prgn>inetd</prgn>).

note: type: <p></p>
en: Clarified the information on disabling services to make it more consistent (rpc info still referred to update-rc.d).
fr: Clarification des informations sur la désactivation des services pour la rendre plus cohérente (les informations RPC se réfèrent toujours à update-rc.d).

note: type: <p></p>
en: Added small note on lprng.
fr: Ajout d'une petite note sur lprn.

note: type: <p></p>
en: Added some more info on compromised servers (still very rough).
fr: Ajout de quelques renseignements sur les serveurs corrompus (toujours très approximatif).

note: type: <p></p>
en: Fixed typos reported by Mark Bucciarelli.
fr: Corrections des fautes signalées par Mark Bucciarelli.

note: type: <p></p>
en: Added some more steps in password recovery to cover the cases when the admin has set paranoid-mode=on.
fr: Ajout d'étapes supplémentaires sur la récupération des mots de passe lorsque l'administrateur a paramétré paranoid-mode=on.

note: type: <p></p>
en: Added some information to set paranoid-mode=on when login in console.
fr: Ajout d'informations pour paramétrer paranoid-mode=on lorsque l'on se connecte en mode console.

note: type: <p></p>
en: New paragraph to introduce service configuration.
fr: Nouveau paragraphe pour présenter la configuration des services.

note: type: <p></p>
en: Reorganized the <em>After installation</em> section so it is more broken up into several issues and it's easier to read.
fr: Réorganisation de la section <em>Après l'installation</em> afin de permettre une lecture plus aisée du document.

note: type: <p></p>
en: Wrote information on how to set up firewalls with the standard Debian 3.0 setup (iptables package).
fr: Informations sur la manière de paramétrer des pare-feu avec l'installation standard de Debian&nbsp;3.0 (paquet iptables).

note: type: <p></p>
en: Small paragraph explaining why installing connected to the Internet is not a good idea and how to avoid this using Debian tools.
fr: Petit paragraphe détaillant pourquoi l'installation par le réseau n'est pas une bonne idée et comment on peut l'éviter en utilisant les outils Debian.

note: type: <p></p>
en: Small paragraph on timely patching referencing to IEEE paper.
fr: Petit paragraphe sur un article de l'IEEE qui souligne l'importance d'une application rapide des correctifs.

note: type: <p></p>
en: Appendix on how to set up a Debian snort box, based on what Vladimir sent to the debian-security mailing list (September 3rd 2001).
fr: Annexe sur la manière de paramétrer une machine snort Debian, basé sur ce que Vladimir a envoyé à la liste de diffusion debian-security (le 3&nbsp;septembre&nbsp;2001).

note: type: <p></p>
en: Information on how logcheck is set up in Debian and how it can be used to set up HIDS.
fr: Information sur la manière dont est configurée logcheck dans Debian et comment il peut être utilisé pour paramétrer HIDS.

note: type: <p></p>
en: Information on user accounting and profile analysis.
fr: Informations sur les comptes utilisateurs et sur les analyses de profils.

note: type: <p></p>
en: Included apt.conf configuration for read-only /usr copied from Olaf Meeuwissen's post to the debian-security mailing list.
fr: Inclusion de la configuration de apt.conf pour un /usr en lecture seule&nbsp;; copié à partir du courrier d'Olaf Meeuwissen envoyé à la liste de diffusion debian-security.

note: type: <p></p>
en: New section on VPN with some pointers and the packages available in Debian (needs content on how to set up the VPNs and Debian-specific issues), based on Jaroslaw Tabor's and Samuli Suonpaa's post to debian-security.
fr: Nouvelle section sur le VPN qui contient quelques liens ainsi que les paquets disponibles dans Debian (besoin de contenu concernant l'installation de VPN et les problèmes spécifiques à Debian) basé sur les courriers de Jaroslaw Tabor et Samuli Suonpaa postés sur la liste de diffusion debian-security.

note: type: <p></p>
en: Small note regarding some programs to automatically build chroot jails.
fr: Petite note concernant quelques programmes pour construire automatiquement des prisons «&nbsp;chrootées&nbsp;».

note: type: <p></p>
en: New FAQ item regarding identd based on a discussion in the debian-security mailing list (February 2002, started by Johannes Weiss).
fr: Nouveau sujet de FAQ concernant identd d'après une discussion sur la liste de diffusion debian-security (février&nbsp;2002, commencé par Johannes Weiss).

note: type: <p></p>
en: New FAQ item regarding <prgn>inetd</prgn> based on a discussion in the debian-security mailing list (February 2002).
fr: Nouveau sujet de FAQ concernant <prgn>inetd</prgn> d'après une discussion sur la liste de diffusion debian-security (février&nbsp;2002).

note: type: <p></p>
en: Introduced note on rcconf in the "disabling services" section.
fr: Note d'introduction sur rcconf dans la section «&nbsp;désactivation de services&nbsp;».

note: type: <p></p>
en: Varied the approach regarding LKM, thanks to Philipe Gaspar.
fr: Diverses approches concernant le LKM. Remerciements à Philipe Gaspar.

note: type: <p></p>
en: Added pointers to CERT documents and Counterpane resources.
fr: Ajouts de liens vers les documents du CERT et les ressources Couterpane.

note: type: <heading></heading>
en: Version 1.99
fr: Version&nbsp;1.99

note: type: <p></p>
en: Added a new FAQ item regarding time to fix security vulnerabilities.
fr: Ajout d'un nouveau sujet de FAQ concernant le temps de réaction à avoir pour corriger les failles de sécurité.

note: type: <p></p>
en: Reorganized FAQ sections.
fr: Réorganisation des sections de la FAQ.

note: type: <p></p>
en: Started writing a section regarding firewalling in Debian GNU/Linux (could be broadened a bit).
fr: Début d'une section concernant les pare-feu dans Debian GNU/Linux (pourrait être un peu élargie).

note: type: <p></p>
en: Fixed typos sent by Matt Kraai.
fr: Corrections de fautes signalées par Matt Kraai.

note: type: <p></p>
en: Fixed DNS information.
fr: Correction sur les informations DNS.

note: type: <p></p>
en: Added information on whisker and nbtscan to the auditing section.
fr: Ajout d'informations sur whisker et nbtscan à la section audit.

note: type: <p></p>
en: Fixed some wrong URLs.
fr: Correction d'URL erronées.

note: type: <heading></heading>
en: Version 1.98
fr: Version&nbsp;1.98

note: type: <p></p>
en: Added a new section regarding auditing using Debian GNU/Linux.
fr: Ajout d'une nouvelle section concernant l'utilisation de Debian GNU/Linux pour réaliser des audits.

note: type: <p></p>
en: Added info regarding finger daemon taken from the security mailing list.
fr: Ajout de renseignements sur le démon finger d'après la liste de diffusion debian-security.

note: type: <heading></heading>
en: Version 1.97
fr: Version&nbsp;1.97

note: type: <p></p>
en: Fixed link for Linux Trustees.
fr: Correction du lien pour Linux Trustees.

note: type: <p></p>
en: Fixed typos (patches from Oohara Yuuma and Pedro Zorzenon).
fr: Correction de fautes (correctifs d'Oohara Yuuma et Pedro Zorzenon).

note: type: <p></p>
en: Reorganized service installation and removal and added some new notes.
fr: Réorganisation de la section installation et suppression de services et ajout de nouvelles notes.

note: type: <p></p>
en: Added some notes regarding using integrity checkers as intrusion detection tools.
fr: Ajout de quelques notes concernant l'utilisation d'outils tels que les outils de détection d'intrusion.

note: type: <p></p>
en: Added a chapter regarding package signatures.
fr: Ajout d'un chapitre concernant la signature de paquets.

note: type: <heading></heading>
en: Version 1.95
fr: Version&nbsp;1.95

note: type: <p></p>
en: Added notes regarding Squid security sent by Philipe Gaspar.
fr: Ajout de notes concernant la sécurité de Squid envoyées par Philipe Gaspar.

note: type: <p></p>
en: Fixed rootkit links thanks to Philipe Gaspar.
fr: Correction de liens rootkit. Merci à Philipe Gaspar.

note: type: <heading></heading>
en: Version 1.94
fr: Version&nbsp;1.94

note: type: <p></p>
en: Added some notes regarding Apache and Lpr/lpng.
fr: Ajout de quelques notes concernant Apache et Lpr/lpng.

note: type: <p></p>
en: Added some information regarding noexec and read-only partitions.
fr: Ajout d'informations concernant les partitions noexec et readonly.

note: type: <p></p>
en: Rewrote how users can help in Debian security issues (FAQ item).
fr: Réécriture de la manière dont les utilisateurs peuvent aider aux problèmes liés à la sécurité Debian (sujet d'une FAQ).

note: type: <heading></heading>
en: Version 1.93
fr: Version&nbsp;1.93

note: type: <p></p>
en: Fixed location of mail program.
fr: Correction de l'emplacement du programme mail.

note: type: <p></p>
en: Added some new items to the FAQ.
fr: Ajout de nouveaux sujets à la FAQ.

note: type: <heading></heading>
en: Version 1.92
fr: Version&nbsp;1.92

note: type: <p></p>
en: Added a small section on how Debian handles security.
fr: Ajout d'une petite section sur la manière dont Debian s'occupe de la sécurité.

note: type: <p></p>
en: Clarified MD5 passwords (thanks to `rocky').
fr: Clarification sur les mots de passe MD5 (merci à «&nbsp;rocky&nbsp;»).

note: type: <p></p>
en: Added some more information regarding harden-X from Stephen van Egmond.
fr: Ajout d'informations concernant le renforcement de X par Stephen van Egmond.

note: type: <heading></heading>
en: Version 1.91
fr: Version&nbsp;1.91

note: type: <p></p>
en: Added some forensics information sent by Yotam Rubin.
fr: Ajout d'informations détaillées envoyées par Yotam Rubin.

note: type: <p></p>
en: Added information on how to build a honeynet using Debian GNU/Linux.
fr: Ajout de renseignements sur la manière de mettre en place un «&nbsp;honeynet&nbsp;» en utilisant Debian GNU/Linux.

note: type: <p></p>
en: Added some more TODOS.
fr: Ajout de TODO supplémentaires.

note: type: <p></p>
en: Fixed more typos (thanks Yotam!).
fr: Correction de nouvelles fautes (merci Yotam&nbsp;!).

note: type: <heading></heading>
en: Version 1.9
fr: Version&nbsp;1.9

note: type: <p></p>
en: Added patch to fix misspellings and some new information (contributed by Yotam Rubin).
fr: Correction des «&nbsp;fautes d'orthographe&nbsp;» et nouvelles informations (contributions de Yotam Rubin).

note: type: <p></p>
en: Added references to other online (and offline) documentation both in a section (see <ref id="references">) by itself and inline in some sections.
fr: Ajout de liens vers d'autres documents en ligne (et hors ligne) tous deux figurant dans la section (consultez <ref id="references">).

note: type: <p></p>
en: Added some information on configuring Bind options to restrict access to the DNS server.
fr: Ajout d'informations sur la configuration d'options de BIND pour restreindre l'accès au serveur DNS.

note: type: <p></p>
en: Added information on how to automatically harden a Debian system (regarding the harden package and bastille).
fr: Ajout d'informations sur la consolidation automatique d'un système Debian (par référence aux paquets harden et bastille).

note: type: <p></p>
en: Removed some done TODOs and added some new ones.
fr: Suppression de quelques TODO terminés et ajout de nouveaux.

note: type: <heading></heading>
en: Version 1.8
fr: Version&nbsp;1.8

note: type: <p></p>
en: Added the default user/group list provided by Joey Hess to the debian-security mailing list.
fr: Ajout de la liste des utilisateurs et des groupes standards, donnée par Joey Hess à la liste de discussion debian-security.

note: type: <p></p>
en: Added information on LKM root-kits (<ref id="LKM">) contributed by Philipe Gaspar.
fr: Ajout d'informations sur les «&nbsp;rootkits&nbsp;» LKM (<ref id="LKM">) avec la contribution de Philipe Gaspar.

note: type: <p></p>
en: Added information on Proftp contributed by Emmanuel Lacour.
fr: Ajout d'informations sur ProFTPD avec la contribution d'Emmanuel Lacour.

note: type: <p></p>
en: Recovered the checklist Appendix from Era Eriksson.
fr: Rajout de l'annexe «&nbsp;pense-bête&nbsp;» d'Era Eriksson.

note: type: <p></p>
en: Added some new TODO items and removed other fixed ones.
fr: Ajout de nouveaux TODO et retrait de ceux terminés.

note: type: <p></p>
en: Manually included Era's patches since they were not all included in the previous version.
fr: Ajout manuel des correctifs d'Era car ils n'ont pas été inclus dans la version précédente.

note: type: <heading></heading>
en: Version 1.7
fr: Version&nbsp;1.7

note: type: <p><list>
en: Changes by Era Eriksson.
fr: Modifications d'Era Eriksson.

note: type: <p></p>
en: Typo fixes and wording changes.
fr: Fautes de frappes et changements de formulation.

note: type: <p></p>
en: Minor changes to tags in order to keep on removing the tt tags and substitute prgn/package tags for them.
fr: Changements mineurs de balises&nbsp;: supprimer les balises tt et les remplacer par les balises prgn/package.

note: type: <heading></heading>
en: Version 1.6
fr: Version&nbsp;1.6

note: type: <p></p>
en: Added pointer to document as published in the DDP (should supersede the original in the near future).
fr: Ajout d'un lien sur le document publié dans le DDP (devrait à terme remplacer l'original).

note: type: <p></p>
en: Started a mini-FAQ (should be expanded) with some questions recovered from my mailbox.
fr: Démarrage d'une mini-FAQ (qui devrait être élargie) avec quelques questions récupérées depuis ma boite de réception.

note: type: <p></p>
en: Added general information to consider while securing.
fr: Ajout d'informations générales concernant la sécurisation.

note: type: <p></p>
en: Added a paragraph regarding local (incoming) mail delivery.
fr: Ajout d'un paragraphe au sujet de la distribution de courriers locaux.

note: type: <p></p>
en: Added some pointers to more information.
fr: Ajout de quelques liens vers d'autres sources d'informations.

note: type: <p></p>
en: Added information regarding the printing service.
fr: Ajout d'informations sur le service d'impression.

note: type: <p></p>
en: Added a security hardening checklist.
fr: Ajout d'une liste de tâches sur le renforcement de la sécurité.

note: type: <p></p>
en: Reorganized NIS and RPC information.
fr: Réorganisation des informations sur NIS et RPC.

note: type: <p></p>
en: Added some notes taken while reading this document on my new Visor :).
fr: Ajout de quelques notes lors de la lecture de ce document sur mon nouveau Visor&nbsp;:).

note: type: <p></p>
en: Fixed some badly formatted lines.
fr: Correction de certaines lignes mal formatées.

note: type: <p></p>
en: Added a Genius/Paranoia idea contributed by Gaby Schilders.
fr: Ajout d'une idée Géniale/Paranoïaque avec la contribution de Gaby Schilders.

note: type: <heading></heading>
en: Version 1.5
fr: Version&nbsp;1.5

note: type: <p><list>
en: Changes by Josip Rodin and Javier Fernández-Sanguino Peña.
fr: Modifications de Josip Rodin et Javier Fernández-Sanguino Peña.

note: type: <p></p>
en: Added paragraphs related to BIND and some FIXMEs.
fr: Ajout de paragraphes concernant BIND et quelques FIXME.

note: type: <heading></heading>
en: Version 1.4
fr: Version&nbsp;1.4

note: type: <p></p>
en: Small setuid check paragraph
fr: Petit paragraphe sur la vérification des «&nbsp;setuid&nbsp;»

note: type: <p></p>
en: Various minor cleanups.
fr: Différents nettoyages mineurs.

note: type: <p></p>
en: Found out how to use <tt>sgml2txt -f</tt> for the txt version.
fr: Découverte de la manière d'utiliser <tt>sgml2txt -f</tt> pour la version texte.

note: type: <heading></heading>
en: Version 1.3
fr: Version&nbsp;1.3

note: type: <p></p>
en: Added a security update after installation paragraph.
fr: Ajout de mise à jour de sécurité après le paragraphe «&nbsp;après installation&nbsp;».

note: type: <p></p>
en: Added a proftpd paragraph.
fr: Ajout d'un paragraphe ProFTPD.

note: type: <p></p>
en: This time really wrote something about XDM, sorry for last time.
fr: Cette fois, quelque chose concernant XDM a réellement été écrit. Désolé pour la dernière fois.

note: type: <heading></heading>
en: Version 1.2
fr: Version&nbsp;1.2

note: type: <p></p>
en: Lots of grammar corrections by James Treacy, new XDM paragraph.
fr: Beaucoup de corrections grammaticales de James Treacy, nouveau paragraphe XDM.

note: type: <heading></heading>
en: Version 1.1
fr: Version&nbsp;1.1

note: type: <p></p>
en: Typo fixes, miscellaneous additions.
fr: Corrections de fautes de frappes, divers ajouts.

note: type: <heading></heading>
en: Version 1.0
fr: Version&nbsp;1.0

note: type: <p></p>
en: Initial release.
fr: Première publication.

note: type: <heading></heading>
en: Credits and thanks!
fr: Remerciements

note: type: <p></p>
en: Alexander Reelsen wrote the original document.
fr: Alexander Reelsen qui a écrit le document original.

note: type: <p></p>
en: Javier Fernández-Sanguino added more info to the original doc.
fr: Javier Fernández-Sanguino qui a ajouté des informations au document original.

note: type: <p></p>
en: Robert van der Meulen provided the quota paragraphs and many good ideas.
fr: Robert van der Meulen pour les paragraphes sur les quotas ainsi que de nombreuses bonnes idées.

note: type: <p></p>
en: Ethan Benson corrected the PAM paragraph and had some good ideas.
fr: Ethan Benson qui a corrigé le paragraphe sur PAM et qui a eu quelques idées de qualité.

note: type: <p></p>
en: Dariusz Puchalak contributed some information to several chapters.
fr: Dariusz Puchalak qui a contribué aux informations de plusieurs chapitres.

note: type: <p></p>
en: Gaby Schilders contributed a nice Genius/Paranoia idea.
fr: Gaby Schilders qui a eu une idée Géniale/Paranoïaque sympathique.

note: type: <p></p>
en: Era Eriksson smoothed out the language in a lot of places and contributed the checklist appendix.
fr: Era Eriksson qui a éliminé les fautes de langage et qui a contribué à l'annexe «&nbsp;pense-bête&nbsp;».

note: type: <p></p>
en: Philipe Gaspar wrote the LKM information.
fr: Philipe Gaspar qui a écrit les informations concernant LKM.

note: type: <p></p>
en: Yotam Rubin contributed fixes for many typos as well as information regarding bind versions and MD5 passwords.
fr: Yotam Rubin qui a contribué des correctifs pour de nombreuses fautes de frappe ainsi que les informations liées aux versions de BIND et aux mots de passe MD5.

note: type: <p></p>
en: Francois Bayart provided the appendix describing how to set up a bridge firewall.
fr: François Bayart pour l'annexe décrivant la mise en place d'un pont pare-feu.

note: type: <p></p>
en: Joey Hess wrote the section describing how Secure Apt works on the <url id="http://wiki.debian.org/SecureApt" name="Debian Wiki">.
fr: Joey Hess qui rédigea la section décrivant comment apt sécurisé fonctionne dans le <url id="http://wiki.debian.org/SecureApt" name="wiki de Debian">.

note: type: <p></p>
en: Martin F. Krafft wrote some information on his blog regarding fingerprint verification which was also reused for the Secure Apt section.
fr: Martin F. Krafft qui ajouta quelques informations dans son blog à propos de la vérification des empreintes digitales (fingerprint) et qui furent réutilisées dans la section sur apt sécurisé.

note: type: <p></p>
en: Francesco Poli did an extensive review of the manual and provided quite a lot of bug reports and typo fixes which improved and helped update the document.
fr: Francesco Poli qui fit une révision approfondie du manuel et fournit un grand nombre de rapports de bogue et de correctifs typographiques qui ont amélioré et aidé à mettre à jour le document.

note: type: <p></p>
en: All the people who made suggestions for improvements that (eventually) were included here (see <ref id="changelog">).
fr: Toutes les personnes qui m'ont suggéré des améliorations qui furent finalement incluses ici (consultez <ref id="changelog">).

note: type: <p></p>
en: (Alexander) All the folks who encouraged me to write this HOWTO (which was later turned into a manual).
fr: Tous ceux qui m'ont encouragé (Alexander) à écrire ce HOWTO (qui devint plus tard ce manuel).

note: type: <p></p>
en: The whole Debian project.
fr: Tout le projet Debian.

note: type: <heading></heading>
en: Before you begin
fr: Avant de commencer

note: type: <heading></heading>
en: What do you want this system for?
fr: Que voulez-vous faire du système&nbsp;?

note: type: <p></p>
en: Securing Debian is not very different from securing any other system; in order to do it properly, you must first decide what you intend to do with it. After this, you will have to consider that the following tasks need to be taken care of if you want a really secure system.
fr: Sécuriser un système Debian n'est pas différent de la sécurisation d'un autre système. Afin de procéder correctement, vous devez tout d'abord décider quelle en sera l'utilisation. Ensuite, vous devez penser aux tâches à prendre en compte si vous désirez réellement sécuriser le système.

note: type: <p><list>
en: You will find that this manual is written from the bottom up, that is, you will read some information on tasks to do before, during and after you install your Debian system. The tasks can also be thought of as:
fr: Vous constaterez que ce manuel va du début à la fin, c'est-à-dire que vous trouverez des informations sur les tâches à réaliser avant, pendant et après l'installation du système Debian. Les tâches peuvent être découpées comme ceci&nbsp;:

note: type: <p></p>
en: Decide which services you need and limit your system to those. This includes deactivating/uninstalling unneeded services, and adding firewall-like filters, or tcpwrappers.
fr: décider quels sont les services dont vous avez besoin et vous limiter à ceux-là. Cela comprend la désactivation ou la désinstallation des services inutiles et l'ajout de filtres de type pare-feu ou de tcpwrappers ;

note: type: <p></p>
en: Limit users and permissions in your system.
fr: limiter les utilisateurs et les permissions sur le système ;

note: type: <p></p>
en: Harden offered services so that, in the event of a service compromise, the impact to your system is minimized.
fr: consolider les services disponibles&nbsp;; ainsi, même en cas d'intrusion, l'impact sur le système sera minimisé ;

note: type: <p></p>
en: Use appropriate tools to guarantee that unauthorized use is detected so that you can take appropriate measures.
fr: utiliser des outils appropriés pour garantir qu'une utilisation non autorisée sera détectée et que vous pourrez prendre des mesures adéquates.

note: type: <heading></heading>
en: Be aware of general security problems
fr: Être conscient des problèmes de sécurité

note: type: <p></p>
en: The following manual does not (usually) go into the details on why some issues are considered security risks. However, you might want to have a better background regarding general UNIX and (specific) Linux security. Take some time to read over security related documents in order to make informed decisions when you are encountered with different choices. Debian GNU/Linux is based on the Linux kernel, so much of the information regarding Linux, as well as from other distributions and general UNIX security also apply to it (even if the tools used, or the programs available, differ).
fr: Ce manuel n'explique pas pourquoi certains problèmes sont considérés comme des risques pour la sécurité. Toutefois, vous pourriez désirer avoir une meilleure vision de la sécurité sur les systèmes UNIX et plus particulièrement le système Linux. Prenez le temps de consulter les documentations relatives à la sécurité afin que, confronté à différents choix, vous puissiez prendre des décisions éclairées. Debian GNU/Linux est basée sur le noyau Linux&nbsp;; aussi, la plupart des informations concernant Linux, venant d'autres distributions ou d'UNIX en général, peuvent être appliquées (même si les outils utilisés ou les programmes disponibles diffèrent).

note: type: <p><list>
en: Some useful documents include:
fr: Quelques documents pratiques.

note: type: <p></p>
en: The <url id="http://www.tldp.org/HOWTO/Security-HOWTO/" name="Linux Security HOWTO"> (also available at <url id="http://www.linuxsecurity.com/docs/LDP/Security-HOWTO.html" name="LinuxSecurity">) is one of the best references regarding general Linux security.
fr: Le <url id="http://www.tldp.org/HOWTO/Security-HOWTO.html" name="Linux Security HOWTO"> (aussi disponible sur <url id="http://www.linuxsecurity.com/docs/LDP/Security-HOWTO.html" name="LinuxSecurity">) est une des meilleures références concernant la sécurité Linux.

note: type: <p></p>
en: The <url id="http://www.tldp.org/HOWTO/Security-Quickstart-HOWTO/" name="Security Quick-Start HOWTO for Linux"> is also a very good starting point for novice users (both to Linux and security).
fr: Le <url id="http://www.linuxsecurity.com/docs/LDP/Security-Quickstart-HOWTO/" name="Security Quick-Start HOWTO for Linux"> est également une très bonne base pour les utilisateurs néophytes (aussi bien de Linux qu'en matière de sécurité).

note: type: <p></p>
en: The <url id="http://seifried.org/lasg/" name="Linux Security Administrator's Guide"> is a complete guide that touches all the issues related to security in Linux, from kernel security to VPNs. Note that it has not been updated since 2001, but some information is still relevant. <footnote><p>At a given time it was superseded by the "Linux Security Knowledge Base". This documentation is also provided in Debian through the <package>lskb</package> package. Now it's back as the <em>Lasg</em> again.</p></footnote>
fr: Le <url id="http://seifried.org/lasg/" name="Linux Security Administrator's Guide"> est un guide complet qui englobe tous les problèmes de sécurité Linux, de la sécurité du noyau jusqu'aux VPN. Veuillez noter qu'il n'a pas été mis à jour depuis 2001, mais certaines informations peuvent encore être pertinentes. <footnote><p>Il a été remplacé à un moment donné par le «&nbsp;Linux Security Knowledge Base&nbsp;». Cette documentation est également disponible dans Debian par l'intermédiaire du paquet <package>lskb</package>. Il est à nouveau de retour en tant que le <em>Lasg</em>. </p></footnote>

note: type: <p></p>
en: Kurt Seifried's <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step">.
fr: Le <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step"> de Kurt Seifried.

note: type: <p></p>
en: In <url id="http://www.tldp.org/links/p_books.html#securing_linux" name="Securing and Optimizing Linux: RedHat Edition"> you can find a similar document to this manual but related to Red Hat, some of the issues are not distribution-specific and also apply to Debian.
fr: Dans <url id="http://www.tldp.org/links/p_books.html#securing_linux" name="Securing and Optimizing Linux: RedHat Edition"> vous pouvez trouver un document similaire à ce manuel, mais destiné à Red Hat&nbsp;; certaines questions ne sont pas spécifiques à cette distribution et peuvent s'appliquer à Debian.

note: type: <p></p>
en: Another Red Hat related document is <url id="http://ltp.sourceforge.net/docs/RHEL-EAL3-Configuration-Guide.pdf" name="EAL3 Evaluated Configuration Guide for Red Hat Enterprise">.
fr: Un autre document relié à Red&nbsp;Hat est <url id="http://ltp.sourceforge.net/docs/RHEL-EAL3-Configuration-Guide.pdf" name="EAL3 Evaluated Configuration Guide for Red Hat Enterprise">.

note: type: <p></p>
en: IntersectAlliance has published some documents that can be used as reference cards on how to harden Linux servers (and their services), the documents are available at <url id="http://www.intersectalliance.com/projects/index.html" name="their site">.
fr: IntersectAlliance a publié des documents qui peuvent être utilisés comme fiches de référence sur la manière de consolider les serveurs Linux (et leurs services)&nbsp;; ils sont disponibles sur <url id="http://www.intersectalliance.com/projects/index.html" name="leur site">.

note: type: <p></p>
en: For network administrators, a good reference for building a secure network is the <url id="http://www.linuxsecurity.com/docs/LDP/Securing-Domain-HOWTO/" name="Securing your Domain HOWTO">.
fr: Pour les administrateurs réseaux, une bonne référence pour bâtir un réseau sécurisé est le <url id="http://www.linuxsecurity.com/docs/LDP/Securing-Domain-HOWTO/" name="Securing your Domain HOWTO">.

note: type: <p></p>
en: If you want to evaluate the programs you are going to use (or want to build up some new ones) you should read the <url id="http://www.tldp.org/HOWTO/Secure-Programs-HOWTO/" name="Secure Programs HOWTO"> (master copy is available at <url id="http://www.dwheeler.com/secure-programs/">, it includes slides and talks from the author, David Wheeler)
fr: Si vous voulez évaluer le programme que vous allez utiliser (ou en créer de nouveaux) vous devriez consulter le <url id="http://www.tldp.org/HOWTO/Secure-Programs-HOWTO.html" name="Secure Programs HOWTO"> (le document de référence est disponible à <url id="http://www.dwheeler.com/secure-programs/">, il inclut des présentations et des conférences de l'auteur, David Wheeler).

note: type: <p></p>
en: If you are considering installing firewall capabilities, you should read the <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewall HOWTO"> and the <url id="http://www.tldp.org/HOWTO/IPCHAINS-HOWTO.html" name="IPCHAINS HOWTO"> (for kernels previous to 2.4).
fr: Si vous pensez installer un pare-feu, vous devriez consulter le <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewall HOWTO"> et le <url id="http://www.tldp.org/HOWTO/IPCHAINS-HOWTO.html" name="IPCHAINS HOWTO"> (pour les noyaux antérieurs au 2.4).

note: type: <p></p>
en: Finally, a good card to keep handy is the <url id="http://www.linuxsecurity.com/docs/QuickRefCard.pdf" name="Linux Security ReferenceCard">.
fr: Finalement, une bonne fiche de référence à avoir sous la main est le <url id="http://www.linuxsecurity.com/docs/QuickRefCard.pdf" name="Linux Security ReferenceCard">.

note: type: <p></p>
en: In any case, there is more information regarding the services explained here (NFS, NIS, SMB...) in many of the HOWTOs of the <url id="http://www.tldp.org/" name="The Linux Documentation Project">. Some of these documents speak on the security side of a given service, so be sure to take a look there too.
fr: Dans tous les cas, vous trouverez plus d'informations concernant les services expliqués ici (NFS, NIS, SMB, etc.) dans les nombreux HOWTO du <url id="http://www.tldp.org/" name="Projet de Documentation Linux">. Certains d'entre eux discutent de la sécurité d'un service donné, donc n'oubliez pas de jeter un &oelig;il là-dessus également.

note: type: <p></p>
en: The HOWTO documents from the Linux Documentation Project are available in Debian GNU/Linux through the installation of the <package>doc-linux-text</package> (text version) or <package>doc-linux-html</package> (HTML version). After installation these documents will be available at the <file>/usr/share/doc/HOWTO/en-txt</file> and <file>/usr/share/doc/HOWTO/en-html</file> directories, respectively.
fr: Les documents HOWTO du Projet de documentation Linux sont disponibles dans Debian GNU/Linux avec l'installation des paquets <package>doc-linux-text</package> (version texte) ou <package>doc-linux-html</package> (version HTML). Après l'installation, ces documents seront respectivement disponibles dans les répertoires <file>/usr/share/doc/HOWTO/en-txt</file> et <file>/usr/share/doc/HOWTO/en-html</file>. De même, les versions françaises de ces documents sont disponibles dans les paquets <package>doc-linux-fr-text</package> (version texte) et <package>doc-linux-fr-html</package> (version HTML) qui seront respectivement disponibles dans les répertoires <file>/usr/share/doc/HOWTO/fr-txt</file> et <file>/usr/share/doc/HOWTO/fr-html</file>.

note: type: <p><list>
en: Other recommended Linux books:
fr: Autres livres Linux recommandés.

note: type: <p></p>
en: Maximum Linux Security : A Hacker's Guide to Protecting Your Linux Server and Network. Anonymous. Paperback - 829 pages. Sams Publishing. ISBN: 0672313413. July 1999.
fr: Maximum Linux Security&nbsp;: A Hacker's Guide to Protecting Your Linux Server and Network. Anonyme. Paperback - 829 pages. Sams Publishing. ISBN&nbsp;: 0672313413. Juillet 1999.

note: type: <p></p>
en: Linux Security By John S. Flowers. New Riders; ISBN: 0735700354. March 1999.
fr: Linux Security par John S. Flowers. New Riders ; ISBN : 0735700354. Mars 1999.

note: type: <p></p>
en: <url id="http://www.linux.org/books/ISBN_0072127732.html" name="Hacking Linux Exposed"> By Brian Hatch. McGraw-Hill Higher Education. ISBN 0072127732. April, 2001
fr: <url id="http://www.linux.org/books/ISBN_0072127732.html" name="Hacking Linux Exposed"> par Brian Hatch. McGraw-Hill Higher Education. ISBN : 0072127732. Avril 2001.

note: type: <p><list>
en: Other books (which might be related to general issues regarding UNIX and security and not Linux specific):
fr: Livres divers (qui se rapportent à des questions générales concernant UNIX et la sécurité, non spécifiques à Linux).

note: type: <p></p>
en: <url id="http://www.ora.com/catalog/puis/noframes.html" name="Practical Unix and Internet Security (2nd Edition)"> Garfinkel, Simpson, and Spafford, Gene; O'Reilly Associates; ISBN 0-56592-148-8; 1004pp; 1996.
fr: <url id="http://www.ora.com/catalog/puis/noframes.html" name="Practical Unix and Internet Security (2nd Edition)"> Garfinkel, Simpson et Spafford, Gene ; O'Reilly Associates ; ISBN : 0-56592-148-8 ; 1004 pages ; 1996.

note: type: <p></p>
en: Firewalls and Internet Security Cheswick, William R. and Bellovin, Steven M.; Addison-Wesley; 1994; ISBN 0-201-63357-4; 320pp.
fr: Firewalls and Internet Security Cheswick, William R. and Bellovin, Steven M. ; Addison-Wesley ; 1994 ; ISBN : 0-201-63357-4 ; 320 pages.

note: type: <p><list>
en: Some useful web sites to keep up to date regarding security:
fr: Quelques sites Internet utiles pour se tenir informé des questions de sécurité.

note: type: <p></p>
en: <url id="http://www.securityfocus.com" name="Security Focus"> the server that hosts the Bugtraq vulnerability database and list, and provides general security information, news and reports.
fr: <url id="http://www.securityfocus.com" name="Security Focus">, le serveur qui héberge la base de données des vulnérabilités Bugtraq ainsi que ses listes de discussions. Il fournit également des informations générales sur la sécurité ainsi que des actualités et des rapports.

note: type: <p></p>
en: <url id="http://www.linuxsecurity.com/" name="Linux Security">. General information regarding Linux security (tools, news...). Most useful is the <url id="http://www.linuxsecurity.com/resources/documentation-1.html" name="main documentation"> page.
fr: <url id="http://www.linuxsecurity.com/" name="Linux Security">. Informations générales concernant la sécurité Linux (outils, actualités, etc.). Le plus utile est la page de <url id="http://www.linuxsecurity.com/resources/documentation-1.html" name="documentation principale">.

note: type: <p></p>
en: <url id=" http://www.linux-firewall-tools.com/linux/" name="Linux firewall and security site">. General information regarding Linux firewalls and tools to control and administrate them.
fr: <url id=" http://www.linux-firewall-tools.com/linux/" name="Linux firewall and security site">. Informations générales concernant les pare-feu Linux et les outils pour les contrôler et les administrer.

note: type: <heading></heading>
en: How does Debian handle security?
fr: Comment Debian gère la sécurité&nbsp;?

note: type: <p><list>
en: Just so you have a general overview of security in Debian GNU/Linux you should take note of the different issues that Debian tackles in order to provide an overall secure system:
fr: Tout comme vous avez une vue générale de la sécurité dans Debian GNU/Linux, vous devez connaître les différents problèmes auxquels Debian s'attaque afin de fournir un système sécurisé.

note: type: <p></p>
en: Debian problems are always handled openly, even security related. Security issues are discussed openly on the debian-security mailing list. Debian Security Advisories (DSAs) are sent to public mailing lists (both internal and external) and are published on the public server. As the <url id="http://www.debian.org/social_contract" name="Debian Social Contract"> states:
fr: Les problèmes Debian sont toujours traités ouvertement, même ceux liés à la sécurité. Les problèmes de sécurité sont abordés ouvertement sur la liste de discussions debian-security. Les bulletins de sécurité Debian (DSA - Debian Security Advisories) sont envoyés sur des listes de discussions publiques (internes et externes) et publiés sur des serveurs publics. Tel que déclaré dans le <url id="http://www.debian.org/social_contract" name="Contrat social Debian">&nbsp;:

note: type: <p></p>
en: <em>We will not hide problems</em>
fr: <em>Nous ne dissimulerons pas les problèmes.</em>

note: type: <p></p>
en: <em>We will keep our entire bug report database open for public view at all times. Reports that people file online will promptly become visible to others.</em>
fr: <em>Nous conserverons l'intégralité de notre base de données de rapports de bogue accessible au public en tout temps. Les rapports que les utilisateurs remplissent en ligne seront rapidement visibles par les autres.</em>

note: type: <p></p>
en: Debian follows security issues closely. The security team checks many security related sources, the most important being <url id="http://www.securityfocus.com/cgi-bin/vulns.pl" name="Bugtraq">, on the lookout for packages with security issues that might be included in Debian.
fr: Debian suit les problèmes de sécurité de très près. L'équipe en charge de la sécurité consulte les sources relatives à la sécurité, la plus importante étant <url id="http://www.securityfocus.com/cgi-bin/vulns.pl" name="Bugtraq">, à la recherche de paquets possédant des problèmes de sécurité et qui pourraient être inclus dans Debian.

note: type: <p></p>
en: Security updates are the first priority. When a security problem arises in a Debian package, the security update is prepared as fast as possible and distributed for our stable, testing and unstable releases, including all architectures.
fr: Les mises à jour liées à la sécurité sont la première priorité. Lorsqu'un problème survient dans un paquet Debian, la mise à jour est réalisée aussi vite que possible et elle est intégrée dans nos versions <em>stable</em>, <em>testing</em> et <em>unstable</em> pour toutes les architectures.

note: type: <p></p>
en: Information regarding security is centralized in a single point, <url id="http://security.debian.org/">.
fr: Les informations concernant la sécurité sont centralisées en un point unique, <url id="http://security.debian.org/">.

note: type: <p></p>
en: Debian is always trying to improve the overall security of the distribution by starting new projects, such as automatic package signature verification mechanisms.
fr: Debian essaie toujours d'améliorer la sécurité globale de la distribution en lançant de nouveaux projets, comme les vérifications automatiques des signatures de paquets.

note: type: <p></p>
en: Debian provides a number of useful security related tools for system administration and monitoring. Developers try to tightly integrate these tools with the distribution in order to make them a better suite to enforce local security policies. Tools include: integrity checkers, auditing tools, hardening tools, firewall tools, intrusion detection tools, etc.
fr: Debian fournit de nombreux outils liés à la sécurité pour l'administration système et la surveillance. Les développeurs essayent de lier étroitement ces outils à la distribution de façon à créer un ensemble améliorant les règles locales de sécurité. Les outils disponibles sont&nbsp;: vérificateurs d'intégrité, outils d'audit, outils de consolidation, outils pour pare-feu, outils de détection d'intrusion, etc.

note: type: <p></p>
en: Package maintainers are aware of security issues. This leads to many "secure by default" service installations which could impose certain restrictions on their normal use. Debian does, however, try to balance security and ease of administration - the programs are not de-activated when you install them (as it is the case with say, the BSD family of operating systems). In any case, prominent security issues (such as <tt>setuid</tt> programs) are part of the <url id="http://www.debian.org/doc/debian-policy/" name="Debian Policy">.
fr: Les responsables de paquets sont avertis des problèmes de sécurité. Cela conduit à de nombreuses installations de service «&nbsp;sécurisé par défaut&nbsp;»&nbsp;; cela peut parfois imposer certaines restrictions à une utilisation normale. Toutefois, Debian essaie d'équilibrer les problèmes de sécurité et la facilité d'administration&nbsp;: par exemple, les programmes ne sont pas installés en mode <em>désactivé</em> (comme c'est le cas avec la famille des systèmes d'exploitation BSD). Dans tous les cas, quelques problèmes spéciaux, tels les programmes <em>setuid</em>, sont abordés par la <url id="http://www.debian.org/doc/debian-policy/" name="Charte Debian">.

note: type: <p></p>
en: By publishing security information specific to Debian and complementing other information-security documents related to Debian (see <ref id="references">), this document aims to produce better system installations security-wise.
fr: En publiant des informations de sécurité spécifiques à Debian et en complétant d'autres documents d'informations sur la sécurité relatifs à Debian (consultez <ref id="references">), ce document a pour but de favoriser des installations de systèmes beaucoup mieux sécurisées.

note: type: <heading></heading>
en: Before and during the installation
fr: Avant et pendant l'installation

note: type: <heading></heading>
en: Choose a BIOS password
fr: Choisir un mot de passe pour le BIOS

note: type: <p></p>
en: Before you install any operating system on your computer, set up a BIOS password. After installation (once you have enabled bootup from the hard disk) you should go back to the BIOS and change the boot sequence to disable booting from floppy, CD-ROM and other devices that shouldn't boot. Otherwise a cracker only needs physical access and a boot disk to access your entire system.
fr: Avant d'installer un système d'exploitation sur l'ordinateur, créez un mot de passe pour le BIOS. Après l'installation (une fois que vous avez rendu possible un démarrage à partir du disque dur), retournez dans le BIOS et changez la séquence de démarrage afin de rendre impossible le démarrage à partir d'une disquette, d'un CD ou de tout autre périphérique. Sinon un pirate n'a besoin que d'un accès physique et d'une disquette de démarrage pour accéder au système complet.

note: type: <p></p>
en: Disabling booting unless a password is supplied is even better. This can be very effective if you run a server, because it is not rebooted very often. The downside to this tactic is that rebooting requires human intervention which can cause problems if the machine is not easily accessible.
fr: Désactiver le démarrage sans mot de passe est une solution encore meilleure. Cela peut être très efficace pour un serveur car il n'est pas redémarré très souvent. L'inconvénient de cette méthode est que le redémarrage nécessite l'intervention d'une personne, ce qui peut poser des problèmes si la machine n'est pas facilement accessible.

note: type: <p></p>
en: Note: many BIOSes have well known default master passwords, and applications also exist to retrieve the passwords from the BIOS. Corollary: don't depend on this measure to secure console access to system.
fr: Remarque&nbsp;: certains BIOS ont des mots de passe par défaut bien connus et des applications existent également pour récupérer les mots de passe du BIOS. Corollaire&nbsp;: ne dépendez pas de cette mesure pour sécuriser l'accès console du système.

note: type: <heading></heading>
en: Partitioning the system
fr: Partitionner le système

note: type: <heading></heading>
en: Choose an intelligent partition scheme
fr: Choisir un schéma de partitionnement intelligent

note: type: <p><list>
en: An intelligent partition scheme depends on how the machine is used. A good rule of thumb is to be fairly liberal with your partitions and to pay attention to the following factors:
fr: Un schéma de partitionnement intelligent dépend de l'utilisation de la machine. Une bonne règle est d'être assez large avec vos partitions et de faire attention aux facteurs suivants.

note: type: <p></p>
en: Any directory tree which a user has write permissions to, such as e.g. <file>/home</file>, <file>/tmp</file> and <file>/var/tmp/</file>, should be on a separate partition. This reduces the risk of a user DoS by filling up your "/" mount point and rendering the system unusable (Note: this is not strictly true, since there is always some space reserved for root which a normal user cannot fill), and it also prevents hardlink attacks. <footnote><p>A very good example of this kind of attacks using /tmp is detailed in <url id="http://www.hackinglinuxexposed.com/articles/20031111.html" name="The mysteriously persistently exploitable program (contest)"> and <url id="http://www.hackinglinuxexposed.com/articles/20031214.html" name="The mysteriously persistently exploitable program explained"> (notice that the incident is Debian-related). It is basicly an attack in which a local user <em>stashes</em> away a vulnerable setuid application by making a hard link to it, effectively avoiding any updates (or removal) of the binary itself made by the system administrator. Dpkg was recently fixed to prevent this (see <url id="http://bugs.debian.org/225692" name="225692">) but other setuid binaries (not controlled by the package manager) are at risk if partitions are not setup correctly. </p></footnote>
fr: Les arborescences de répertoires modifiables par un utilisateur, telles que <file>/home</file>, <file>/tmp</file> et <file>/var/tmp</file>, doivent être sur des partitions distinctes. Cela réduit le risque qu'un déni de service provoqué par un utilisateur ne remplisse le point de montage «&nbsp;/&nbsp;» rendant ainsi le système inutilisable (remarque : ce n'est pas strictement vrai car il existe toujours un espace réservé au superutilisateur qu'un utilisateur normal ne pourra pas remplir) et cela empêche les attaques de liens directs (<em>hardlinks</em>). <footnote><p>Un très bon exemple de ce type d'attaque utilisant /tmp est détaillé dans <url id="http://www.hackinglinuxexposed.com/articles/20031111.html" name="Le programme mystérieusement exploitable de façon persistente (concours)"> et <url id="http://www.hackinglinuxexposed.com/articles/20031214.html" name="L'explication du programme mystérieusement exploitable de façon persistante"> (notez que l'incident est lié à Debian). C'est de manière basique une attaque dans laquelle un utilisateur local <em>cache</em> profondément une application setuid vulnérable en faisant un lien direct sur celle-ci, évitant de manière efficace toute mise à jour (ou suppression) du binaire lui-même réalisé par l'administrateur du système. dpkg a été récemment corrigé pour empêcher cela (consultez le <url id="http://bugs.debian.org/225692" name="bogue nº 225692">), mais d'autres binaires setuid (non contrôlés par le gestionnaire de paquets) sont risqués si les partitions ne sont pas mises en place correctement. </p></footnote>

note: type: <p></p>
en: Any partition which can fluctuate, e.g. <file>/var</file> (especially <file>/var/log</file>) should also be on a separate partition. On a Debian system, you should create <file>/var</file> a little bit bigger than on other systems, because downloaded packages (the apt cache) are stored in <file>/var/cache/apt/archives</file>.
fr: Toute partition qui peut fluctuer, par exemple <file>/var</file> (surtout <file>/var/log</file>) devrait être également sur une partition distincte. Sur un système Debian, vous devriez créer <file>/var</file> un petit peu plus grand que la normale car les paquets téléchargés (le cache d'apt) sont stockés dans <file>/var/cache/apt/archives</file>.

note: type: <p></p>
en: Any partition where you want to install non-distribution software should be on a separate partition. According to the File Hierarchy Standard, this is <file>/opt</file> or <file>/usr/local</file>. If these are separate partitions, they will not be erased if you (have to) reinstall Debian itself.
fr: Toute partition où vous voulez installer des logiciels ne faisant pas partie de la distribution devrait être sur une partition distincte. Selon la norme de hiérarchie des fichiers (FHS), c'est <file>/opt</file> ou <file>/usr/local</file>. Si ce sont des partitions distinctes, elles ne seront pas effacées si vous devez réinstaller Debian.

note: type: <p></p>
en: From a security point of view, it makes sense to try to move static data to its own partition, and then mount that partition read-only. Better yet, put the data on read-only media. See below for more details.
fr: D'un point de vue sécurité, il est souhaitable de mettre les données statiques sur une partition et de monter celle-ci en lecture seule. Encore mieux, mettre les données sur un périphérique en lecture seule. Voir ci-dessous pour plus d'informations.

note: type: <p></p>
en: In the case of a mail server it is important to have a separate partition for the mail spool. Remote users (either knowingly or unknowingly) can fill the mail spool (<file>/var/mail</file> and/or <file>/var/spool/mail</file>). If the spool is on a separate partition, this situation will not render the system unusable. Otherwise (if the spool directory is on the same partition as <file>/var</file>) the system might have important problems: log entries will not be created, packages cannot be installed, and some programs might even have problems starting up (if they use <file>/var/run</file>).
fr: Dans le cas d'un serveur de courriers, il est important d'avoir une partition séparée pour le répertoire des courriers (spool). Les utilisateurs distants (soit consciemment, soit inconsciemment) peuvent remplir le répertoire des courriers (<file>/var/mail</file> ou <file>/var/spool/mail</file>). Si le répertoire est sur une partition séparée, cette situation ne rendra pas le système inutilisable. Sinon (si le répertoire est sur la même partition que <file>/var</file>), le système pourrait avoir d'importants problèmes&nbsp;: les entrées des journaux ne seront pas créées, aucun paquet ne pourra plus être installé et certains programmes pourraient même avoir des problèmes à être exécutés (s'ils utilisent <file>/var/run</file>).

note: type: <p></p>
en: Also, for partitions in which you cannot be sure of the needed space, installing Logical Volume Manager (<package>lvm-common</package> and the needed binaries for your kernel, this might be either <package>lvm10</package>, <package>lvm6</package>, or <package>lvm5</package>). Using <tt>lvm</tt>, you can create volume groups that expand multiple physical volumes.
fr: Pour les partitions pour lesquelles vous ne pouvez pas être certain de la place nécessaire, installez Logical Volume Manager (<package>lvm-common</package> et les binaires nécessaires pour le noyau qui peuvent être <package>lvm10</package>, <package>lvm6</package> ou <package>lvm5</package>). En utilisant <tt>lvm</tt>, vous pouvez créer des groupes de volumes répartis sur plusieurs volumes physiques.

note: type: <heading></heading>
en: Selecting the appropriate file systems
fr: Choisir les systèmes de fichiers appropriés

note: type: <p><list>
en: During the system partitioning you also have to decide which file system you want to use. The default file system<footnote><p>Since Debian GNU/Linux 4.0, codename <tt>etch</tt></p></footnote> selected in the Debian installation for Linux partitions is <tt>ext3</tt>, a journaling file system. It is recommended that you always use a journaling file system, such as <tt>ext3</tt>, <tt>reiserfs</tt>, <tt>jfs</tt> or <tt>xfs</tt>, to minimize the problems derived from a system crash in the following cases:
fr: Pendant le partitionnement du système, vous devez également décider du système de fichiers à utiliser. Le système de fichiers choisi par défaut<footnote><p>Depuis Debian GNU/Linux 4.0, surnommée <tt>Etch</tt>.</p></footnote> pendant l'installation de Debian pour les partitions Linux est <tt>ext3</tt>, un système de fichiers journalisé. Vous devriez toujours utiliser un système de fichiers journalisé comme <tt>ext3</tt>, <tt>reiserfs</tt>, <tt>jfs</tt> ou <tt>xfs</tt> pour réduire les problèmes découlant d'un plantage système dans les cas suivants&nbsp;:

note: type: <p></p>
en: for laptops in all the file systems installed. That way if you run out of battery unexpectedly or the system freezes due to a hardware issue (such as X configuration which is somewhat common) you will be less likely to lose data during a hardware reboot.
fr: pour les portables pour tous les systèmes de fichiers installés. Ainsi, si la batterie se vide inopinément ou si le système se gèle à cause d'un problème matériel (comme pour la configuration de X, ce qui est assez courant), vous êtes moins susceptible de perdre des données pendant le redémarrage matériel.

note: type: <p></p>
en: for production systems which store large amounts of data (like mail servers, ftp servers, network file systems...) it is recommended on these partitions. That way, in the event of a system crash, the server will take less time to recover and check the file systems, and data loss will be less likely.
fr: pour les systèmes de production qui stockent des quantités importantes de données (comme les serveurs de courriers, les serveurs FTP, les systèmes de fichiers en réseau, etc.), cela est recommandé pour ces partitions. Ainsi, en cas de plantage du système, le serveur nécessitera moins de temps pour récupérer et vérifier le système de fichiers et une perte de données est moins probable.

note: type: <p></p>
en: Leaving aside the performance issues regarding journalling file systems (since this can sometimes turn into a religious war), it is usually better to use the <tt>ext3</tt> file system. The reason for this is that it is backwards compatible with <tt>ext2</tt>, so if there are any issues with the journalling you can disable it and still have a working file system. Also, if you need to recover the system with a bootdisk (or CD-ROM) you do not need a custom kernel. If the kernel is 2.4 or 2.6 <tt>ext3</tt> support is already available, if it is a 2.2 kernel you will be able to boot the file system even if you lose journalling capabilities. If you are using other journalling file systems you will find that you might not be able to recover unless you have a 2.4 or 2.6 kernel with the needed modules built-in. If you are stuck with a 2.2 kernel on the rescue disk, it might be even more difficult to have it access <tt>reiserfs</tt> or <tt>xfs</tt>.
fr: En laissant de côté les problèmes de performance concernant les systèmes de fichiers journalisés (cela pouvant parfois tourner à la guerre de religion), il est habituellement préférable d'utiliser le système de fichiers <tt>ext3</tt>. La raison pour cela est qu'il est rétrocompatible avec <tt>ext2</tt>, donc s'il y a un quelconque problème avec la journalisation, vous pouvez la désactiver et toujours avoir un système de fichiers fonctionnel. De plus, si vous avez besoin de récupérer le système avec une disquette d'amorçage (ou un CD), vous n'avez pas besoin d'un noyau personnalisé. Si le noyau est en version&nbsp;2.4 ou 2.6, la prise en charge <tt>ext3</tt> est déjà disponible, s'il s'agit d'un noyau&nbsp;2.2, vous pourrez amorcer le système de fichiers même si vous n'aurez plus la capacité de journalisation. Si vous utilisez d'autres systèmes de fichiers, vous trouverez que vous ne pourrez pas effectuer de récupération à moins d'avoir un noyau&nbsp;2.4 ou 2.6 avec les modules nécessaires inclus dans le noyau. Si vous êtes bloqué avec un noyau&nbsp;2.2 sur la disquette de sauvegarde, cela pourrait même être encore plus difficile d'accéder à des partitions <tt>reiserfs</tt> ou <tt>xfs</tt>.

note: type: <p></p>
en: In any case, data integrity might be better under <tt>ext3</tt> since it does file-data journalling while others do only meta-data journalling, see <url id="http://lwn.net/2001/0802/a/ext3-modes.php3">.
fr: Dans tous les cas, il est possible que l'intégrité des données soit meilleure avec <tt>ext3</tt> car il fait de la journalisation des données par fichier alors que les autres ne font que de la journalisation par métadonnées, consultez <url id="http://lwn.net/2001/0802/a/ext3-modes.php3">.

note: type: <p></p>
en: Notice, however, that there are some partitions that might not benefit from using a journaling filesystem. For example, if you are using a separate partition for <file>/tmp/</file> you might be better off using a standard <tt>ext2</tt> filesystem as it will be cleaned up when the system boots.
fr: Remarquez, néanmoins, que certaines partitions n'ont pas d'intérêt particulier à utiliser un système de fichiers journalisé. Par exemple, si vous utilisez une partition à part pour <file>/tmp/</file>, vous devriez plutôt utiliser un système de fichiers <tt>ext2</tt> car elle sera nettoyée lors du démarrage du système.

note: type: <heading></heading>
en: Do not plug to the Internet until ready
fr: Ne pas se connecter à Internet tant que tout n'est pas prêt

note: type: <p></p>
en: The system should not be immediately connected to the Internet during installation. This could sound stupid but network installation is a common method. Since the system will install and activate services immediately, if the system is connected to the Internet and the services are not properly configured you are opening it to attack.
fr: Le système ne devrait pas être connecté à Internet pendant l'installation. Cela peut paraître stupide mais il faut savoir que l'installation par le réseau est une méthode d'installation habituelle. Étant donné que le système va installer et activer les services immédiatement, si le système est connecté à Internet et que les services ne sont pas configurés correctement, vous les exposez à des attaques.

note: type: <p></p>
en: Also note that some services might have security vulnerabilities not fixed in the packages you are using for installation. This is usually true if you are installing from old media (like CD-ROMs). In this case, the system could even be compromised before you finish installation!
fr: Il faut noter également que certains services peuvent avoir des trous de sécurité qui n'ont pas encore été corrigés dans les paquets que vous utilisez pour l'installation. C'est généralement vrai si vous installez depuis de vieux supports (comme des CD). Dans ce cas, il se peut que le système soit compromis avant même la fin de l'installation&nbsp;!

note: type: <p></p>
en: Since Debian installation and upgrades can be done over the Internet you might think it is a good idea to use this feature on installation. If the system is going to be directly connected to the Internet (and not protected by a firewall or NAT), it is best to install without connection to the Internet, using a local packages mirror for both the Debian package sources and the security updates. You can set up package mirrors by using another system connected to the Internet with Debian-specific tools (if it's a Debian system) like <package>apt-move</package> or <package>apt-proxy</package>, or other common mirroring tools, to provide the archive to the installed system. If you cannot do this, you can set up firewall rules to limit access to the system while doing the update (see <ref id="fw-security-update">).
fr: Étant donné que l'installation et les mises à jour peuvent être faites par Internet, vous pourriez penser que c'est une bonne idée d'utiliser cette caractéristique lors de l'installation. Si le système va être connecté directement à Internet (et pas protégé par un pare-feu ou un NAT), il est plus judicieux de l'installer sans connexion à Internet et d'utiliser un miroir local de paquets contenant à la fois les paquets source et les mises à jour de sécurité. Vous pouvez mettre en place des miroirs de paquets en utilisant un autre système connecté à Internet et des outils spécifiques à Debian (si c'est un système Debian) tels que <package>apt-move</package> ou <package>apt-proxy</package> ou tout autre outil de miroir pour fournir l'archive aux systèmes installés. Si vous ne pouvez pas faire cela, vous pouvez mettre en place des règles de pare-feu pour limiter l'accès au système pendant la mise à jour (consultez <ref id="fw-security-update">).

note: type: <heading></heading>
en: Set a root password
fr: Définir un mot de passe pour le superutilisateur

note: type: <p></p>
en: Setting a good root password is the most basic requirement for having a secure system. See <manref name="passwd" section="1"> for some hints on how to create good passwords. You can also use an automatic password generation program to do this for you (see <ref id="user-pwgen">).
fr: Définir un bon mot de passe est la condition de base pour avoir un système sécurisé. Consultez <manref section="1" name="passwd"> pour quelques conseils pour créer de bons mots de passe. Vous pouvez également utiliser un générateur automatique de mots de passe pour faire cela pour vous (consultez <ref id="user-pwgen">).

note: type: <p></p>
en: Plenty of information on choosing good passwords can be found on the Internet; two that provide a decent summary and rationale are Eric Wolfram's <url id="http://wolfram.org/writing/howto/password.html" name="How to: Pick a Safe Password"> and Walter Belgers' <url id="http://www.belgers.com/write/pwseceng.txt" name="Unix Password Security">
fr: Beaucoup d'informations sur le choix de bons mots de passe peuvent être trouvées sur Internet&nbsp;; deux URL qui fournissent un bon résumé et une argumentation sont les HOWTO <url id="http://wolfram.org/writing/howto/password.html" name="Pick a Safe Password"> d'Eric Wolfram et <url id="http://www.belgers.com/write/pwseceng.txt" name="Unix Password Security"> de Walter Belgers.

note: type: <heading></heading>
en: Activate shadow passwords and MD5 passwords
fr: Activer les mots de passe masqués et les mots de passe MD5

note: type: <p></p>
en: At the end of the installation, you will be asked if shadow passwords should be enabled. Answer yes to this question, so passwords will be kept in the file <file>/etc/shadow</file>. Only the root user and the group shadow have read access to this file, so no users will be able to grab a copy of this file in order to run a password cracker against it. You can switch between shadow passwords and normal passwords at any time by using <tt>shadowconfig</tt>.
fr: À la fin de l'installation, il vous sera demandé si les mots de passe masqués doivent être activés. Répondez oui à cette question&nbsp;; ainsi les mots de passe seront stockés dans le fichier <file>/etc/shadow</file>. Seul le superutilisateur et les membres du groupe shadow peuvent lire ce fichier, ainsi aucun utilisateur ne sera en mesure de récupérer une copie de ce fichier afin de le passer par un programme <em>craqueur</em> de mots de passe. Vous pouvez basculer entre les mots de passe masqués et les mots de passe normaux à n'importe quel moment en utilisant <tt>shadowconfig</tt>.

note: type: <p></p>
en: Read more on shadow passwords in <url id="http://www.tldp.org/HOWTO/Shadow-Password-HOWTO.html" name="Shadow Password"> (<file>/usr/share/doc/HOWTO/en-txt/Shadow-Password.txt.gz</file>).
fr: Vous pouvez en apprendre davantage sur les mots de passe masqués dans le <url id="http://www.linuxdoc.org/HOWTO/Shadow-Password-HOWTO.html" name="Shadow Password"> (<file>/usr/share/doc/HOWTO/fr-txt/Shadow-Password.txt.gz</file>).

note: type: <p></p>
en: Furthermore, the installation uses MD5 hashed passwords per default. This is generally a very good idea since it allows longer passwords and better encryption. MD5 allows for passwords longer than 8 characters. This, if used wisely, can make it more difficult for attackers to brute-force the system's passwords. Regarding MD5 passwords, this is the default option when installing the latest <package>passwd</package> package. You can recognize MD5 passwords in the <file>/etc/shadow</file> file by their $1$ prefix.
fr: De plus, l'installation utilise des mots de passe hachés avec MD5 par défaut. C'est généralement une bonne idée étant donné que cela permet des mots de passe plus longs et un meilleur chiffrement. MD5 permet des mots de passe de plus de 8 caractères. Cela peut, si c'est utilisé à bon escient, rendre plus difficiles les attaques par force brute sur les mots de passe système. Concernant les mots de passe MD5, il s'agit de l'option par défaut quand vous installez le paquet <package>passwd</package>. Vous pouvez reconnaître les mots de passe MD5 dans le fichier <file>/etc/shadow</file> par leur préfixe $1$.

note: type: <p><example>
en: This, as a matter of fact, modifies all files under <file>/etc/pam.d</file> by substituting the password line and include md5 in it:
fr: Ceci modifie tous les fichiers sous <file>/etc/pam.d</file> en modifiant la ligne password en insérant md5 dans celle-ci&nbsp;:

note: type: <p></p>
en: If <tt>max</tt> is not set over 8 the change will not be useful at all. For more information on this read <ref id="auth-pam">.
fr: Si <tt>max</tt> n'est pas positionné à plus de 8, la modification ne sera pas utile du tout. Pour plus d'informations sur cela, consultez <ref id="auth-pam">.

note: type: <p></p>
en: Note: the default configuration in Debian, even when activating MD5 passwords, does not modify the previously set <tt>max</tt> value.
fr: Remarque&nbsp;: même quand les mots de passe MD5 sont activés, la configuration par défaut dans Debian ne modifie pas la valeur précédemment positionnée de <tt>max</tt>.

note: type: <heading></heading>
en: Run the minimum number of services required
fr: Administrer le nombre minimal de services nécessaires

note: type: <p></p>
en: Services are programs such as ftp servers and web servers. Since they have to be <em>listening</em> for incoming connections that request the service, external computers can connect to yours. Services are sometimes vulnerable (i.e. can be compromised under a given attack) and hence present a security risk.
fr: Les services sont des programmes tels que les serveurs FTP et les serveurs web. Puisqu'ils doivent <em>écouter</em> les connexions entrantes qui demandent le service, des ordinateurs externes peuvent se connecter au vôtre. Les services sont parfois vulnérables (entendez par là qu'ils peuvent être compromis par certaines attaques)&nbsp;: ils créent des risques pour la sécurité.

note: type: <p></p>
en: You should not install services which are not needed on your machine. Every installed service might introduce new, perhaps not obvious (or known), security holes on your computer.
fr: Vous ne devriez pas installer les services dont vous n'avez pas besoin sur la machine. Chaque service installé peut introduire de nouveaux trous de sécurité, peu évidents ou inconnus, sur l'ordinateur.

note: type: <p></p>
en: As you may already know, when you install a given service the default behavior is to activate it. In a default Debian installation, with no services installed, the number of running services is quite low and the number of network-oriented services is even lower. In a default Debian 3.1 standard installation you will end up with OpenSSH, Exim (depending on how you configured it) and the RPC portmapper available as network services<footnote><p>The footprint in Debian 3.0 and earlier releases wasn't as tight, since some <prgn>inetd</prgn> services were enabled by default. Also standard installations of Debian 2.2 installed the NFS server as well as the telnet server.</p></footnote>. If you did not go through a standard installation but selected an expert installation you can end up with no active network services. The RPC portmapper is installed by default because it is needed for many services, for example NFS, to run on a given system. However, it can be easily removed, see <ref id="rpc"> for more information on how to secure or disable RPC services.
fr: Comme vous le savez sans doute déjà, lorsque vous installez un service, le comportement par défaut est de l'activer. Dans une installation Debian par défaut, sans service installé, le nombre de services actifs est assez faible et il est même plus faible quand on parle de services réseau. Dans une installation standard de Debian&nbsp;3.1, les seuls services activés par défaut sont OpenSSH, Exim (selon la façon dont vous l'avez configuré) et le portmapper RPC comme services réseau<footnote><p>L'empreinte dans Debian&nbsp;3.0 et les versions précédentes n'était pas aussi réduite car certains services <prgn>inetd</prgn> étaient activés par défaut. Les installations standard de Debian&nbsp;2.2 installaient également le serveur NFS ainsi que le serveur TELNET.</p></footnote>. Si vous n'avez pas choisi l'installation standard, mais que vous avez sélectionné l'installation en mode expert, vous obtiendrez une installation avec aucun service réseau actif. Le portmapper RPC est installé par défaut car il est nécessaire pour beaucoup de services, par exemple NFS. Cependant, il peut facilement être retiré, consultez <ref id="rpc"> pour plus d'informations sur la façon de sécuriser ou de désactiver les services RPC.

note: type: <p></p>
en: When you install a new network-related service (daemon) in your Debian GNU/Linux system it can be enabled in two ways: through the <prgn>inetd</prgn> superdaemon (i.e. a line will be added to <file>/etc/inetd.conf</file>) or through a standalone program that binds itself to your network interfaces. Standalone programs are controlled through the <file>/etc/init.d</file> files, which are called at boot time through the SysV mechanism (or an alternative one) by using symlinks in <file>/etc/rc?.d/*</file> (for more information on how this is done read <file>/usr/share/doc/sysvinit/README.runlevels.gz</file>).
fr: Lorsque vous installez un nouveau service réseau (démon) sur le système Debian GNU/Linux, il peut être activé de deux façons&nbsp;: avec le superdémon inetd (une ligne sera ajoutée à <file>/etc/inetd.conf</file>) ou par un programme qui s'attache lui-même aux interfaces réseau. Ces programmes sont contrôlés par les fichiers <file>/etc/init.d</file> qui sont appelés lors du démarrage au moyen du mécanisme System V (ou un autre) en utilisant des liens symboliques dans <file>/etc/rc?.d/*</file> (pour plus d'informations sur la manière dont cela est fait, consultez <file>/usr/share/doc/sysvinit/README.runlevels.gz</file>).

note: type: <p></p>
en: If you want to keep some services but use them rarely, use the <prgn>update-*</prgn> commands, e.g. <prgn>update-inetd</prgn> and <prgn>update-rc.d</prgn> to remove them from the startup process. For more information on how to disable network services read <ref id="disableserv">. If you want to change the default behaviour of starting up services on installation of their associated packages<footnote><p>This is desirable if you are setting up a development chroot, for example.</p></footnote> use <prgn>policy-rc.d</prgn>, please read <file>/usr/share/doc/sysv-rc/README.policy-rc.d.gz</file> for more information.
fr: Si vous voulez garder certains services tout en les utilisant rarement, utilisez les commandes <prgn>update-*</prgn>, par exemple <prgn>update-inetd</prgn> et <prgn>update-rc.d</prgn> pour les supprimer du processus de démarrage. Pour plus d'informations sur la façon de désactiver des services réseau, veuillez consulter <ref id="disableserv">. Si vous voulez changer le comportement par défaut de démarrage des services à l'installation de leur paquet associé<footnote><p>C'est pratique si vous mettez en place un chroot de développement, par exemple.</p></footnote>, utilisez <prgn>policy-rc.d</prgn>, veuillez consulter <file>/usr/share/doc/sysv-rc/README.policy-rc.d.gz</file> pour obtenir plus de renseignements.

note: type: <p></p>
en: <prgn>invoke-rc.d</prgn> support is mandatory in Debian, which means that for Debian 4.0 <em>etch</em> and later releases you can write a policy-rc.d file that forbids starting new daemons before you configure them. Although no such scripts are packaged yet, they are quite simple to write. See <package>policyrcd-script-zg2</package>.
fr: La prise en charge d'<prgn>invoke-rc.d</prgn> est obligatoire dans Debian, ce qui veut dire que pour Debian 4.0 <em>Etch</em> et versions suivantes, vous pouvez écrire un fichier policy-rc.d qui interdit le démarrage des nouveaux démons avant de les avoir configurés. Même si aucun de ces scripts n'est encore empaqueté, ils sont plutôt faciles à écrire. Consultez <package>policyrcd-script-zg2</package>.

note: type: <heading></heading>
en: Disabling daemon services
fr: Désactivation de services démon

note: type: <p></p>
en: Disabling a daemon service is quite simple. You either remove the package providing the program for that service or you remove or rename the startup links under <file>/etc/rc${runlevel}.d/</file>. If you rename them make sure they do not begin with 'S' so that they don't get started by <prgn>/etc/init.d/rc</prgn>. Do not remove all the available links or the package management system will regenerate them on package upgrades, make sure you leave at least one link (typically a 'K', i.e. kill, link). For more information read <url id="http://www.debian.org/doc/manuals/reference/ch-system.en.html#s-custombootscripts" name="Customizing runlevels"> section of the Debian Reference (Chapter 2 - Debian fundamentals).
fr: La désactivation d'un service démon est relativement simple. Vous pouvez soit supprimer le paquet fournissant le programme pour ce service, soit supprimer ou renommer les liens de démarrage sous <file>/etc/rc${runlevel}.d/</file>. Si vous les renommez, assurez-vous qu'ils ne commencent pas avec un «&nbsp;S&nbsp;» pour qu'ils ne soient pas démarrés par <prgn>/etc/init.d/rc</prgn>. Ne supprimez pas tous les liens disponibles ou le système de gestion des paquets les régénérera lors des mises à jour du paquet, assurez-vous de laisser au moins un lien (typiquement, un lien «&nbsp;K&nbsp;», «&nbsp;kill&nbsp;» pour tuer). Pour obtenir plus de renseignements, veuillez consulter la section <url id="http://www.debian.org/doc/manuals/reference/ch-system#s-custombootscripts" name="Personnalisation des niveaux de démarrage"> de la référence Debian (chapitre 2 - fondamentaux de Debian).

note: type: <p><example>
en: You can remove these links manually or using <tt>update-rc.d</tt> (see <manref name="update-rc.d" section="8">). For example, you can disable a service from executing in the multi-user runlevels by doing:
fr: Vous pouvez supprimer ces liens manuellement ou en utilisant <tt>update-rc.d</tt> (consultez <manref section="8" name="update-rc.d">). Vous pouvez, par exemple, désactiver un service pour les niveaux d'exécution multiutilisateurs en faisant&nbsp;:

note: type: <example></example>
en:   # update-rc.d <var>name</var> stop <var>XX</var> 2 3 4 5 .
fr:   # update-rc.d <var>nom</var> stop <var>XX</var> 2 3 4 5 .

note: type: <p><example>
en: Where <em>XX</em> is a number that determines when the stop action for that service will be executed. Please note that, if you are <em>not</em> using <package>file-rc</package>, <tt>update-rc.d -f <var>service</var> remove</tt> will not work properly, since <em>all</em> links are removed, upon re-installation or upgrade of the package these links will be re-generated (probably not what you wanted). If you think this is not intuitive you are probably right (see <url id="http://bugs.debian.org/67095" name="Bug 67095">). From the manpage:
fr: Avec <em>XX</em> un nombre qui détermine quand l'action d'arrêt pour ce service sera exécutée. Veuillez noter que, si vous <em>n'utilisez pas</em> <package>file-rc</package>, <tt>update-rc.d -f <var>service</var> remove</tt> ne fonctionnera pas correctement car <em>tous</em> les liens sont supprimés, lors d'une réinstallation ou d'une mise à jour du paquet, ces liens seront régénérés (ce qui n'est probablement pas ce que vous voulez). Si vous pensez que cela n'est pas intuitif, vous avez probablement raison (consultez le <url id="http://bugs.debian.org/67095" name="bogue nº 67095">). D'après les pages de manuel&nbsp;:

note: type: <example></example>
en:   If any files /etc/rc<var>runlevel</var>.d/[SK]??name already exist then
      update-rc.d does nothing.  This is so that the system administrator 
      can rearrange the  links,  provided that  they  leave  at  least one
      link remaining, without having their configuration overwritten.
fr:   Si des fichiers /etc/rc<var>runlevel</var>.d/[SK]??nom existent déjà,
      alors update-rc.d ne fait rien. C'est ainsi fait pour que
      l'administrateur système puisse réarranger les liens — à condition
      qu'il en reste au moins un — sans que sa configuration ne soit
      réécrite.

note: type: <p></p>
en: If you are using <package>file-rc</package> all the information regarding services bootup is handled by a common configuration file and is maintained even if packages are removed from the system.
fr: Si vous utilisez <package>file-rc</package>, toutes les informations concernant le démarrage des services sont gérées par un fichier de configuration commun et sont conservées même si les paquets sont retirés du système.

note: type: <p><example>
en: You can use the TUI (Text User Interface) provided by <package>sysv-rc-conf</package> to do all these changes easily (<prgn>sysv-rc-conf</prgn> works both for <package>file-rc</package> and normal System V runlevels). You will also find similar GUIs for desktop systems. You can also use the command line interface of <package>sysv-rc-conf</package>:
fr: Vous pouvez utiliser l'interface texte (TUI, Text User Interface) fournie par <package>sysv-rc-conf</package> pour faire tous ces changements facilement (<prgn>sysv-rc-conf</prgn> fonctionne pour <package>file-rc</package> ainsi que pour les niveaux d'exécution normaux de type System V). Vous pouvez également trouver des interfaces graphiques similaires pour les systèmes de bureau. Vous pouvez aussi utiliser l'interface en ligne de commande de <package>sysv-rc-conf</package> :

note: type: <example></example>
en:   # sysv-rc-conf foobar off
fr:   # sysv-rc-conf bidule off

note: type: <p><example>
en: The advantage of using this utility is that the rc.d links are returned to the status they had before the 'off' call if you re-enable the service with:
fr: L'avantage, avec cet utilitaire, est que les liens rc.d sont remis dans l'état qu'ils avaient avant l'appel « off » si vous réactivez le service avec :

note: type: <example></example>
en:   # sysv-rc-conf foobar on
fr:   # sysv-rc-conf bidule on

note: type: <p><list>
en: Other (less recommended) methods of disabling services are:
fr: D'autres méthodes (moins recommandées) pour désactiver les services sont&nbsp;:

note: type: <p><example>
en: Removing the <file>/etc/init.d/<var>service_name</var></file> script and removing the startup links using:
fr: suppression du script <file>/etc/init.d/<var>nom_service</var></file> et suppression des liens de démarrage avec :

note: type: <example></example>
en:   # update-rc.d <var>name</var> remove
fr:   # update-rc.d <var>nom</var> remove

note: type: <p></p>
en: Move the script file (<file>/etc/init.d/<var>service_name</var></file>) to another name (for example <file>/etc/init.d/OFF.<var>service_name</var></file>). This will leave dangling symlinks under <file>/etc/rc${runlevel}.d/</file> and will generate error messages when booting up the system.
fr: déplacement du fichier script (<file>/etc/init.d/<var>nom_service</var></file>) vers un autre nom (par exemple <file>/etc/init.d/OFF.<var>nom_service</var></file>). Cela laissera des liens symboliques non valables sous <file>/etc/rc${runlevel}.d/</file> et générera des messages d'erreur au démarrage du système ;

note: type: <p></p>
en: Remove the execute permission from the <file>/etc/init.d/<var>service_name</var></file> file. That will also generate error messages when booting.
fr: suppression du droit d'exécution du fichier <file>/etc/init.d/<var>nom_service</var></file>. Cela générera également des messages d'erreur au démarrage ;

note: type: <p></p>
en: Edit the <file>/etc/init.d/<var>service_name</var></file> script to have it stop immediately once it is executed (by adding an <prgn>exit 0</prgn> line at the beginning or commenting out the <tt>start-stop-daemon</tt> part in it). If you do this, you will not be able to use the script to startup the service manually later on.
fr: édition du script <file>/etc/init.d/<var>nom_service</var></file> pour qu'il s'arrête immédiatement lorsqu'il est exécuté (en ajoutant une ligne <prgn>exit 0</prgn> au début ou en commentant la partie <tt>start-stop-daemon</tt> dans celui-ci). Si vous procédez de cette façon, vous ne pourrez plus utiliser le script pour démarrer le service vous-même plus tard.

note: type: <p></p>
en: Nevertheless, the files under <file>/etc/init.d</file> are configuration files and should not get overwritten due to package upgrades if you have made local changes to them.
fr: Cependant, les fichiers sous <file>/etc/init.d</file> sont des fichiers de configuration et ne devraient pas être écrasés lors des mises à jour de paquet si vous y avez fait des modifications locales.

note: type: <p></p>
en: Unlike other (UNIX) operating systems, services in Debian cannot be disabled by modifying files in <file>/etc/default/<var>service_name</var></file>.
fr: Contrairement à d'autres systèmes d'exploitation (UNIX), les services dans Debian ne peuvent pas être désactivés en modifiant les fichiers dans <file>/etc/default/<var>nom_service</var></file>.

note: type: <p></p>
en: FIXME: Add more information on handling daemons using <package>file-rc</package>.
fr: FIXME&nbsp;: Ajouter des informations sur la gestion des démons par <package>file-rc</package>.

note: type: <heading></heading>
en: Disabling <prgn>inetd</prgn> or its services
fr: Désactivation d'inetd ou de ses services

note: type: <p></p>
en: You should check if you really need the <prgn>inetd</prgn> daemon nowadays. Inetd was always a way to compensate for kernel deficiencies, but those have been taken care of in modern Linux kernels. Denial of Service possibilities exist against <prgn>inetd</prgn> (which can increase the machine's load tremendously), and many people always preferred using stand-alone daemons instead of calling services via <prgn>inetd</prgn>. If you still want to run some kind of <prgn>inetd</prgn> service, then at least switch to a more configurable Inet daemon like <prgn>xinetd</prgn>, <prgn>rlinetd</prgn> or <prgn>openbsd-inetd</prgn>.
fr: Vous devriez vérifier si vous avez vraiment besoin du démon <prgn>inetd</prgn> de nos jours. <prgn>inetd</prgn> a toujours été un moyen de compenser des déficiences du noyau, mais celles-ci ont été corrigées dans les noyaux Linux modernes. Des possibilités de déni de service existent avec <prgn>inetd</prgn> (qui peut augmenter énormément la charge de la machine) et de nombreuses personnes préfèrent utiliser des démons indépendants au lieu d'appeler des services avec <prgn>inetd</prgn>. Si vous voulez toujours exécuter un service du genre d'<prgn>inetd</prgn>, tournez-vous plutôt vers un démon inetd plus configurable comme <prgn>xinetd</prgn>, <prgn>rlinetd</prgn> ou <prgn>openbsd-inetd</prgn>.

note: type: <p></p>
en: You should stop all unneeded Inetd services on your system, like <prgn>echo</prgn>, <prgn>chargen</prgn>, <prgn>discard</prgn>, <prgn>daytime</prgn>, <prgn>time</prgn>, <prgn>talk</prgn>, <prgn>ntalk</prgn> and r-services (<prgn>rsh</prgn>, <prgn>rlogin</prgn> and <prgn>rcp</prgn>) which are considered HIGHLY insecure (use <prgn>ssh</prgn> instead).
fr: Vous devriez arrêter tous les services inetd non nécessaires sur le système, comme <prgn>echo</prgn>, <prgn>chargen</prgn>, <prgn>discard</prgn>, <prgn>daytime</prgn>, <prgn>time</prgn>, <prgn>talk</prgn>, <prgn>ntalk</prgn> et les r-services (services à distance) (<prgn>rsh</prgn>, <prgn>rlogin</prgn> et <prgn>rcp</prgn>) qui sont considérés comme EXTRÊMEMENT dangereux (utilisez <prgn>ssh</prgn> à la place).

note: type: <p><example>
en: You can disable services by editing <file>/etc/inetd.conf</file> directly, but Debian provides a better alternative: <tt>update-inetd</tt> (which comments the services in a way that it can easily be turned on again). You could remove the <prgn>telnet</prgn> daemon by executing this commands to change the config file and to restart the daemon (in this case the <prgn>telnet</prgn> service is disabled):
fr: Vous pouvez désactiver les services en modifiant directement <file>/etc/inetd.conf</file>, mais Debian offre un meilleur moyen&nbsp;: <tt>update-inetd</tt> (qui commente les services de manière à ce qu'ils puissent être facilement réactivés). Vous pouvez supprimer le démon <prgn>telnet</prgn> en exécutant cette commande pour changer le fichier de configuration et redémarrer le démon (dans ce cas le service est désactivé)&nbsp;:

note: type: <p></p>
en: If you do want services listening, but do not want to have them listen on all IP addresses of your host, you might want to use an undocumented feature on <prgn>inetd</prgn> (replace service name with service@ip syntax) or use an alternative <prgn>inetd</prgn> daemon like <prgn>xinetd</prgn>.
fr: Si vous désirez des services en attente, mais qui n'écoutent pas sur toutes les adresses IP de l'hôte, vous voudrez peut-être utiliser des fonctions non documentées de <prgn>inetd</prgn> (remplacez des noms de service avec la syntaxe service@ip) ou utilisez un autre démon tel que <prgn>xinetd</prgn>.

note: type: <heading></heading>
en: Install the minimum amount of software required
fr: Installer le minimum de logiciels nécessaires

note: type: <p></p>
en: Debian comes with <em>a lot</em> of software, for example the Debian 3.0 <em>woody</em> release includes 6 or 7 (depending on architecture) CD-ROMs of software and thousands of packages, and the Debian 3.1 <em>sarge</em> release ships with around 13 CD-ROMs of software. With so much software, and even if the base system installation is quite reduced <footnote><p>For example, in Debian woody it is around 400-500 Mbs, try this: <example> $ size=0 $ for i in `grep -A 1 -B 1 "^Section: base" /var/lib/dpkg/available | grep -A 2 "^Priority: required" |grep "^Installed-Size" |cut -d : -f 2 `; do size=$(($size+$i)); done $ echo $size 47762</example></p></footnote> you might get carried away and install more than is really needed for your system.
fr: Debian est fournie avec une <em>grande quantité</em> de logiciels, par exemple, Debian&nbsp;3.0 <em>Woody</em> inclut 6 ou 7 (selon les architectures) CD de logiciels et des milliers de paquets et la version&nbsp;3.1 fournit environ 13&nbsp;CD de logiciels. Avec autant de logiciels et même si l'installation du système de base est assez réduite <footnote><p>Par exemple, dans Debian <em>Woody</em>, elle est d'environ 400 à 500&nbsp;Mo, essayez ceci&nbsp;: <example> $ size=0 $ for i in `grep -A 1 -B 1 "^Section: base" /var/lib/dpkg/available | grep -A 2 "^Priority: required" |grep "^Installed-Size" |cut -d : -f 2 `; do size=$(($size+$i)); done $ echo $size 47762</example></p></footnote> vous pourriez vous laisser entraîner et installer plus de logiciels qu'il n'est vraiment nécessaire sur le système.

note: type: <p></p>
en: Since you already know what the system is for (don't you?) you should only install software that is really needed for it to work. Any unnecessary tool that is installed might be used by a user that wants to compromise the system or by an external intruder that has gotten shell access (or remote code execution through an exploitable service).
fr: Comme vous connaissez déjà l'utilisation du système (n'est-ce pas&nbsp;?), vous ne devez installer que les logiciels qui sont vraiment nécessaires à son fonctionnement. Tout outil non nécessaire installé pourrait être utilisé par un utilisateur qui voudrait compromettre le système ou par un intrus externe qui aurait obtenu un accès à l'interpréteur de commandes (ou par exécution de code à distance grâce à un service exploitable).

note: type: <p><list>
en: The presence, for example, of development utilities (a C compiler) or interpreted languages (such as <prgn>perl</prgn> - but see below -, <prgn>python</prgn>, <prgn>tcl</prgn>...) may help an attacker compromise the system even further:
fr: La présence, par exemple, d'outils de développement (un compilateur C) ou de langages interprétés (comme <prgn>perl</prgn> &ndash; voir ci-dessous &ndash; <prgn>python</prgn>, <prgn>tcl</prgn>, etc.) pourrait aider un attaquant à compromettre le système un peu plus&nbsp;:

note: type: <p></p>
en: allowing him to do privilege escalation. It's easier, for example, to run local exploits in the system if there is a debugger and compiler ready to compile and test them!
fr: lui permettre d'augmenter ses droits. Il est plus facile, par exemple, d'exploiter localement le système si un débogueur et un compilateur sont prêts à les compiler et à les tester&nbsp;!

note: type: <p></p>
en: providing tools that could help the attacker to use the compromised system as a <em>base of attack</em> against other systems. <footnote><p>Many intrusions are made just to get access to resources to do illegitimate activity (denial of service attacks, spam, rogue ftp servers, dns pollution...) rather than to obtain confidential data from the compromised system.</p></footnote>
fr: fournir des outils qui pourraient aider l'attaquant à utiliser le système compromis comme une <em>base d'attaque</em> contre d'autres systèmes.<footnote><p>Beaucoup d'intrusions ne sont faites que pour avoir accès aux ressources pour effectuer des activités illégales (attaques de déni de service, envoi d'indésirables, serveurs FTP illicites, pollution de DNS, etc.) plus que pour obtenir des données confidentielles du système compromis.</p></footnote>

note: type: <p></p>
en: Of course, an intruder with local shell access can download his own set of tools and execute them, and even the shell itself can be used to make complex programs. Removing unnecessary software will not help <em>prevent</em> the problem but will make it slightly more difficult for an attacker to proceed (and some might give up in this situation looking for easier targets). So, if you leave tools in a production system that could be used to remotely attack systems (see <ref id="vuln-asses">) you can expect an intruder to use them too if available.
fr: Bien sûr, un intrus ayant un accès local à l'interpréteur de commandes peut télécharger son propre jeu d'outils et les exécuter, et l'interpréteur de commandes peut lui-même être utilisé pour créer des programmes complexes. Supprimer les logiciels non nécessaires ne va pas aider à <em>prévenir</em> le problème, mais cela rendra la tâche un peu plus difficile pour un attaquant (et certains pourraient abandonner dans cette situation et aller chercher des cibles plus faciles). Ainsi, si vous laissez des outils sur un système de production qui peuvent être utilisés pour attaquer des systèmes à distance (consultez <ref id="vuln-asses">), vous pouvez vous attendre à ce qu'un intrus les utilise également s'ils sont disponibles.

note: type: <p><example>
en: Please notice that a default installation of Debian <em>sarge</em> (i.e. an installation where no individual packages are selected) will install a number of development packages that are not usually needed. This is because some development packages are of <em>Standard</em> priority. If you are not going to do any development you can safely remove the following packages from your system, which will also help free up some space:
fr: Veuillez noter qu'une installation par défaut de Debian <em>Sarge</em> (c'est-à-dire une installation pour laquelle aucun paquet individuel n'est sélectionné) installera un certain nombre d'outils de développement qui ne sont habituellement pas nécessaires. Cela vient du fait que certains paquets de développement sont de priorité <em>Standard</em>. Si vous ne comptez pas faire de développement, vous pouvez supprimer ces paquets du système sans inquiétude, ce qui devrait également aider à libérer de la place&nbsp;:

note: type: <example></example>
en: Package                    Size
    ------------------------+--------
    gdb                     2,766,822
    gcc-3.3                 1,570,284
    dpkg-dev                  166,800
    libc6-dev               2,531,564
    cpp-3.3                 1,391,346
    manpages-dev            1,081,408
    flex                      257,678
    g++                         1,384 (Note: virtual package)
    linux-kernel-headers    1,377,022
    bin86                      82,090
    cpp                        29,446
    gcc                         4,896 (Note: virtual package)
    g++-3.3                 1,778,880
    bison                     702,830
    make                      366,138
    libstdc++5-3.3-dev        774,982
fr: Paquet                    Taille
    ------------------------+--------
    gdb                     2,766,822
    gcc-3.3                 1,570,284
    dpkg-dev                  166,800
    libc6-dev               2,531,564
    cpp-3.3                 1,391,346
    manpages-dev            1,081,408
    flex                      257,678
    g++                         1,384 (Note : paquet virtuel)
    linux-kernel-headers    1,377,022
    bin86                      82,090
    cpp                        29,446
    gcc                         4,896 (Note : paquet virtuel)
    g++-3.3                 1,778,880
    bison                     702,830
    make                      366,138
    libstdc++5-3.3-dev        774,982

note: type: <p></p>
en: This is something that is fixed in releases post-sarge, see <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301273" name="Bug #301273"> and <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301138" name="Bug #301138">. Due to a bug in the installation system this did not happen when installing with the installation system of the Debian 3.0 <em>woody</em> release.
fr: Ce problème est corrigé dans les versions après <em>Sarge</em>, consultez le <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301273" name="bogue nº&nbsp;301273"> et le <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301138" name="bogue nº&nbsp;301138">. À cause d'un bogue dans le système d'installation, cela ne se produisait pas lors de l'installation de Debian&nbsp;3.0 <em>Woody</em>.

note: type: <heading></heading>
en: Removing Perl
fr: Supprimer Perl

note: type: <p></p>
en: You must take into account that removing <prgn>perl</prgn> might not be too easy (as a matter of fact it can be quite difficult) in a Debian system since it is used by many system utilities. Also, the <package>perl-base</package> is <em>Priority: required</em> (that about says it all). It's still doable, but you will not be able to run any <prgn>perl</prgn> application in the system; you will also have to fool the package management system to think that the <package>perl-base</package> is installed even if it's not. <footnote><p>You can make (on another system) a dummy package with <package>equivs</package>.</p></footnote>
fr: Vous devez prendre en compte qu'enlever <prgn>perl</prgn> peut ne pas être très simple (en fait, cela peut être assez difficile) sur un système Debian car il est utilisé par beaucoup d'outils système. Le paquet <package>perl-base</package> est également <em>Priority: required</em> (ce qui veut tout dire). C'est tout de même faisable, mais vous ne pourrez pas exécuter d'applications <prgn>perl</prgn> sur le système&nbsp;; vous devrez également tromper le système de gestion des paquets pour lui faire croire que le paquet <package>perl-base</package> est installé même si ce n'est pas le cas. <footnote><p>Vous pouvez créer (sur un autre système) un paquet bidon avec <package>equivs</package>.</p></footnote>

note: type: <p><example>
en: Which utilities use <prgn>perl</prgn>? You can see for yourself:
fr: Quels outils utilisent <prgn>perl</prgn>&nbsp;? Vous pouvez vous en rendre compte vous-même&nbsp;:

note: type: <p><list>
en: These include the following utilities in packages with priority <em>required</em> or <em>important</em>:
fr: Ceux-ci incluent les outils suivants des paquets de priorité <em>requis</em> ou <em>important</em>&nbsp;:

note: type: <p></p>
en: <file>/usr/bin/chkdupexe</file> of package <package>util-linux</package>.
fr: <file>/usr/bin/chkdupexe</file> du paquet <package>util-linux</package>.

note: type: <p></p>
en: <file>/usr/bin/replay</file> of package <package>bsdutils</package>.
fr: <file>/usr/bin/replay</file> du paquet <package>bsdutils</package>.

note: type: <p></p>
en: <file>/usr/sbin/cleanup-info</file> of package <package>dpkg</package>.
fr: <file>/usr/sbin/cleanup-info</file> du paquet <package>dpkg</package>.

note: type: <p></p>
en: <file>/usr/sbin/dpkg-divert</file> of package <package>dpkg</package>.
fr: <file>/usr/sbin/dpkg-divert</file> du paquet <package>dpkg</package>.

note: type: <p></p>
en: <file>/usr/sbin/dpkg-statoverride</file> of package <package>dpkg</package>.
fr: <file>/usr/sbin/dpkg-statoverride</file> du paquet <package>dpkg</package>.

note: type: <p></p>
en: <file>/usr/sbin/install-info</file> of package <package>dpkg</package>.
fr: <file>/usr/sbin/install-info</file> du paquet <package>dpkg</package>.

note: type: <p></p>
en: <file>/usr/sbin/update-alternatives</file> of package <package>dpkg</package>.
fr: <file>/usr/sbin/update-alternatives</file> du paquet <package>dpkg</package>.

note: type: <p></p>
en: <file>/usr/sbin/update-rc.d</file> of package <package>sysvinit</package>.
fr: <file>/usr/sbin/update-rc.d</file> du paquet <package>sysvinit</package>.

note: type: <p></p>
en: <file>/usr/bin/grog</file> of package <package>groff-base</package>.
fr: <file>/usr/bin/grog</file> du paquet <package>groff-base</package>.

note: type: <p></p>
en: <file>/usr/sbin/adduser</file> of package <package>adduser</package>.
fr: <file>/usr/sbin/adduser</file> du paquet <package>adduser</package>.

note: type: <p></p>
en: <file>/usr/sbin/debconf-show</file> of package <package>debconf</package>.
fr: <file>/usr/sbin/debconf-show</file> du paquet <package>debconf</package>.

note: type: <p></p>
en: <file>/usr/sbin/deluser</file> of package <package>adduser</package>.
fr: <file>/usr/sbin/deluser</file> du paquet <package>adduser</package>.

note: type: <p></p>
en: <file>/usr/sbin/dpkg-preconfigure</file> of package <package>debconf</package>.
fr: <file>/usr/sbin/dpkg-preconfigure</file> du paquet <package>debconf</package>.

note: type: <p></p>
en: <file>/usr/sbin/dpkg-reconfigure</file> of package <package>debconf</package>.
fr: <file>/usr/sbin/dpkg-reconfigure</file> du paquet <package>debconf</package>.

note: type: <p></p>
en: <file>/usr/sbin/exigrep</file> of package <package>exim</package>.
fr: <file>/usr/sbin/exigrep</file> du paquet <package>exim</package>.

note: type: <p></p>
en: <file>/usr/sbin/eximconfig</file> of package <package>exim</package>.
fr: <file>/usr/sbin/eximconfig</file> du paquet <package>exim</package>.

note: type: <p></p>
en: <file>/usr/sbin/eximstats</file> of package <package>exim</package>.
fr: <file>/usr/sbin/eximstats</file> du paquet <package>exim</package>.

note: type: <p></p>
en: <file>/usr/sbin/exim-upgrade-to-r3</file> of package <package>exim</package>.
fr: <file>/usr/sbin/exim-upgrade-to-r3</file> du paquet <package>exim</package>.

note: type: <p></p>
en: <file>/usr/sbin/exiqsumm</file> of package <package>exim</package>.
fr: <file>/usr/sbin/exiqsumm</file> du paquet <package>exim</package>.

note: type: <p></p>
en: <file>/usr/sbin/keytab-lilo</file> of package <package>lilo</package>.
fr: <file>/usr/sbin/keytab-lilo</file> du paquet <package>lilo</package>.

note: type: <p></p>
en: <file>/usr/sbin/liloconfig</file> of package <package>lilo</package>.
fr: <file>/usr/sbin/liloconfig</file> du paquet <package>lilo</package>.

note: type: <p></p>
en: <file>/usr/sbin/lilo_find_mbr</file> of package <package>lilo</package>.
fr: <file>/usr/sbin/lilo_find_mbr</file> du paquet <package>lilo</package>.

note: type: <p></p>
en: <file>/usr/sbin/syslogd-listfiles</file> of package <package>sysklogd</package>.
fr: <file>/usr/sbin/syslogd-listfiles</file> du paquet <package>sysklogd</package>.

note: type: <p></p>
en: <file>/usr/sbin/syslog-facility</file> of package <package>sysklogd</package>.
fr: <file>/usr/sbin/syslog-facility</file> du paquet <package>sysklogd</package>.

note: type: <p></p>
en: <file>/usr/sbin/update-inetd</file> of package <package>netbase</package>.
fr: <file>/usr/sbin/update-inetd</file> du paquet <package>netbase</package>.

note: type: <p></p>
en: So, without Perl and, unless you remake these utilities in shell script, you will probably not be able to manage any packages (so you will not be able to upgrade the system, which is <em>not a Good Thing</em>).
fr: Donc, sans Perl et à moins que vous ne réécriviez ces outils en script shell, vous ne pourrez probablement pas gérer de paquets (vous ne pourrez donc pas mettre à jour le système, ce qui n'est <em>pas une Bonne Chose</em>).

note: type: <p></p>
en: If you are determined to remove Perl from the Debian base system, and you have spare time, submit bug reports to the previous packages including (as a patch) replacements for the utilities above written in shell script.
fr: Si vous êtes déterminé à enlever Perl du système de base Debian et si vous avez du temps libre, créez des rapports de bogue sur les paquets précédents en incluant un remplacement (sous forme de correctif) écrit en script shell aux outils ci-dessus.

note: type: <p><example>
en: If you wish to check out which Debian packages depend on Perl you can use
fr: Si vous désirez vérifier quels paquets Debian dépendent de Perl, vous pouvez utiliser&nbsp;:

note: type: <p><example>
en: or
fr: ou

note: type: <heading></heading>
en: Read the Debian security mailing lists
fr: Consulter les listes de discussions Debian sur la sécurité

note: type: <p></p>
en: It is never wrong to take a look at either the debian-security-announce mailing list, where advisories and fixes to released packages are announced by the Debian security team, or at <url id="mailto:debian-security@lists.debian.org">, where you can participate in discussions about things related to Debian security.
fr: Cela ne fait pas de mal de jeter un &oelig;il à la liste de discussion debian-security-announce, où des alertes et des solutions pour les paquets sont annoncés par l'équipe sécurité de Debian, ou sur la liste <url id="mailto:debian-security@lists.debian.org">, où vous pouvez participer aux discussions à propos de différentes choses liées à la sécurité Debian.

note: type: <p></p>
en: In order to receive important security update alerts, send an email to <url id="mailto:debian-security-announce-request@lists.debian.org" name="debian-security-announce-request@lists.debian.org"> with the word "subscribe" in the subject line. You can also subscribe to this moderated email list via the web page at <url id="http://www.debian.org/MailingLists/subscribe" name="http://www.debian.org/MailingLists/subscribe">.
fr: De façon à recevoir les alertes importantes concernant les mises à jour liées à la sécurité, envoyez un courriel à <url id="mailto:debian-security-announce-request@lists.debian.org" name="debian-security-announce-request@lists.debian.org"> avec le mot «&nbsp;subscribe&nbsp;» dans le sujet du courrier. Vous pouvez également vous inscrire à cette liste sur la page web sur <url id="http://www.debian.org/MailingLists/subscribe" name="http://www.debian.org/MailingLists/subscribe">.

note: type: <p></p>
en: This mailing list has very low volume, and by subscribing to it you will be immediately alerted of security updates for the Debian distribution. This allows you to quickly download new packages with security bug fixes, which is very important in maintaining a secure system (see <ref id="security-update"> for details on how to do this).
fr: Cette liste de discussion a très peu de trafic, et en vous inscrivant vous serez tenu au courant des mises à jour pour la distribution Debian. Cela vous permet de télécharger rapidement les nouveaux paquets avec correction des bogues de sécurité, ce qui est relativement important dans le maintien d'un système sécurisé (consultez <ref id="security-update"> pour obtenir plus de précisions).

note: type: <heading></heading>
en: After installation
fr: Après l'installation

note: type: <p></p>
en: Once the system is installed you can still do more to secure the system; some of the steps described in this chapter can be taken. Of course this really depends on your setup but for physical access prevention you should read <ref id="bios-boot">,<ref id="lilo-passwd">,<ref id="kernel-root-prompt">, <ref id="restrict-console-login">, and <ref id="restrict-reboots">.
fr: Une fois que le système est installé, vous pouvez encore en faire plus pour sécuriser le système&nbsp;; certaines des étapes décrites ci-dessous peuvent être effectuées. Bien sûr, cela dépend vraiment de la configuration, mais pour prévenir un accès physique, vous devriez consulter <ref id="bios-boot">, <ref id="lilo-passwd">, <ref id="kernel-root-prompt">, <ref id="restrict-console-login"> et <ref id="restrict-reboots">.

note: type: <p></p>
en: Before connecting to any network, especially if it's a public one you should, at the very least, execute a security update (see <ref id="security-update">). Optionally, you could take a snapshot of your system (see <ref id="snapshot">).
fr: Avant de vous connecter à tout réseau, particulièrement s'il s'agit d'un réseau public, vous devriez, au minimum, faire une mise à jour de sécurité (consultez <ref id="security-update">). Vous pourriez facultativement faire un instantané du système (consultez <ref id="snapshot">).

note: type: <heading></heading>
en: Subscribe to the Debian Security Announce mailing list
fr: S'abonner à la liste de diffusion Debian Security Announce

note: type: <p></p>
en: In order to receive information on available security updates you should subscribe yourself to the debian-security-announce mailing list in order to receive the Debian Security Advisories (DSAs). See <ref id="debian-sec-team"> for more information on how the Debian security team works. For information on how to subscribe to the Debian mailing lists read <url id="http://lists.debian.org">.
fr: Pour recevoir des informations sur les mises à jour de sécurité disponibles, vous devriez vous abonner à la liste de diffusion debian-security-announce pour recevoir les bulletins de sécurité de Debian<footnote><p>Debian Security Advisories (DSA).</p></footnote>. Consultez <ref id="debian-sec-team"> pour plus d'informations sur le fonctionnement de l'équipe en charge de la sécurité Debian. Pour des informations sur l'inscription aux listes de diffusion Debian, consultez <url id="http://lists.debian.org">.

note: type: <p></p>
en: DSAs are signed with the Debian Security Team's signature which can be retrieved from <url id="http://security.debian.org">.
fr: Les DSA sont signées avec la clef de l'équipe de sécurité Debian qui peut être récupérée sur <url id="http://security.debian.org">.

note: type: <p></p>
en: You should consider, also, subscribing to the <url id="http://lists.debian.org/debian-security" name="debian-security mailing list"> for general discussion on security issues in the Debian operating system. You will be able to contact other fellow system administrators in the list as well as Debian developers and upstream developers of security tools who can answer your questions and offer advice.
fr: Vous devriez également envisager de vous abonner à la <url id="http://lists.debian.org/debian-security" name="liste de diffusion debian-security"> pour des discussions générales sur les problèmes de sécurité dans le système d'exploitation Debian. Vous pourrez entrer en contact avec d'autres administrateurs système ainsi qu'avec des développeurs Debian et des développeurs amont d'outils de sécurité qui pourront répondre à vos questions et proposer leurs conseils.

note: type: <p></p>
en: FIXME: Add the key here too?
fr: FIXME : Ajouter la clef ici également&nbsp;?

note: type: <heading></heading>
en: Execute a security update
fr: Faire une mise à jour de sécurité

note: type: <p></p>
en: As soon as new security bugs are detected in packages, Debian maintainers and upstream authors generally patch them within days or even hours. After the bug is fixed, a new package is provided on <url id="http://security.debian.org" name="http://security.debian.org">.
fr: Dès que de nouveaux bogues de sécurité sont décelés dans les paquets, les responsables Debian et les auteurs amont les corrigent généralement dans les journées ou les heures suivantes. Une fois le bogue résolu, un nouveau paquet est fourni sur <url id="http://security.debian.org" name="http://security.debian.org">.

note: type: <p></p>
en: If you are installing a Debian release you must take into account that since the release was made there might have been security updates after it has been determined that a given package is vulnerable. Also, there might have been minor releases (there have been four for the Debian 3.0 <em>sarge</em> release) which include these package updates.
fr: Si vous installez une version de Debian, vous devez prendre en compte le fait qu'il a pu y avoir des mises à jour de sécurité depuis la parution, à chaque fois qu'une vulnérabilité a été découverte dans un paquet. Ainsi, des révisions mineures (il y en a eu quatre dans la version Debian 3.0 <em>Sarge</em>) incluent ces mises à jour de paquets.

note: type: <p></p>
en: During installation security updates are configured for your system and pending updates downloaded and applied, unless you specifically opt out of this or the system was not connected to the Internet. The updates are applied even before the first boot, so the new system starts its life as up to date as possible.
fr: Pendant l'installation, les mises à jour de sécurité sont configurées sur le système, et les mises à jour en attente sont téléchargées et appliquées, sauf indication contraire ou si le système n'est pas connecté à Internet. Les mises à jour sont appliquées avant même le premier démarrage, de telle sorte que le nouveau système commence sa vie aussi à jour que possible.

note: type: <p><example>
en: To manually update the system, put the following line in your <file>sources.list</file> and you will get security updates automatically, whenever you update your system. Replace <em>[CODENAME]</em> with the release codename, e.g. <em>squeeze</em>.
fr: Pour mettre à jour vous-même le système, ajoutez la ligne suivante dans le <file>sources.list</file> et vous recevrez les mises à jour de sécurité automatiquement quand vous mettrez à jour le système. Remplacez <em>[NOM]</em> par le nom de la version, par exemple <em>squeeze</em>.

note: type: <example></example>
en:   deb http://security.debian.org/ [CODENAME]/updates main contrib non-free
fr:   deb http://security.debian.org/ [NOM]/updates main contrib non-free

note: type: <p></p>
en: <em>Note</em>: If you are using the <em>testing</em> branch use the security testing mirror sources as described in <ref id="security-support-testing">.
fr: <em>Remarque</em> : si vous utilisez la distribution <em>testing</em>, utilisez les source du miroir de sécurité de testing conformément à <ref id="security-support-testing">.

note: type: <p><list>
en: Once you've done this you can use multiple tools to upgrade your system. If you are running a desktop system you will have<footnote><p>In <em>Etch</em> and later releases</p></footnote> an application called <prgn>update-notifier</prgn> that will make it easy to check if new updates are available, by selecting it you can make a system upgrade from the desktop (using <prgn>update-manager</prgn>). For more information see <ref id="update-desktop">. In desktop environments you can also use <package>synaptic</package> (GNOME), <package>kpackage</package> or <package>adept</package> (KDE) for more advanced interfaces. If you are running a text-only terminal you can use <package>aptitude</package>, <package>apt</package> or <package>dselect</package> (deprecated) to upgrade:
fr: Après avoir fait cela, plusieurs outils vous permettent de mettre à niveau le système. S'il s'agit d'un ordinateur de bureau, une application appelée <prgn>update-notifier</prgn><footnote><p>Depuis <em>Etch</em>.</p></footnote> permet de vérifier facilement si de nouvelles mises à niveau sont disponibles. En choisissant cela, vous pouvez faire les mises à niveau depuis le bureau (en utilisant <prgn>update-manager</prgn>). Pour obtenir plus de renseignements, veuillez consulter <ref id="update-desktop">. Dans les environnements de bureau, vous pouvez aussi utiliser <package>synaptic</package> (GNOME), <package>kpackage</package> ou <package>adept</package> (KDE) pour des interfaces plus avancées. Si le système ne possède qu'un terminal texte, vous pouvez utiliser <package>aptitude</package>, <package>apt</package> ou <package>dselect</package> (obsolète) pour mettre à niveau.

note: type: <p><example>
en: If you want to use <package>aptitude</package>'s text interface you just have to press <em>u</em> (update) followed by <em>g</em> (to upgrade). Or just do the following from the command line (as root):
fr: Si vous voulez utiliser l'interface texte d'<package>aptitude</package>, il suffit d'appuyer sur <em>u</em> (mise à jour) suivi de <em>g</em> (pour mettre à niveau). Vous pouvez aussi utiliser simplement la ligne de commande (en tant que superutilisateur) :

note: type: <p></p>
en: If you want to use <package>apt</package> do just like with aptitude but substitute the <prgn>aptitude</prgn> lines above with <prgn>apt-get</prgn>.
fr: Si vous voulez utiliser <package>apt</package>, il suffit de faire comme pour <prgn>aptitude</prgn>, mais en remplaçant <prgn>aptitude</prgn> des lignes précédentes par <prgn>apt-get</prgn>.

note: type: <p></p>
en: If you want to use <package>dselect</package> then first [U]pdate, then [I]nstall and finally, [C]onfigure the installed/upgraded packages.
fr: Si vous voulez utiliser <package>dselect</package>, choisissez tout d'abord mise à jo[U]r, puis [I]nstaller et enfin [C]onfigurer pour mettre à jour et installer les paquets.

note: type: <p></p>
en: If you like, you can add the deb-src lines to <file>/etc/apt/sources.list</file> as well. See <manref name="apt" section="8"> for further details.
fr: Si vous le voulez, vous pouvez ajouter également les lignes deb-src à <file>/etc/apt/sources.list</file>. Consultez <manref section="8" name="apt"> pour plus de détails.

note: type: <heading></heading>
en: Security update of libraries
fr: Mise à jour de sécurité des bibliothèques

note: type: <p><example>
en: Once you have executed a security update you might need to restart some of the system services. If you do not do this, some services might still be vulnerable after a security upgrade. The reason for this is that daemons that are running before an upgrade might still be using the old libraries before the upgrade <footnote><p>Even though the libraries have been removed from the filesystem the inodes will not be cleared up until no program has an open file descriptor pointing to them.</p></footnote>. In order to detect which daemons might need to be restarted you can use the <prgn>checkrestart</prgn> program (available in the <package>debian-goodies</package> package) or use this one liner<footnote><p>Depending on your lsof version you might need to use $8 instead of $9</p></footnote> (as root):
fr: Une fois que vous avez exécuté une mise à jour de sécurité, il se peut que vous deviez redémarrer certains des services système. Si vous ne faites pas cela, certains services pourraient encore être vulnérables après une mise à jour de sécurité. La raison pour cela est que les démons qui fonctionnent avec une mise à jour peuvent encore utiliser les anciennes bibliothèques après la mise à jour<footnote><p>Bien que les bibliothèques aient été supprimées du système de fichiers, aucun inœud ne sera nettoyé tant qu'un programme a encore un descripteur de fichier pointant dessus.</p></footnote>. Pour détecter quels démons peuvent devoir être redémarrés, vous pouvez utiliser le programme <prgn>checkrestart</prgn> (disponible dans le paquet <package>debian-goodies</package>) ou utiliser cette ligne de commande<footnote><p>En fonction de la version de lsof, vous pourriez avoir besoin de remplacer $9 par $8.</p></footnote> (en tant que superutilisateur)&nbsp;:

note: type: <example></example>
en: # lsof | grep &lt;the_upgraded_library&gt; | awk '{print $1, $9}' | uniq | sort -k 1
fr: # lsof | grep &lt;la_bibliothèque_mise_à_niveau&gt; \
           | awk '{print $1, $9}' | uniq | sort -k 1

note: type: <p></p>
en: Some packages (like <package>libc6</package>) will do this check in the postinst phase for a limited set of services specially since an upgrade of essential libraries might break some applications (until restarted)<footnote><p>This happened, for example, in the upgrade from libc6 2.2.x to 2.3.x due to NSS authentication issues, see <url id="http://lists.debian.org/debian-glibc/2003/debian-glibc-200303/msg00276.html">.</p></footnote>.
fr: Certains paquets (comme <package>libc6</package>) feront cette vérification dans la phase de postinstallation pour un nombre limité de services, en particulier car une mise à jour de bibliothèques essentielles peut casser certaines applications (avant leur redémarrage)<footnote><p>Cela s'est produit, par exemple, dans la mise à jour de la libc6&nbsp;2.2.x à la 2.3.x à cause de problèmes d'authentification NSS, consultez <url id="http://lists.debian.org/debian-glibc/2003/debian-glibc-200303/msg00276.html">.</p></footnote>.

note: type: <p></p>
en: Bringing the system to run level 1 (single user) and then back to run level 3 (multi user) should take care of the restart of most (if not all) system services. But this is not an option if you are executing the security upgrade from a remote connection (like ssh) since it will be severed.
fr: Faire passer le système en niveau d'exécution&nbsp;1 (utilisateur seul), puis ensuite au niveau d'exécution&nbsp;3 (multiutilisateur) devrait entraîner le redémarrage de la plupart (si ce n'est tous) des services système. Mais cela n'est pas envisageable si vous exécutez la mise à jour de sécurité depuis une connexion distante (comme SSH) car celle-ci serait alors interrompue.

note: type: <p></p>
en: Excercise caution when dealing with security upgrades if you are doing them over a remote connection like ssh. A suggested procedure for a security upgrade that involves a service restart is to restart the SSH daemon and then, inmediately, attempt a new ssh connection without breaking the previous one. If the connection fails, revert the upgrade and investigate the issue.
fr: Apportez le plus grand soin lors des mises à jour de sécurité si vous les réalisez depuis une connexion à distance comme SSH. Une procédure suggérée pour une mise à jour de sécurité qui implique un redémarrage de services est de redémarrer le démon SSH, puis immédiatement de tenter une nouvelle connexion SSH sans interrompre la précédente. Si la connexion échoue, annulez la mise à jour et analysez le problème.

note: type: <heading></heading>
en: Security update of the kernel
fr: Mise à jour de sécurité du noyau

note: type: <p><example>
en: First, make sure your kernel is being managed through the packaging system. If you have installed using the installation system from Debian 3.0 or previous releases, your kernel is <em>not</em> integrated into the packaging system and might be out of date. You can easily confirm this by running:
fr: Assurez-vous tout d'abord que le noyau est géré par le système de gestion des paquets. Si vous l'avez installé en utilisant le système d'installation de Debian&nbsp;3.0 ou de versions précédentes, le noyau <em>n'est pas</em> intégré dans le système de gestion des paquets et pourrait être obsolète. Vous pouvez facilement confirmer cela en exécutant&nbsp;:

note: type: <p></p>
en: If your kernel is not being managed you will see a message saying that the package manager did not find the file associated to any package instead of the message above, which says that the file associated to the current running kernel is being provided by the <package>linux-image-2.6.18-4-686</package>. So first, you will need to manually install a kernel image package. The exact kernel image you need to install depends on your architecture and your prefered kernel version. Once this is done, you will be able to manage the security updates of the kernel just like those of any other package. In any case, notice that the kernel updates will <em>only</em> be done for kernel updates of the same kernel version you are using, that is, <prgn>apt</prgn> will not automatically upgrade your kernel from the 2.4 release to the 2.6 release (or from the 2.4.26 release to the 2.4.27 release<footnote><p>Unless you have installed a kernel metapackage like <package>linux-image-2.6-686</package> which will always pull in the latest kernel minor revision for a kernel release and a given architecture.</p></footnote>).
fr: Si le noyau n'est pas géré, vous verrez un message indiquant que le gestionnaire de paquets n'a pas trouvé le fichier associé à un paquet au lieu du message ci-dessus, qui dit que le fichier associé au noyau actuellement en fonctionnement est fourni par le paquet <package>linux-image-2.6.18-4-686</package>. Dans le premier cas, vous devrez installer manuellement un paquet d'image de noyau. L'image exacte du noyau que vous devez installer dépend de l'architecture et de la version de noyau préférée. Une fois fait, vous pourrez gérer les mises à jour de sécurité du noyau comme pour tout autre paquet. Dans tous les cas, notez que les mises à jour du noyau ne seront faites <em>que</em> pour la même version du noyau que celui que vous utilisez, c'est-à-dire que <prgn>apt</prgn> ne va pas mettre à jour automatiquement le noyau de la version&nbsp;2.4 à la version&nbsp;2.6 (ou de la version&nbsp;2.4.26 à la version&nbsp;2.4.27<footnote><p>Sauf si vous avez installé un métapaquet de noyau comme <package>linux-image-2.6-686</package> qui va toujours tirer la dernière révision mineure de noyau pour une version de noyau et une architecture donnée.</p></footnote>).

note: type: <p><example>
en: The installation system of recent Debian releases will handle the selected kernel as part of the package system. You can review which kernels you have installed by running:
fr: Le système d'installation des dernières versions de Debian gérera le noyau sélectionné comme partie du système de gestion des paquets. Vous pouvez vérifier quels noyaux sont installés en exécutant&nbsp;:

note: type: <p><example>
en: To see if your kernel needs to be updated run:
fr: Pour voir si le noyau doit être mis à jour, exécutez&nbsp;:

note: type: <example></example>
en: $ kernfile=`readlink -f /vmlinuz`
    $ kernel=`dpkg -S $kernfile | awk -F : '{print $1}'`
    $ apt-cache policy $kernel
    linux-image-2.6.18-4-686:
      Installed: 2.6.18.dfsg.1-12
      Candidate: 2.6.18.dfsg.1-12
      Version table:
     *** 2.6.18.dfsg.1-12 0
            100 /var/lib/dpkg/status
fr: $ kernfile=`readlink -f /vmlinuz`
    $ kernel=`dpkg -S $kernfile | awk -F : '{print $1}'`
    $ apt-cache policy $kernel
    linux-image-2.6.32-5-686:
      Installé : 2.6.32-35
      Candidat : 2.6.32-35
      Table de version :
     *** 2.6.32-35
            100 /var/lib/dpkg/status

note: type: <p></p>
en: If you are doing a security update which includes the kernel image you <em>need</em> to reboot the system in order for the security update to be useful. Otherwise, you will still be running the old (and vulnerable) kernel image.
fr: Si vous effectuez une mise à jour de sécurité incluant l'image du noyau, vous <em>devez</em> redémarrer le système pour que la mise à jour de sécurité soit utile. Sinon, vous utiliserez encore l'ancienne image de noyau (vulnérable).

note: type: <p></p>
en: If you need to do a system reboot (because of a kernel upgrade) you should make sure that the kernel will boot up correctly and network connectivity will be restored, specially if the security upgrade is done over a remote connection like ssh. For the former you can configure your boot loader to reboot to the original kernel in the event of a failure (for more detailed information read <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines">). For the latter you have to introduce a network connectivity test script that will check if the kernel has started up the network subsystem properly and reboot the system if it did not<footnote><p>A sample script called <url id="http://www.debian-administration.org/articles/70/testnet" name="testnet"> is available in the <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines"> article. A more elaborate network connectivity testing script is available in the <url id="http://www.debian-administration.org/?article=128" name="Testing network connectivity"> article.</p></footnote>. This should prevent nasty surprises like updating the kernel and then realizing, after a reboot, that it did not detect or configure the network hardware properly and you need to travel a long distance to bring the system up again. Of course, having the system serial console <footnote><p>Setting up a serial console is beyond the scope of this document, for more information read the <url id="http://www.tldp.org/HOWTO/Serial-HOWTO.html" name="Serial HOWTO"> and the <url id="http://www.tldp.org/HOWTO/Remote-Serial-Console-HOWTO/index.html" name="Remote Serial Console HOWTO">.</p></footnote> in the system connected to a console or terminal server should also help debug reboot issues remotely.
fr: Si vous devez effectuer un redémarrage du système (à cause d'une mise à jour du noyau), vous devriez vous assurer que le noyau démarrera correctement et que la connectivité réseau sera restaurée, particulièrement si la mise à jour de sécurité est réalisée depuis une connexion à distance comme SSH. Pour le premier point, vous pouvez configurer le chargeur d'amorçage pour redémarrer l'ancien noyau en cas d'échec (pour des informations plus détaillées, veuillez consulter (en anglais) <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines">). Pour le second point, vous devez introduire un script de test de connectivité réseau qui vérifiera si le noyau a lancé le sous-système réseau correctement et qui redémarrera le système si ce n'est pas le cas<footnote><p>Un exemple d'un tel script appelé <url id="http://www.debian-administration.org/articles/70/testnet" name="testnet"> est disponible dans l'article <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines">. Un script de test de connectivité réseau plus élaboré est disponible dans l'article <url id="http://www.debian-administration.org/?article=128" name="Testing network connectivity">.</p></footnote>. Cela devrait éviter des surprises désagréables comme une mise à jour du noyau en réalisant après un redémarrage qu'il n'a pas détecté ou configuré le matériel réseau correctement et que vous devez parcourir une longue distance pour relancer à nouveau le système. Bien sûr, avoir la console série<footnote><p>Configurer une console série est en dehors du cadre de ce document, pour plus d'informations, veuillez consulter le <url id="http://www.tldp.org/HOWTO/Serial-HOWTO.html" name="Serial HOWTO"> et le <url id="http://www.tldp.org/HOWTO/Remote-Serial-Console-HOWTO/index.html" name="Remote Serial Console HOWTO">.</p></footnote> du système connectée à une console ou un serveur de terminal devrait également aider à déboguer à distance les problèmes de redémarrage.

note: type: <heading></heading>
en: Change the BIOS (again)
fr: Changer le BIOS (à nouveau)

note: type: <p></p>
en: Remember <ref id="bios-passwd">? Well, then you should now, once you do not need to boot from removable media, to change the default BIOS setup so that it <em>only</em> boots from the hard drive. Make sure you will not lose the BIOS password, otherwise, in the event of a hard disk failure you will not be able to return to the BIOS and change the setup so you can recover it using, for example, a CD-ROM.
fr: Vous vous souvenez de <ref id="bios-passwd">&nbsp;? Et bien, vous devriez maintenant, une fois que vous n'avez plus besoin de démarrer à partir d'un support amovible, changer la configuration par défaut du BIOS pour qu'il ne puisse démarrer <em>que</em> depuis le disque dur. Assurez-vous de ne pas perdre le mot de passe BIOS, sinon, en cas de défaillance du disque dur, vous ne pourrez pas retourner dans le BIOS et modifier la configuration pour le récupérer en utilisant, par exemple, un CD.

note: type: <p></p>
en: Another less secure but more convenient way is to change the setup to have the system boot up from the hard disk and, if it fails, try removable media. By the way, this is often done because most people don't use the BIOS password that often; it's easily forgotten.
fr: Un autre moyen moins sécurisé, mais plus pratique est de changer la configuration pour que le système s'amorce depuis le disque dur et, si cela échoue, d'essayer un support amovible. À propos, c'est ainsi fait parce que la plupart des personnes n'utilisent pas le mot de passe BIOS très souvent&nbsp;; il est facilement oublié.

note: type: <heading></heading>
en: Set a LILO or GRUB password
fr: Attribuer un mot de passe à LILO ou GRUB

note: type: <p></p>
en: Anybody can easily get a root-shell and change your passwords by entering <tt>&lt;name-of-your-bootimage&gt; init=/bin/sh</tt> at the boot prompt. After changing the passwords and rebooting the system, the person has unlimited root-access and can do anything he/she wants to the system. After this procedure you will not have root access to your system, as you do not know the root password.
fr: N'importe qui peut obtenir facilement une invite de commandes superutilisateur et changer les mots de passe en entrant à l'invite d'amorçage <tt>&lt;nom-de-l-image-d-amorçage&gt; init=/bin/sh</tt>. Après le changement du mot de passe et le redémarrage du système, la personne a un accès superutilisateur illimité et peut faire tout ce qu'elle veut sur le système. Après cela, vous n'aurez plus d'accès supertilisateur sur la machine, étant donné que vous ne connaîtrez pas le mot de passe.

note: type: <p></p>
en: To make sure that this cannot happen, you should set a password for the boot loader. You can choose between a global password or a password for a certain image.
fr: Pour être sûr que cela ne puisse pas se produire, vous devriez attribuer un mot de passe au démarrage. Vous avez le choix entre un mot de passe global et un mot de passe par image.

note: type: <p><example>
en: For LILO you need to edit the config file <file>/etc/lilo.conf</file> and add a <tt>password</tt> and <tt>restricted</tt> line as in the example below.
fr: Pour LILO, vous avez besoin d'éditer le fichier <file>/etc/lilo.conf</file> et ajouter les lignes <tt>password</tt> ainsi que <tt>restricted</tt> comme dans l'exemple suivant.

note: type: <example></example>
en:   image=/boot/2.2.14-vmlinuz
         label=Linux
         read-only
         password=hackme
         restricted
fr:   image=/boot/2.2.14-vmlinuz
         label=Linux
         read-only
         password=piratemoi
         restricted

note: type: <p></p>
en: Then, make sure that the configuration file is not world readable to prevent local users from reading the password. When done, rerun lilo. Omitting the <tt>restricted</tt> line causes lilo to always prompt for a password, regardless of whether LILO was passed parameters. The default permissions for <file>/etc/lilo.conf</file> grant read and write permissions to root, and enable read-only access for <file>lilo.conf</file>'s group, root.
fr: Puis, assurez-vous que le fichier de configuration n'est pas lisible par tout le monde pour empêcher des utilisateurs locaux de lire le mot de passe. Une fois terminé, relancez lilo. Omettre la ligne <tt>restricted</tt> entraîne une attente de mot de passe, en dépit des paramètres passés à LILO. Les permissions par défaut pour le fichier <file>/etc/lilo.conf</file> accordent au superutilisateur les droits de lecture et d'écriture et permettent un accès en lecture seule pour le groupe de configuration de <file>lilo.conf</file>, à savoir root.

note: type: <p><example>
en: If you use GRUB instead of LILO, edit <file>/boot/grub/menu.lst</file> and add the following two lines at the top (substituting, of course <tt>hackme</tt> with the desired password). This prevents users from editing the boot items. <tt>timeout 3</tt> specifies a 3 second delay before <prgn>grub</prgn> boots the default item.
fr: Si vous utilisez GRUB plutôt que LILO, éditez <file>/boot/grub/menu.lst</file> et ajoutez les deux lignes suivantes en début (en remplaçant, bien sûr, <tt>piratemoi</tt> par le mot de passe désiré). Cela empêche les utilisateurs d'éditer les options de démarrage. <tt>timeout 3</tt> indique un délai de 3 secondes avant que <prgn>grub</prgn> démarre l'option par défaut.

note: type: <example></example>
en:   timeout 3
      password hackme
fr:   timeout 3
      password piratemoi

note: type: <p><example>
en: To further harden the integrity of the password, you may store the password in an encrypted form. The utility <prgn>grub-md5-crypt</prgn> generates a hashed password which is compatible with GRUB's encrypted password algorithm (MD5). To specify in <prgn>grub</prgn> that an MD5 format password will be used, use the following directive:
fr: Pour aller plus loin dans le durcissement de l'intégrité du mot de passe, vous pourriez entreposer le mot de passe sous une forme chiffrée. L'utilitaire <prgn>grub-md5-crypt</prgn> génère un hachage de mot de passe qui est compatible avec l'algorithme du mot de passe GRUB (MD5). Pour indiquer à <prgn>grub</prgn> qu'un mot de passe au format MD5 va être utilisé, utilisez la directive suivante&nbsp;:

note: type: <example></example>
en:   timeout 3
      password --md5 $1$bw0ez$tljnxxKLfMzmnDVaQWgjP0
fr:   timeout 3
      password --md5 $1$T/vfEWUQ$t8xoW.5kp3nbqc1zOwa3W1

note: type: </example></p>
en: The --md5 parameter was added to instruct <prgn>grub</prgn> to perform the MD5 authentication process. The provided password is the MD5 encrypted version of hackme. Using the MD5 password method is preferable to choosing its clear-text counterpart. More information about <prgn>grub</prgn> passwords may be found in the <package>grub-doc</package> package.
fr: Le paramètre --md5 a été ajouté pour informer <prgn>grub</prgn> d'effectuer la procédure d'authentification md5. Le mot de passe fourni est la version MD5 chiffrée de piratemoi. L'utilisation de la méthode MD5 pour le mot de passe est préférable à la méthode précédente dont le mot de passe est en clair. Plus d'informations concernant les mots de passe <prgn>grub</prgn> sont disponibles dans le paquet <package>grub-doc</package>.

note: type: <heading></heading>
en: Disable root prompt on the initramfs
fr: Désactivation de l'invite superutilisateur de l'initramfs

note: type: <p></p>
en: Note: This applies to the default kernels provided for releases after Debian 3.1
fr: Note&nbsp;: cela s'applique aux noyaux fournis par défaut après Debian 3.1.

note: type: <p><example>
en: Linux 2.6 kernels provide a way to access a root shell while booting which will be presented during loading the initramfs on error. This is helpful to permit the administrator to enter a rescue shell with root permissions. This shell can be used to manually load modules when autodetection fails. This behavior is the default for <prgn>initramfs-tools</prgn> generated initramfs. The following message will appear:
fr: Les noyaux Linux 2.6 fournissent un moyen d'accéder à une invite de commande de superutilisateur lors de l'amorçage et qui sera présentée pendant le chargement de l'initramfs en cas d'erreur. C'est pratique pour permettre à l'administrateur d'entrer une invite de commande de secours avec des droits du superutilisateur. Cette invite de commande peut être utilisée pour charger vous-même des modules quand la détection automatique échoue. Ce comportement est celui par défaut pour les initramfs créés par <prgn>initramfs-tools</prgn>. Le message suivant apparaîtra&nbsp;:

note: type: <p></p>
en: In order to remove this behavior you need to set the following boot argument:<em>panic=0</em>. Either add it to the kopt section of <file>/boot/grub/menu.lst</file> and issue <prgn>update-grub</prgn> or to the append section of <file>/etc/lilo.conf</file>.
fr: Afin de supprimer ce comportement, vous devez configurer l'argument d'amorçage suivant : <em>panic=0</em>. Ajoutez-le soit à la section kopt de <file>/boot/grub/menu.lst</file> et exécutez <prgn>update-grub</prgn>, soit à la section append de <file>/etc/lilo.conf</file>.

note: type: <heading></heading>
en: Remove root prompt on the kernel
fr: Enlever l'invite superutilisateur du noyau

note: type: <p></p>
en: Note: This does not apply to the kernels provided for Debian 3.1 as the timeout for the kernel delay has been changed to 0.
fr: Note&nbsp;: cela ne s'applique pas aux noyaux fournis par Debian&nbsp;3.1, car le temps d'attente du noyau a été modifié à 0.

note: type: <p><example>
en: Linux 2.4 kernels provide a way to access a root shell while booting which will be presented just after loading the cramfs file system. A message will appear to permit the administrator to enter an executable shell with root permissions, this shell can be used to manually load modules when autodetection fails. This behavior is the default for <prgn>initrd</prgn>'s <file>linuxrc</file>. The following message will appear:
fr: Les noyaux Linux 2.4 fournissent un moyen d'accéder à une invite de commandes superutilisateur lors de l'amorçage et qui sera présenté juste après le chargement du système de fichiers cramfs. Un message apparaîtra pour permettre à l'administrateur d'obtenir une invite de commandes interactive avec des droits du superutilisateur, cette invite de commandes peut être utilisée pour charger manuellement des modules quand la détection automatique échoue. Ce comportement est celui par défaut pour <file>linuxrc</file> de l'<prgn>initrd</prgn>. Le message suivant apparaîtra&nbsp;:

note: type: <p><example>
en: In order to remove this behavior you need to change <file>/etc/mkinitrd/mkinitrd.conf</file> and set:
fr: Pour supprimer ce comportement, vous devez changer <file>/etc/mkinitrd/mkinitrd.conf</file> et positionner&nbsp;:

note: type: <example></example>
en:   # DELAY  The  number  of seconds the linuxrc script should wait to
      # allow the user to interrupt it before the system is brought up
      DELAY=0
fr:   # DELAY  Le temps, en seconde que le script linuxrc doit
      # attendre pour permettre à l'utilisateur de l'interrompre
      # avant que le système ne soit lancé
      DELAY=0

note: type: <p><example>
en: Then regenerate your ramdisk image. You can do this for example with:
fr: Puis, régénérez l'image de ramdisk. Vous pouvez faire cela ainsi, par exemple&nbsp;:

note: type: <p><example>
en: or (preferred):
fr: ou (de préférence)&nbsp;:

note: type: <heading></heading>
en: Restricting console login access
fr: Restreindre les accès aux consoles

note: type: <p><list>
en: Some security policies might force administrators to log in to the system through the console with their user/password and then become superuser (with <prgn>su</prgn> or <prgn>sudo</prgn>). This policy is implemented in Debian by editing the <file>/etc/pam.d/login</file> and the <file>/etc/securetty</file> when using PAM:
fr: Certaines règles de sécurité peuvent forcer les administrateurs à se connecter au système sur une console avec leur identifiant et mot de passe puis devenir superutilisateur (avec <prgn>su</prgn> ou <prgn>sudo</prgn>). Cette règle est appliquée sous Debian en éditant les fichiers <file>/etc/pam.d/login</file> et <file>/etc/securetty</file> lors de l'utilisation de PAM :

note: type: <p></p>
en: <file>/etc/pam.d/login</file> <footnote><p>In older Debian releases you would need to edit <file>login.defs</file>, and use the CONSOLE variable which defines a file or list of terminals on which root logins are allowed.</p></footnote> enables the pam_securetty.so module. This module, when properly configured will not ask for a password when the root user tries to login on an insecure console, rejecting access as this user.
fr: <file>/etc/pam.d/login</file> <footnote><p>Dans les versions précédentes de Debian, il fallait modifier <file>login.defs</file>, et utiliser la variable CONSOLE qui définit un fichier ou une liste de terminaux sur lesquels la connexion du superutilisateur est autorisée.</p></footnote> active le module pam_securetty.so. Ce module, une fois correctement configuré, interdira la demande de mot de passe quand le superutilisateur essaye de se connecter sur une console non sécurisée, rejetant l'accès à cet utilisateur ;

note: type: <p></p>
en: <file>securetty</file> <footnote><p>The <file>/etc/securetty</file> is a configuration file that belongs to the <package>login</package> package.</p></footnote> by adding/removing the terminals to which root access will be allowed. If you wish to allow only local console access then you need <em>console</em>, <em>ttyX</em><footnote><p>Or <em>ttyvX</em> in GNU/FreeBSD, and <em>ttyE0</em> in GNU/KNetBSD.</p></footnote> and <em>vc/X</em> (if using <em>devfs</em> devices), you might want to add also <em>ttySX</em><footnote><p>Or <em>comX</em> in GNU/Hurd, <em>cuaaX</em> in GNU/FreeBSD, and <em>ttyXX</em> in GNU/KNetBSD.</p></footnote> if you are using a serial console for local access (where X is an integer, you might want to have multiple instances. The default configuration for <em>Wheezy</em> <footnote><p>The default configuration in <em>woody</em> includes 12 local tty and vc consoles, as well as the <em>console</em> device but does not allow remote logins. In <em>sarge</em> the default configuration provides 64 consoles for tty and vc consoles.</p></footnote> includes many tty devices, serial ports, vc consoles as well as the X server and the <em>console</em> device. You can safely adjust this if you are not using that many consoles. You can confirm the virtual consoles and the tty devices you have by reviewing <file>/etc/inittab</file> <footnote><p>Look for the <em>getty</em> calls.</p></footnote> . For more information on terminal devices read the <url id="http://tldp.org/HOWTO/Text-Terminal-HOWTO-6.html" name="Text-Terminal-HOWTO">.
fr: <file>securetty</file><footnote><p>Le fichier <file>/etc/securetty</file> est un fichier de configuration qui appartient au paquet <package>login</package>.</p></footnote> en ajoutant ou supprimant les terminaux depuis lesquels les accès du superutilisateur seront autorisés. Si vous voulez n'autoriser que les accès locaux en console, vous avez alors besoin de <em>console</em>, <em>ttyX</em><footnote><p>Ou <em>ttyvX</em> pour GNU/FreeBSD et <em>ttyE0</em> pour GNU/KNetBSD.</p></footnote> et <em>vc/X</em> (si vous utilisez des périphériques <em>devfs</em>), vous pouvez vouloir ajouter également <em>ttySX</em><footnote><p>Ou <em>comX</em> pour GNU/Hurd, <em>cuaaX</em> pour GNU/FreeBSD et <em>ttyXX</em> pour GNU/KNetBSD.</p></footnote> si vous utilisez une console série pour l'accès local (où X est un nombre entier, vous pouvez vouloir avoir plusieurs instances). La configuration par défaut pour <em>Wheezy</em> <footnote><p>La configuration par défaut dans <em>Woody</em> inclut 12&nbsp;consoles locales tty et vc, ainsi que le périphérique <em>console</em>, mais ne permet pas les connexions distantes. Dans <em>Sarge</em>, la configuration par défaut fournit 64&nbsp;consoles pour les consoles tty et vc.</p></footnote> inclut de nombreux périphériques tty, ports séries, consoles vc ainsi que le serveur X et le périphérique <em>console</em>. Vous pouvez ajuster cela en toute sécurité si vous n'utilisez pas tant de consoles. Vous pouvez confirmer les consoles virtuelles et périphériques tty disponibles en vérifiant <file>/etc/inittab</file> <footnote><p>Recherchez les appels <em>getty</em>.</p></footnote>. Pour plus d'informations sur les périphériques de terminal, veuillez consulter le <url id="http://tldp.org/HOWTO/Text-Terminal-HOWTO-6.html" name="HOWTO Terminal Texte pour Linux"> (ou la <url id="http://www.traduc.org/docs/HOWTO/vf/Text-Terminal-HOWTO.html" name="version française">).

note: type: <p><example>
en: When using PAM, other changes to the login process, which might include restrictions to users and groups at given times, can be configured in <file>/etc/pam.d/login</file>. An interesting feature that can be disabled is the possibility to login with null (blank) passwords. This feature can be limited by removing <em>nullok</em> from the line:
fr: En cas d'utilisation de PAM d'autres changements au processus de login, qui peuvent inclure des restrictions aux utilisateurs et groupes à certains moments, peuvent être configurés dans <file>/etc/pam.d/login</file>. Une fonctionnalité intéressante qui peut être désactivée est la possibilité de se connecter avec des mots de passe nuls (vides). Cette fonctionnalité peut être limitée en enlevant <em>nullok</em> de la ligne&nbsp;:

note: type: <heading></heading>
en: Restricting system reboots through the console
fr: Restreindre les redémarrages système depuis la console

note: type: <p></p>
en: If your system has a keyboard attached to it anyone (yes <em>anyone</em>) with physical access to the system can reboot the system through it without login in just pressing the <em>Ctrl+Alt+Delete</em> keyboard combination, also known as the <em>three finger salute</em>. This might, or might not, adhere to your security policy.
fr: Si un clavier est attaché au système, tout le monde (oui, <em>tout le monde</em>) avec un accès physique au système peut le redémarrer sans se connecter en appuyant simplement sur la combinaison <em>Ctrl+Alt+Delete</em> du clavier (le <em>salut à trois doigts</em>). Cela peut être en conformité ou non avec vos règles de sécurité.

note: type: <p></p>
en: This is aggravated in environments in which the operating system is running virtualised. In these environments, the possibility extends to users that have access to the virtual console (which might be accessed over the network). Also note that, in these environments, this keyboard combination is used constantly (to open a login shell in some GUI operating systems) and an administrator might <em>virtually</em> send it and force a system reboot.
fr: C'est aggravé dans les environnements où le système d'exploitation est virtualisé. Dans ces environnements, la possibilité s'étend aux utilisateurs ayant accès à la console virtuelle (qui pourrait être accessible par le réseau). Remarquez aussi que, dans ces environnements, cette combinaison est utilisée constamment (pour ouvrir une invite de connexion dans certaines interfaces graphiques de systèmes d'exploitations) et qu'un administrateur pourrait l'envoyer <em>virtuellement</em> et forcer un système à redémarrer.

note: type: <p><list>
en: There are two ways to restrict this:
fr: Deux manières permettent de restreindre cela :

note: type: <p></p>
en: configure it so that only <em>allowed</em> users can reboot the system,
fr: le configurer pour que seuls les utilisateurs <em>autorisés</em> puissent redémarrer le système ;

note: type: <p></p>
en: disable this feature completely.
fr: désactiver complètement cette fonctionnalité.

note: type: <p></p>
en: If you want to restrict this, you must check the <file>/etc/inittab</file> so that the line that includes <tt>ctrlaltdel</tt> calls <prgn>shutdown</prgn> with the <tt>-a</tt> switch.
fr: Si vous désirez restreindre cela, vous devez vérifier le fichier <file>/etc/inittab</file> pour que la ligne incluant <tt>ctrlaltdel</tt> appelle <prgn>shutdown</prgn> avec le paramètre <tt>-a</tt>.

note: type: <p><example>
en: The default in Debian includes this switch:
fr: La valeur par défaut dans Debian inclut ce paramètre :

note: type: <p></p>
en: The <tt>-a</tt> switch, as the <manref name="shutdown" section="8"> manpage describes,makes it possible to allow <em>some</em> users to shutdown the system. For this the file <file>/etc/shutdown.allow</file> must be created and the administrator has to include there the name of users which can boot the system. When the <em>three finger salute</em> combination is pressed in a console the program will check if any of the users listed in the file are logged in. If none of them is, <prgn>shutdown</prgn> will <em>not</em> reboot the system.
fr: Le paramètre <tt>-a</tt>, conformément à la description de la page de manuel <manref section="8" name="shutdown">, donne la possibilité de permettre à <em>certains</em> utilisateurs d'arrêter le système. Pour cela, le fichier <file>/etc/shutdown.allow</file> doit être créé et inclure le nom des utilisateurs qui peuvent redémarrer le système. Quand la combinaison du <em>salut à trois doigts</em> est exécutée en console, le programme va vérifier si l'un des utilisateurs définis dans ce fichier est connecté. Si aucun d'entre eux ne l'est, <prgn>shutdown</prgn> ne va <em>pas</em> redémarrer le système.

note: type: <p></p>
en: If you want to disable the Ctrl+Alt+Del combination you just need to comment the line with the <em>ctrlaltdel</em> definition in the <file>/etc/inittab</file>.
fr: Pour désactiver la combinaison Ctrl+Alt+Del, il suffit de commenter la ligne contenant la définition de <em>ctrlaltdel</em> dans <file>/etc/inittab</file>.

note: type: <p></p>
en: Remember to run <tt>init q</tt> after making any changes to the <file>/etc/inittab</file> file for the changes to take effect.
fr: N'oubliez pas d'exécuter <tt>init q</tt> après toute modification du fichier <file>/etc/inittab</file> pour qu'elle prenne effet.

note: type: <heading></heading>
en: Restricting the use of the Magic SysRq key
fr: Restriction d'utilisation des touches SysRq magiques

note: type: <p></p>
en: The <em>Magic SysRq key</em> is a key combination that allows users connected to the system console of a Linux kernel to perform some low-level commands. These low-level commands are sent by pressing simultaneously <em>Alt+SysRq</em> and a command key. The SysRq key in many keyboards is labeled as the <em>Print Screen</em> key.
fr: Les <em>touches SysRq magiques</em> sont des combinaisons de touches qui permettent aux utilisateurs connectés à une console système du noyau Linux de réaliser des commandes de bas niveau. Ces commandes de bas niveau sont envoyées en appuyant simultanément sur <em>Alt+SysRq</em> et une touche de commande. La touche SysRq est la même que « Impr écran » sur la plupart des claviers.

note: type: <p><example>
en: Since the Etch release, the Magic SysRq key feature is enabled in the Linux kernel to allow console users certain privileges. You can confirm this by checking if the <file>/proc/sys/kernel/sysrq</file> exists and reviewing its value:
fr: Depuis la publication de Etch, les touches SysRq magiques sont activées dans le noyau Linux pour donner certains droits aux utilisateurs en console. Vous pouvez confirmer cela en vérifiant si <file>/proc/sys/kernel/sysrq</file> existe et vérifier ses valeurs :

note: type: <p></p>
en: The default value shown above allows all of the SysRq functions except for the possibility of sending signals to processes. For example, it allow users connected to the console to remount all systems read-only, reboot the system or cause a kernel panic. In all the features are enabled, or in older kernels (earlier than 2.6.12) the value will be just 1.
fr: La valeur par défaut ci-dessus permet toutes les fonctions SysRq sauf la possibilité d'envoyer des signaux aux processus. Par exemple, elle permet aux utilisateurs connectés en console de remonter tous les systèmes de fichiers en lecture seule, redémarrer le système ou provoquer une panique du noyau. Si toutes les fonctionnalités sont activées, ou sur les anciens noyaux (avant le 2.6.12), la valeur sera simplement 1.

note: type: <p><example>
en: You should disable this functionality ifaccess to the console is not restricted to authorised users: the console is connected to a modem line, there is easy physical access to the system or it is running in a virtualised environment and other users access the console. To do this edit the <file>/etc/sysctl.conf</file> and add the following lines:
fr: Vous devriez désactiver cette fonctionnalité si l'accès à la console n'est pas restreint aux utilisateurs autorisés : par exemple si la console est connectée à une ligne modem, s'il y a un accès physique facile au système ou s'il est exécuté dans un environnement virtualisé et d'autres utilisateurs ont accès à la console. Pour cela, modifiez <file>/etc/sysctl.conf</file> pour ajouter les lignes suivantes :

note: type: <example></example>
en: # Disables the magic SysRq key
    kernel.sysrq = 0
fr: # Désactiver les touches SysRq magiques
    kernel.sysrq = 0

note: type: <p></p>
en: For more information, read <url id="http://tldp.org/HOWTO/Remote-Serial-Console-HOWTO/security-sysrq.html" name="security chapter in the Remote Serial Console HOWTO">, <url id="http://kernel.org/doc/Documentation/sysrq.txt" name="Kernel SysRQ documentation">. and the <url id="http://en.wikipedia.org/wiki/Magic_SysRq_key" name="Magic_SysRq_key wikipedia entry">.
fr: Pour de plus amples renseignements, consultez le <url id="http://tldp.org/HOWTO/Remote-Serial-Console-HOWTO/security-sysrq.html" name="chapitre sécurité de « Remote Serial Console HOWTO »">, la <url id="http://kernel.org/doc/Documentation/sysrq.txt" name="documentation SysRQ du noyau"> et l'<url id="http://fr.wikipedia.org/wiki/Magic_SysRq_key" name="article de Wikipédia sur les touches SysRq magiques">.

note: type: <heading></heading>
en: Mounting partitions the right way
fr: Monter correctement les partitions

note: type: <p><example>
en: When mounting an <tt>Ext</tt> file system (<tt>ext2</tt>, <tt>ext3</tt> or <tt>ext4</tt>), there are several additional options you can apply to the mount call or to <file>/etc/fstab</file>. For instance, this is my fstab entry for the <file>/tmp</file> partition:
fr: En montant un système de fichiers <tt>ext</tt> (<tt>ext2</tt>, <tt>ext3</tt> ou <tt>ext4</tt>), différentes options additionnelles sont permises pour l'appel mount ou pour le fichier <file>/etc/fstab</file>. Par exemple, ceci est une entrée pour la partition /tmp&nbsp;:

note: type: <example></example>
en:   /dev/hda7    /tmp    ext2    defaults,nosuid,noexec,nodev    0    2
fr:   /dev/hda7   /tmp   ext2   defaults,nosuid,noexec,nodev   0   2

note: type: <p><list>
en: You see the difference in the options sections. The option <tt>nosuid</tt> ignores the setuid and setgid bits completely, while <tt>noexec</tt> forbids execution of any program on that mount point, and <tt>nodev</tt> ignores device files. This sounds great, but it:
fr: Vous voyez la différence dans la section des options. L'option <tt>nosuid</tt> ignore complètement les bits setuid et setgid, tandis que <tt>noexec</tt> interdit l'exécution de tout programme sur ce point de montage et <tt>nodev</tt> ignore les fichiers de périphériques. Cela semble bon mais :

note: type: <p></p>
en: only applies to <tt>ext2</tt> or <tt>ext3</tt> file systems
fr: ne s'applique qu'aux systèmes de fichiers <tt>ext2</tt> ou <tt>ext3</tt> ;

note: type: <p></p>
en: can be circumvented easily
fr: peut être contourné facilement.

note: type: <p><example>
en: The <tt>noexec</tt> option prevents binaries from being executed directly, but was easily circumvented in earlier versions of the kernel:
fr: L'option <tt>noexec</tt> évite aux binaires d'être exécutés directement mais c'était facilement contournable dans les premières versions du noyau&nbsp;:

note: type: <example></example>
en:   alex@joker:/tmp# mount | grep tmp
      /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
      alex@joker:/tmp# ./date
      bash: ./date: Permission denied
      alex@joker:/tmp# /lib/ld-linux.so.2 ./date
      Sun Dec  3 17:49:23 CET 2000
fr:   alex@joker:/tmp# mount | grep tmp
      /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
      alex@joker:/tmp# ./date
      bash: ./date: Permission non accordée
      alex@joker:/tmp# /lib/ld-linux.so.2 ./date
      dimanche 3 décembre 2000, 17:49:23 (UTC+0100)

note: type: <p><example>
en: Newer versions of the kernel do however handle the <tt>noexec</tt> flag properly:
fr: Les versions plus récentes du noyau gèrent cependant l'option <tt>noexec</tt> correctement :

note: type: <example></example>
en:   angrist:/tmp# mount | grep /tmp
      /dev/hda3 on /tmp type ext3 (rw,noexec,nosuid,nodev)
      angrist:/tmp# ./date
      bash: ./tmp: Permission denied 
      angrist:/tmp# /lib/ld-linux.so.2 ./date 
      ./date: error while loading shared libraries: ./date: failed to map segment 
      from shared object: Operation not permitted
fr:   angrist:/tmp# mount | grep /tmp
      /dev/hda3 on /tmp type ext3 (rw,noexec,nosuid,nodev)
      angrist:/tmp# ./date
      bash: ./tmp: Permission non accordée
      angrist:/tmp# /lib/ld-linux.so.2 ./date 
      ./date: error while loading shared libraries: ./date: failed to map segment 
      from shared object: Operation not permitted

note: type: <p></p>
en: However, many script kiddies have exploits which try to create and execute files in <file>/tmp</file>. If they do not have a clue, they will fall into this pit. In other words, a user cannot be tricked into executing a trojanized binary in <file>/tmp</file> e.g. when he incidentally adds <file>/tmp</file> into his PATH.
fr: Toutefois, de nombreux pirates en herbe utilisent des failles qui essayent de créer et d'exécuter des fichiers dans <file>/tmp</file>. S'ils ne sont pas futés, ils tomberont sur un pépin. En d'autres termes, un utilisateur ne peut être abusé en exécutant un binaire compromis (genre cheval de Troie) dans <file>/tmp</file> lorsqu'il a accidentellement ajouté <file>/tmp</file> dans son PATH.

note: type: <p></p>
en: Also be forewarned, some script might depend on <file>/tmp</file> being executable. Most notably, Debconf has (had?) some issues regarding this, for more information see Bug <url id="http://bugs.debian.org/116448" name="116448">.
fr: Soyez aussi vigilant, certains scripts peuvent dépendre du fait que <file>/tmp</file> devienne exécutable. Notamment Debconf qui a (avait&nbsp;?) quelques problèmes concernant cela, pour plus d'informations consultez le <url id="http://bugs.debian.org/116448" name="bogue nº 116448">.

note: type: <p><example>
en: The following is a more thorough example. A note, though: <file>/var</file> could be set noexec, but some software <footnote><p>Some of this includes the package manager <package>dpkg</package> since the installation (post,pre) and removal (post,pre) scripts are at <file>/var/lib/dpkg/</file> and Smartlist</p></footnote> keeps its programs under in <file>/var</file>. The same applies to the nosuid option.
fr: Ce qui suit est un exemple un plus peu poussé. Prenez note que, bien que <file>/var</file> peut être mis à noexec, certains logiciels<footnote><p>Cela inclut le gestionnaire de paquet <package>dpkg</package> car les scripts d'installation (pre et post) et de suppression (pre et post) sont en <file>/var/lib/dpkg/</file> et aussi Smartlist.</p></footnote> conservent leurs programmes dans /var. Les mêmes conditions peuvent être appliquées à l'option nosuid.

note: type: <heading></heading>
en: Setting <file>/tmp</file> noexec
fr: Paramétrer /tmp en noexec

note: type: <p></p>
en: Be careful if setting <file>/tmp</file> noexec when you want to install new software, since some programs might use it for installation. <package>apt</package> is one such program (see <url id="http://bugs.debian.org/116448">) if not configured properly <tt>APT::ExtractTemplates::TempDir</tt> (see <manref name="apt-extracttemplates" section="1">). You can set this variable in <file>/etc/apt/apt.conf</file> to another directory with exec privileges other than <file>/tmp</file>.
fr: Soyez vigilant si vous mettez <file>/tmp</file> en noexec et que vous voulez installer de nouveaux logiciels étant donné que certains peuvent l'utiliser pendant l'installation. <package>apt</package> est un programme de ce genre (consultez <url id="http://bugs.debian.org/116448">) si <tt>APT::ExtractTemplates::TempDir</tt> n'est pas configuré correctement (consultez <manref section="1" name="apt-extracttemplates">). Vous pouvez paramétrer cette variable dans le fichier <file>/etc/apt/apt.conf</file> vers un autre répertoire que <file>/tmp</file> et qui aura les droits d'exécution.

note: type: <heading></heading>
en: Setting /usr read-only
fr: Paramétrer /usr en lecture seule

note: type: <p></p>
en: If you set <file>/usr</file> read-only you will not be able to install new packages on your Debian GNU/Linux system. You will have to first remount it read-write, install the packages and then remount it read-only. <package>apt</package> can be configured to run commands before and after installing packages, so you might want to configure it properly.
fr: Si vous mettez <file>/usr</file> en lecture seule, vous serez dans l'incapacité d'installer de nouveaux paquets sur le système Debian GNU/Linux. Vous devrez, avant tout, la remonter en lecture/écriture, puis installer les nouveaux paquets et enfin la remonter en lecture seule. <package>apt</package> peut être configuré pour lancer des commandes avant et après l'installation de paquets, ainsi vous pouvez avoir envie de le configurer correctement.

note: type: <p><example>
en: To do this modify <file>/etc/apt/apt.conf</file> and add:
fr: Pour réaliser cela, modifiez le fichier <file>/etc/apt/apt.conf</file> et ajoutez&nbsp;:

note: type: <p><example>
en: Note that the Post-Invoke may fail with a "/usr busy" error message. This happens mainly when you are using files during the update that got updated. You can find these programs by running
fr: Notez que le Post-Invoke peut échouer avec un message d'erreur « /usr busy ». Cela survient principalement lorsque vous utilisez des fichiers lors de la mise à jour et que ces fichiers sont justement mis à jour. Vous pouvez trouver ces programmes en exécutant

note: type: <p></p>
en: Stop or restart these programs and run the Post-Invoke manually. <em>Beware!</em> This means you'll likely need to restart your X session (if you're running one) every time you do a major upgrade of your system. You might want to reconsider whether a read-only <file>/usr</file> is suitable for your system. See also this <url id="http://lists.debian.org/debian-devel/2001/11/threads.html#00212" name="discussion on debian-devel about read-only /usr">.
fr: Arrêtez ou relancez ces programmes et exécutez la commande de Post-Invoke vous-même. <em>Attention&nbsp;!</em> Cela veut dire que vous devrez probablement redémarrer la session X (si vous en faites fonctionner une) à chaque fois que vous faites une mise à jour majeure du système. Vous pourriez aussi vous redemander si paramétrer <file>/usr</file> en lecture seule est adapté au système. Consultez également cette <url id="http://lists.debian.org/debian-devel/2001/11/threads.html#00212" name="discussion sur debian-devel à propos de /usr en lecture seule">.

note: type: <heading></heading>
en: Providing secure user access
fr: Fournir des accès sécurisés aux utilisateurs

note: type: <heading></heading>
en: User authentication: PAM
fr: Authentification utilisateur&nbsp;: PAM

note: type: <p></p>
en: PAM (Pluggable Authentication Modules) allows system administrators to choose how applications authenticate users. Note that PAM can do nothing unless an application is compiled with support for PAM. Most of the applications that are shipped with Debian have this support built in (Debian did not have PAM support before 2.2). The current default configuration for any PAM-enabled service is to emulate UNIX authentication (read <file>/usr/share/doc/libpam0g/Debian-PAM-MiniPolicy.gz</file> for more information on how PAM services <em>should</em> work in Debian).
fr: PAM (Pluggable Authentication Modules) permet aux administrateurs système de choisir comment les applications authentifient les utilisateurs. Remarquez que PAM ne peut rien faire tant qu'une application n'a pas été compilée avec la prise en charge pour PAM. La plupart des applications livrées dans Debian ont cette prise en charge intégrée (Debian n'avait pas de prise en charge pour PAM avant la version 2.2). La configuration actuelle par défaut pour tout service activé avec PAM est d'émuler l'authentification UNIX (consultez <file>/usr/share/doc/libpam0g/Debian-PAM-MiniPolicy.gz</file> pour plus d'informations sur la façon dont les services <em>devraient</em> fonctionner dans Debian).

note: type: <p><list>
en: Each application with PAM support provides a configuration file in <file>/etc/pam.d/</file> which can be used to modify its behavior:
fr: Chaque application avec la prise en charge de PAM fournit un fichier de configuration dans <file>/etc/pam.d</file> qui peut être utilisé pour modifier son comportement&nbsp:

note: type: <p></p>
en: what backend is used for authentication.
fr: quelle fonction de base est utilisée pour l'authentification&nbsp;;

note: type: <p></p>
en: what backend is used for sessions.
fr: quelle fonction de base est utilisée pour les sessions&nbsp;;

note: type: <p></p>
en: how do password checks behave.
fr: comment les vérifications de mots de passe se comportent.

note: type: <p></p>
en: The following description is far from complete, for more information you might want to read the <url id="http://www.linux-pam.org/Linux-PAM-html/" name="Linux-PAM Guides"> as a reference. This documentation is available in the system if you install the <package>libpam-doc</package> at <file>/usr/share/doc/libpam-doc/html/</file>.
fr: La description qui suit est loin d'être complète, pour plus d'informations vous pouvez lire les <url id="http://www.linux-pam.org/Linux-PAM-html/" name="Guides Linux-PAM"> de référence. Cette documentation est fournie par le paquet <package>libpam-doc</package> dans <file>/usr/share/doc/libpam-doc/html/</file>.

note: type: <p></p>
en: PAM offers you the possibility to go through several authentication steps at once, without the user's knowledge. You could authenticate against a Berkeley database and against the normal <file>passwd</file> file, and the user only logs in if he authenticates correct in both. You can restrict a lot with PAM, just as you can open your system doors very wide. So be careful. A typical configuration line has a control field as its second element. Generally it should be set to <tt>requisite</tt>, which returns a login failure if one module fails.
fr: PAM vous offre la possibilité de passer en revue plusieurs étapes d'authentification en une seule fois, à l'insu de l'utilisateur. Vous pouvez vous authentifier à une base de données Berkeley et à un fichier <file>passwd</file> normal, ainsi l'utilisateur pourra se connecter seulement si l'authentification est correcte des deux côtés. Vous pouvez restreindre beaucoup de choses avec PAM comme vous pouvez laisser libre accès au système. Donc soyez prudent. Une ligne de configuration typique a un champ de contrôle comme deuxième élément. Généralement, il devrait être paramétré sur <tt>requisite</tt> qui retourne un échec de connexion si un module échoue.

note: type: <heading></heading>
en: Password security in PAM
fr: Sécurité de mot de passe dans PAM

note: type: <p></p>
en: Review the <file>/etc/pam.d/common-password</file>, included by <file>/etc/pam.d/passwd</file> <footnote><p>In old Debian releases the configuration of the modules was defined directly in <file>/etc/pam.d/passwd</file>.</p></footnote> . This file is included by other files in <file>/etc/pam.d/</file> to define the behaviour of password use in subsystems that grant access to services in the machine, like the console login (<tt>login</tt>), graphical login managers (such as <tt>gdm</tt> or <tt>lightdm</tt>), and remote login (such as <tt>sshd</tt>). This definition is
fr: Vérifiez <file>/etc/pam.d/common-password</file>, englobé dans <file>/etc/pam.d/passwd</file> <footnote><p>Dans les anciennes versions de Debian, la configuration des modules était définie directement dans <file>/etc/pam.d/passwd</file>.</p></footnote>. Ce fichier est aussi englobé dans d'autres fichiers de <file>/etc/pam.d/</file> pour définir le comportement des mots de passe utilisés dans les sous-systèmes qui donnent accès aux services sur la machine, comme la connexion en console (<tt>login</tt>), les gestionnaires de connexion graphiques (comme <tt>gdm</tt> ou <tt>lightdm</tt>) et la connexion à distance (comme <tt>sshd</tt>).

note: type: <p></p>
en: You have to make sure that the pam_unix.so module uses the "sha512" option to use encrypted passwords. This is the default in Debian Squeeze.
fr: Assurez-vous que le module pam_unix.so utilise l'option « sha512 » pour les mots de passe chiffrés. C'est le cas par défaut dans Debian Squeeze.

note: type: <p><example>
en: The line with the definition of the pam_unix module will look something like:
fr: La ligne avec la définition du module pam_unix devrait ressembler à :

note: type: <p><list>
en: This definition:
fr: Cette définition :

note: type: <p></p>
en: Enforces password encryption when storing passwords, using the SHA-512 hash function (option <em>sha512</em>),
fr: renforce le chiffrement des mots de passe conservés, en utilisant la fonction de hachage SHA-512 (option <em>sha512</em>) ;

note: type: <p></p>
en: Enables password complexity checks (option <em>obscure</em>) as defined in the <manref name="pam_unix" section="8"> manpage,
fr: active les vérifications de complexité des mots de passe (option <em>obscure</em>) conformément à la définition de la page de manuel <manref section="8" name="pam_unix"> ;

note: type: <p></p>
en: Imposes a minimum password length (option <em>min</em>) of 8.
fr: impose une taille minimale de mot de passe (option <em>min</em>) à 8 caractères.

note: type: <p></p>
en: You have to ensure that encrypted passwords are used in PAM applications, since this helps protect against dictionary cracks. Using encryption also makes it possible to use passwords longer than 8 characters.
fr: Assurez-vous que les mots de passe chiffrés sont utilisés dans les applications PAM, car cela aide à protéger contre les attaques par dictionnaire. L'utilisation du chiffrement permet aussi d'utiliser des mots de passe plus longs que 8 caractères.

note: type: <p><example>
en: Since this module is also used to define how passwords are changed (it is included by <tt>chpasswd</tt>) you can strengthen the password security in the system by installing <package>libpam-cracklib</package> and introducing this definition in the <file>/etc/pam.d/common-password</file> configuration file:
fr: Puisque ce module est aussi utilisé pour définir la façon dont les mots de passe sont changés (il est inclus par <tt>chpasswd</tt>), vous pouvez renforcer la sécurité des mots de passe dans le système en installant <package>libpam-cracklib</package> et en introduisant cette définition dans le fichier de configuration <file>/etc/pam.d/common-password</file> :

note: type: <example></example>
en:   # Be sure to install libpam-cracklib first or you will not be able to log in
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok
fr:   # Vérifier que libpam-cracklib soit installé avant sinon vous ne
      # pourrez pas vous connecter.
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok

note: type: <p></p>
en: So, what does this incantation do? The first line loads the cracklib PAM module, which provides password strength-checking, prompts for a new password with a minimum size <footnote><p>The <em>minlen</em> option is not entirely straightforward and is not exactly the number of characters in the password. A tradeoff can be defined between complexity and length by adjusting the "credit" parameters of different character classes. For more information read the <manref name="pam_cracklib" section="8"> manpage.</p></footnote> of 12 characters, and difference of at least 3 characters from the old password, and allows 3 retries. Cracklib depends on a wordlist package (such as <package>wenglish</package>, <package>wspanish</package>, <package>wbritish</package>, ...), so make sure you install one that is appropriate for your language or cracklib might not be useful to you at all.
fr: La première ligne charge le module PAM cracklib, qui fournit la vérification de la sûreté des mots de passe, attend un nouveau mot de passe avec une taille minimale <footnote><p>L'option <em>minlen</em> n'est pas tout à fait claire, et n'indique pas exactement le nombre de caractères du mot de passe. Un compromis peut être défini entre la complexité et la taille en ajustant les paramètres « credit » de différentes classes de caractères. Pour plus de renseignements, consultez la page de manuel <manref section="8" name="pam_cracklib">.</p></footnote> de 12 caractères, une différence d'au moins 3 caractères par rapport à l'ancien et autorise 3 essais. cracklib dépend d'une liste de mots (comme <package>wenglish</package>, <package>wfrench</package>, <package>wbritish</package>, etc.), assurez-vous donc d'en avoir installé une adaptée à votre langue, sinon, cela peut être totalement inutile.

note: type: <p></p>
en: The second line (using the pam_unix.so module) is the default configuration in Debian, as described above, save for the <em>use_authok</em> option. The <em>use_authok</em> option is required if pam_unix.so is stacked after pam_cracklib.so, and is used to hand over the password from the previous module. Otherwise, the user would be prompted for the password twice.
fr: La seconde ligne (utilisant le module pam_unix.so) est la configuration par défaut dans Debian, conformément à la description précédente, hormis pour l'option <em>use_authok</em>. L'option <tt>use_authok</tt> est nécessaire si pam_unix.so est empilé après pam_cracklib.so, et est utilisé pour passer le mot de passe du module précédent. Sinon le mot de passe serait demandé deux fois à l'utilisateur.

note: type: <p></p>
en: For more information about setting up Cracklib, read the <manref name="pam_cracklib" section="8"> manpage and the article <url id="http://www.deer-run.com/~hal/sysadmin/pam_cracklib.html" name="Linux Password Security with pam_cracklib"> by Hal Pomeranz.
fr: Pour plus de renseignements sur le réglage de cracklib, consultez la page de manuel <manref section="8" name="pam_cracklib"> et l'article <url id="http://www.deer-run.com/~hal/sysadmin/pam_cracklib.html" name="Sécurité des mots de passe sous Linux avec pam_cracklib"> de Hal Pomeranz.

note: type: <p></p>
en: By enabling the cracklib PAM module you setup a policy that forces uses to use strong passwords.
fr: En activant le module PAM cracklib, vous définissez une règle qui oblige les utilisateurs à utiliser des mots de passe sûrs.

note: type: <p></p>
en: Alternatively, you can setup and configure PAM modules to use double factor authentication such as: <package>libpam-barada</package>, <package>libpam-google-authenticator</package>, <package>libpam-oath</package>, <package>libpam-otpw</package>, <package>libpam-poldi</package>, <package>libpam-usb</package> or <package>libpam-yubico</package>. The configuration of these modules would make it possible to access the system using external authentication mechanisms such as smartcards, external USB keys, or One-Time-Passwords generated by external applications running, for example, in the user's mobile phone.
fr: Autrement, les modules PAM peuvent être configurés pour utiliser une authentification à deux facteurs, comme : <package>libpam-barada</package>, <package>libpam-google-authenticator</package>, <package>libpam-oath</package>, <package>libpam-otpw</package>, <package>libpam-poldi</package>, <package>libpam-usb</package> ou <package>libpam-yubico</package>. La configuration de ces modules permettrait d'accéder au système en utilisant des mécanismes d'authentification externes comme des cartes à puce, clefs USB externes ou mots de passe uniques générés par des applications externes exécutées, par exemple, sur le téléphone portable de l'utilisateur.

note: type: <p></p>
en: Please note that these restrictions apply to all users but <em>not</em> to the password changes done by the root user. The root user will be able to set up any password (any length or complexity) for himself or others regardless of the restrictions defined here.
fr: Veuillez remarquer que ces restrictions s'appliquent à tous les utilisateurs mais <em>pas</em> aux changements de mot de passe du superutilisateur. Le superutilisateur pourra définir n'importe quel mot de passe (n'importe quelle taille ou complexité) pour lui-même et les autres, quelque soient les restrictions définies ici.

note: type: <heading></heading>
en: User access control in PAM
fr: Contrôle de l'accès utilisateur dans PAM

note: type: <p><example>
en: To make sure that the user root can only log into the system from local terminals, the following line should be enabled in <file>/etc/pam.d/login</file>:
fr: Afin d'être sûr que le superutilisateur peut se connecter uniquement à partir des terminaux locaux, la ligne suivante doit être activée dans <file>/etc/pam.d/login</file>&nbsp;:

note: type: <p></p>
en: Then you should modify the list of terminals on which direct root login is allowed in <file>/etc/securetty</file> (as described in <ref id="restrict-console-login">). Alternatively, you could enable the <tt>pam_access</tt> module and modify <file>/etc/security/access.conf</file> which allows for a more general and fine-tuned access control, but (unfortunately) lacks decent log messages (logging within PAM is not standardized and is particularly unrewarding problem to deal with). We'll return to <file>access.conf</file> a little later.
fr: Puis, vous devez modifier la liste des terminaux sur lesquels la connexion du superutilisateur est autorisée dans le fichier <file>/etc/securetty</file> (comme c'est décrit en <ref id="restrict-console-login">). Vous pouvez sinon activer le module <tt>pam_access</tt> et modifier <file>/etc/security/access.conf</file> qui permet un contrôle plus général et affiné, mais à qui il manque (malheureusement) des messages de journalisation décents (la journalisation dans PAM n'est pas standard et est un problème particulièrement peu gratifiant à traiter). Nous reviendrons au fichier <file>access.conf</file> un peu plus tard.

note: type: <heading></heading>
en: User limits in PAM
fr: Limites des utilisateurs dans PAM

note: type: <p><example>
en: he following line should be enabled in <file>/etc/pam.d/login</file> to set up user resource limits.
fr: La ligne suivante devrait être activée dans <file>/etc/pam.d/login</file> pour mettre en place des limites de ressource utilisateur.

note: type: <p></p>
en: This restricts the system resources that users are allowed (see below in <ref id="user-limits">). For example, you could restrict the number of concurrent logins (of a given group of users, or system-wide), number of processes, memory size etc.
fr: Cela restreint les ressources du système auxquelles les utilisateurs sont autorisées (consultez ci-après <ref id="user-limits">). Par exemple, vous pouvez restreindre le nombre de connexions (d'un groupe d'utilisateurs donné ou tout le système), le nombre de processus, la taille de la mémoire, etc.

note: type: <heading></heading>
en: Control of su in PAM
fr: Contrôle de su dans PAM

note: type: <p><example>
en: If you want to protect <prgn>su</prgn>, so that only some people can use it to become root on your system, you need to add a new group "wheel" to your system (that is the cleanest way, since no file has such a group permission yet). Add root and the other users that should be able to <prgn>su</prgn> to the root user to this group. Then add the following line to <file>/etc/pam.d/su</file>:
fr: Si vous voulez protéger <prgn>su</prgn>, pour que seules quelques personnes puissent l'utiliser pour devenir superutilisateur sur le système, vous avez besoin de créer un nouveau groupe «&nbsp;wheel&nbsp;» (c'est la meilleure façon, étant donné qu'aucun fichier n'a ces permissions d'attribuées). Ajoutez root et les autres utilisateurs, qui auront la possibilité d'utiliser <prgn>su</prgn> pour devenir superutilisateur, à ce groupe. Ensuite, ajoutez la ligne suivante dans <file>/etc/pam.d/su</file>&nbsp;:

note: type: <p></p>
en: This makes sure that only people from the group "wheel" can use <prgn>su</prgn> to become root. Other users will not be able to become root. In fact they will get a denied message if they try to become root.
fr: Cela permet d'être sûr que seules les personnes du groupe «&nbsp;wheel&nbsp;» pourront utiliser <prgn>su</prgn> pour devenir superutilisateur. Les autres utilisateurs ne seront pas capables de le devenir. En fait, ils recevront un message de refus s'ils essayent de devenir superutilisateur.

note: type: <p><example>
en: If you want only certain users to authenticate at a PAM service, this is quite easy to achieve by using files where the users who are allowed to login (or not) are stored. Imagine you only want to allow user 'ref' to log in via <prgn>ssh</prgn>. So you put him into <file>/etc/sshusers-allowed</file> and write the following into <file>/etc/pam.d/ssh</file>:
fr: Si vous désirez que seulement certains utilisateurs s'authentifient à un service PAM, il suffit d'utiliser les fichiers où sont stockés les utilisateurs autorisés (ou pas) à se connecter. Imaginons que vous ne vouliez autoriser que l'utilisateur «&nbsp;ref&nbsp;» à se connecter avec <prgn>ssh</prgn>. Vous le mettez dans <file>/etc/sshusers-allowed</file> et écrivez ce qui suit dans <file>/etc/pam.d/ssh</file>:

note: type: <heading></heading>
en: Temporary directories in PAM
fr: Répertoires temporaires dans PAM

note: type: <p><example>
en: Since there have been a number of so called insecure tempfile vulnerabilities, thttpd is one example (see <url id="http://www.debian.org/security/2005/dsa-883" name="DSA-883-1">), the <package>libpam-tmpdir</package> is a good package to install. All you have to do is add the following to <file>/etc/pam.d/common-session</file>:
fr: Puisqu'il y eu de nombreuses vulnérabilités dites de fichier temporaire non sécurisé, dont thttpd est un exemple (consultez <url id="http://www.debian.org/security/2005/dsa-883" name="DSA-883-1">), <package>libpam-tmpdir</package> est un bon paquet à installer. Tout ce que vous avez à faire est d'ajouter ceci à <file>/etc/pam.d/common-session</file> :

note: type: <p></p>
en: There has also been a discussion about adding this by default in Debian configuration, but it s. See <url id="http://lists.debian.org/debian-devel/2005/11/msg00297.html"> for more information.
fr: Une discussion a eu lieu à propos de l'ajout par défaut dans Debian. Consultez <url id="http://lists.debian.org/debian-devel/2005/11/msg00297.html"> pour obtenir plus de renseignements.

note: type: <heading></heading>
en: Configuration for undefined PAM applications
fr: Configuration pour les applications PAM non définies

note: type: <p><example>
en: Finally, but not least, create <file>/etc/pam.d/other</file> and enter the following lines:
fr: La dernière étape, mais pas la moindre, est de créer le fichier <file>/etc/pam.d/other</file> et d'ajouter les lignes suivantes&nbsp;:

note: type: <p></p>
en: These lines will provide a good default configuration for all applications that support PAM (access is denied by default).
fr: Ces lignes vont fournir une bonne configuration par défaut pour toutes les applications qui gèrent PAM (accès refusé par défaut).

note: type: <heading></heading>
en: Limiting resource usage: the <file>limits.conf</file> file
fr: Restreindre l'utilisation des ressources&nbsp;: le fichier limits.conf

note: type: <p></p>
en: You should really take a serious look into this file. Here you can define user resource limits. In old releases this configuration file was <file>/etc/limits.conf</file>, but in newer releases (with PAM) the <file>/etc/security/limits.conf</file> configuration file should be used instead.
fr: Vous devriez vraiment jeter un sérieux coup d'&oelig;il à ce fichier. Vous pouvez y définir les limites des ressources par utilisateur. Dans d'anciennes versions, ce fichier de configuration était <file>/etc/limits.conf</file>, mais dans les nouvelles versions (avec PAM), le fichier de configuration à utiliser devrait être <file>/etc/security/limits.conf</file>.

note: type: <p></p>
en: If you do not restrict resource usage, <em>any</em> user with a valid shell in your system (or even an intruder who compromised the system through a service or a daemon going awry) can use up as much CPU, memory, stack, etc. as the system can provide. This <em>resource exhaustion</em> problem can be fixed by the use of PAM.
fr: Si vous ne désirez pas restreindre l'utilisation des ressources, <em>n'importe quel</em> utilisateur ayant une invite de commandes valable sur le système (ou même un intrus qui aurait compromis le système par un service ou un démon devenu fou) pourra utiliser autant de CPU, de mémoire, de pile, etc. que le système pourra fournir. Ce problème d'<em>épuisement de ressources</em> peut être réglé par l'utilisation de PAM.

note: type: <p></p>
en: There is a way to add resource limits to some shells (for example, <prgn>bash</prgn> has <prgn>ulimit</prgn>, see <manref name="bash" section="1">), but since not all of them provide the same limits and since the user can change shells (see <manref name="chsh" section="1">) it is better to place the limits on the PAM modules as they will apply regardless of the shell used and will also apply to PAM modules that are not shell-oriented.
fr: Il existe un moyen d'ajouter des limites de ressources pour certains interpréteurs de commandes (par exemple, <prgn>bash</prgn> a <prgn>ulimit</prgn>, consultez <manref section="1" name="bash">), mais comme ils ne fournissent pas tous les mêmes limites et qu'un utilisateur peut changer d'interpréteur (consultez <manref section="1" name="chsh">), il est préférable de placer ces limites dans les modules PAM ainsi elles s'appliqueront quel que soit l'interpréteur de commandes utilisé et également aux modules PAM qui ne sont pas orientés interpréteur.

note: type: <p><example>
en: Resource limits are imposed by the kernel, but they need to be configured through the <file>limits.conf</file> and the PAM configuration of the different services need to load the appropriate PAM. You can check which services are enforcing limits by running:
fr: Les limites de ressources sont imposées par le noyau, mais elles doivent être configurées par le fichier <file>limits.conf</file> et la configuration PAM des différents services doit charger le module PAM approprié. Vous pouvez vérifier quels services imposent des limites en exécutant&nbsp;:

note: type: <p></p>
en: Commonly, <file>login</file>, <file>ssh</file> and the graphic session managers (<file>gdm</file>, <file>kdm</file> or <file>xdm</file>) should enforce user limits but you might want to do this in other PAM configuration files, such as <file>cron</file>, to prevent system daemons from taking over all system resources.
fr: Habituellement, <file>login</file>, <file>ssh</file> et les gestionnaires de session graphique (<file>gdm</file>, <file>kdm</file> ou <file>xdm</file>) devraient imposer des limites aux utilisateurs, mais vous pouvez vouloir faire cela dans d'autres fichiers de configuration de PAM, comme <file>cron</file>, pour empêcher les démons système d'accaparer toutes les ressources système..

note: type: <p></p>
en: The specific limits settings you might want to enforce depend on your system's resources, that's one of the main reasons why no limits are enforced in the default installation.
fr: Les paramètres de limites spécifiques que vous pouvez vouloir imposer dépendent des ressources du système, c'est l'une des principales raisons pour lesquelles aucune limite n'est imposée dans l'installation par défaut.

note: type: <p></p>
en: For example, the configuration example below enforces a 100 process limit for all users (to prevent <em>fork bombs</em>) as well as a limit of 10MB of memory per process and a limit of 10 simultaneous logins. Users in the <tt>adm</tt> group have higher limits and can produce core files if they want to (there is only a <em>soft</em> limit).
fr: Par exemple, l'exemple de configuration ci-dessous impose une limite de 100&nbsp;processus par utilisateur (pour empêcher les <em>bombes de fork</em>) ainsi qu'une limite de 10&nbsp;Mo de mémoire par processus et une limite de 10&nbsp;connexions simultanées. Les utilisateurs du groupe <tt>adm</tt> ont des limites supérieures et peuvent créer des fichiers core s'ils le désirent (c'est simplement une limite <em>douce</em> (soft)).

note: type: <p><example>
en: These would be the limits a default user (including system daemons) would have:
fr: Voici les limites qu'un utilisateur standard (y compris les démons système) aurait&nbsp;:

note: type: <p><example>
en: And these are the limits for an administrative user:
fr: Et voici les limites d'un utilisateur administratif&nbsp;:

note: type: <p><list>
en: For more information read:
fr: Pour plus d'informations, consultez&nbsp;:

note: type: <p></p>
en: <url id="http://www.samag.com/documents/s=1161/sam0009a/0009a.htm" name="PAM configuration article">.
fr: l'<url id="http://www.samag.com/documents/s=1161/sam0009a/0009a.htm" name="article de configuration de PAM"> ;

note: type: <p></p>
en: <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Seifried's Securing Linux Step by Step"> on the <em>Limiting users overview</em> section.
fr: l'article <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Seifried's Securing Linux Step by Step"> pour la section <em>Limiting users overview</em> ;

note: type: <p></p>
en: <url id="http://seifried.org/lasg/users/" name="LASG"> in the <em>Limiting and monitoring users</em> section.
fr: le <url id="http://seifried.org/lasg/users/" name="LASG"> pour la section <em>Limiting and monitoring users</em>.

note: type: <heading></heading>
en: User login actions: edit <file>/etc/login.defs</file>
fr: Actions de connexion de l'utilisateur&nbsp;: modification de /etc/login.defs

note: type: <p><example>
en: The next step is to edit the basic configuration and action upon user login. Note that this file is not part of the PAM configuration, it's a configuration file honored by <tt>login</tt> and <tt>su</tt> programs, so it doesn't make sense tuning it for cases where neither of the two programs are at least indirectly called (the <prgn>getty</prgn> program which sits on the consoles and offers the initial login prompt <em>does</em> invoke <prgn>login</prgn>).
fr: La prochaine étape est d'éditer les configuration et action de base lors de la connexion de l'utilisateur. Notez que ce fichier ne fait pas partie de la configuration PAM, c'est un fichier de configuration qui est pris en compte par les programmes <tt>login</tt> et <tt>su</tt>, il n'est pas logique de l'adapter aux cas pour lesquels ni l'un ni l'autre des programmes n'est appelé au moins indirectement (le programme <prgn>getty</prgn> qui gère les consoles et offre l'invite de connexion initiale appelle <em>bien</em> <prgn>login</prgn>).

note: type: </example><example>
en: If you enable this variable, failed logins will be logged. It is important to keep track of them to catch someone who tries a brute force attack.
fr: Si vous activez cette variable, les connexions échouées seront enregistrées dans un journal. Il est important d'en garder une trace pour repérer si quelqu'un tente une attaque par force brute.

note: type: <p><example>
en: If you set this variable to 'yes' it will record unknown usernames if the login failed. It is best if you use 'no' (the default) since, otherwise, user passwords might be inadvertenly logged here (if a user mistypes and they enter their password as the username). If you set it to 'yes', make sure the logs have the proper permissions (640 for example, with an appropriate group setting such as adm).
fr: En configurant cette variable à « yes », les noms d'utilisateur seront enregistrés en cas d'échec de connexion. Laisser la configuration à « no » (par défaut) est plus prudent, puisque sinon, les mots de passe d'utilisateurs pourraient être enregistrés par erreur (si un utilisateur fait une faute de frappe et entre le mot de passe à la place de l'identifiant). Si vous configurez à « yes », assurez-vous que les journaux ont les droits adéquats (640 par exemple, avec une configuration de groupe adéquate comme adm).

note: type: <p><example>
en: This one enables logging of <prgn>su</prgn> attempts to <file>syslog</file>. Quite important on serious machines but note that this can create privacy issues as well.
fr: Cela va activer l'écriture dans les journaux de <file>syslog</file> des tentatives de <prgn>su</prgn>. Plutôt important sur des machines sérieuses, mais notez que cela peut aussi bien être à la base de problèmes de respect de la vie privée.

note: type: <p><example>
en: The same as <var>SYSLOG_SU_ENAB</var> but applies to the <prgn>sg</prgn> program.
fr: La même chose que SYSLOG_SU_ENAB, mais s'applique au programme <prgn>sg</prgn>.

note: type: <p></p>
en: As stated above, encrypted passwords greatly reduce the problem of dictionary attacks, since you can use longer passwords. This definition has to be consistent with the value defined in <file>/etc/pam.d/common-password</file>.
fr: Comme mentionné ci-dessus, les mots de passe chiffrés réduisent considérablement le problème des attaques par dictionnaire étant donné que vous pouvez utiliser des mots de passe plus longs. Cette définition doit être cohérente avec la valeur définie dans <file>/etc/pam.d/common-password</file>.

note: type: <heading></heading>
en: User login actions: edit <file>/etc/pam.d/login</file>
fr: Actions de connexion de l'utilisateur&nbsp;: modification de <file>/etc/pam.d/login</file>

note: type: <p><example>
en: You can adjust the login configuration file to implement an stricter policy. For example, you can change the default configuration and increase the delay time between login prompts. The default configuration sets a 3 seconds delay:
fr: Le fichier de configuration de connexion peut être ajusté pour implémenter une politique plus stricte. Par exemple, la configuration par défaut peut être modifiée pour augmenter le délai entre les invites de connexion. La configuration par défaut définit à 3 secondes le délai :

note: type: <p></p>
en: Increasing the <em>delay</em> value to a higher value to make it harder to use the terminal to log in using brute force. If a wrong password is typed in, the possible attacker (or normal user!) has to wait longer seconds to get a new login prompt, which is quite time consuming when you test passwords. For example, if you set <em>delay=10000000</em>, users will have to wait 10 seconds if they type a wrong password.
fr: Augmenter la valeur de <em>delay</em> à une valeur suffisamment grande permet de rendre plus difficiles les tentatives de connexion en utilisant la force brute. Si un mauvais mot de passe est fourni, le pirate potentiel (ou le simple utilisateur&nbsp;!) doit attendre plus longtemps avant d'obtenir une nouvelle invite de connexion, ce qui prend pas mal de temps quand vous testez des mots de passe. Par exemple, avec <em>delay=10000000</em>, les utilisateurs devront attendre 10 secondes s'ils ont tapé un mauvais mot de passe.

note: type: <p><example>
en: In this file you can also set the system to present a message to users before a user logs in. The default is disabled, as shown below:
fr: Ce fichier permet aussi de définir le message présenté aux utilisateurs avant de se connecter. C'est désactivé par défaut, comme ci-dessous :

note: type: <p><list>
en: If required by your security policy, this file can be used to show a standard message indicating that access to the system is restricted and user acess is logged. This kind of disclaimer might be required in some environments and jurisdictions. To enable it, just include the relevant information in the <file>/etc/issue</file> <footnote><p>The default content of this file provides information about the operating system and version run by the system, which you might not want to provide to anonymous users.</p></footnote> file and uncomment the line enabling the pam_issue.so module in <file>/etc/pam.d/login</file>. In this file you can also enable additional features which might be relevant to apply local security policies such as:
fr: Si la politique de sécurité l'exige, ce fichier peut être utilisé pour montrer un message standard indiquant que l'accès au système est restreint et que l'accès des utilisateurs est journalisé. Ce type de déclaration peut être nécessaire dans certains environnements et juridictions. Pour l'activer, ajoutez simplement les renseignements nécessaires dans le fichier <file>/etc/issue</file> <footnote><p>Le contenu par défaut de ce fichier fournit des renseignements sur le système d'exploitation et la version utilisée par le système, que vous pourriez ne pas vouloir dévoiler aux utilisateurs anonymes.</p></footnote> et décommentez la ligne activant le module pam_issue.so dans <file>/etc/pam.d/login</file>. Dans ce fichier, vous pouvez aussi activer des fonctionnalités supplémentaires qui pourraient être pertinentes à appliquer aux politiques de sécurité locales comme :

note: type: <p></p>
en: setting rules for which users can access at which times, by enabling the <em>pam_time.so</em> module and configuring <file>/etc/security/time.conf</file> accordingly (disabled by default),
fr: la définition de règles accordant l'accès à certains utilisateurs suivant l'heure, en activant le module <em>pam_time.so</em> et en configurant <file>/etc/security/time.conf</file> en conséquence (désactivée par défaut) ;

note: type: <p></p>
en: setup login sessions to use user limits as defined in <file>/etc/security/limits.conf</file> (enabled by default),
fr: la définition de sessions de connexion pour utiliser les limitations aux utilisateurs conformément à la définition de <file>/etc/security/limits.conf</file> (activée par défaut) ;

note: type: <p></p>
en: present the user with the information of previous login information (enabled by default),
fr: la présentation à l'utilisateur des renseignements sur la précédente connexion (activée par défaut) ;

note: type: <p></p>
en: print a message (<file>/etc/motd</file> and <file>/run/motd.dynamic</file>) to users after login in (enabled by default),
fr: l'affichage d'un message (<file>/etc/motd</file> et <file>/run/motd.dynamic</file>) aux utilisateurs après la connexion (activée par défaut) ;

note: type: <heading></heading>
en: Restricting ftp: editing <file>/etc/ftpusers</file>
fr: Restreindre le FTP&nbsp;: éditer <file>/etc/ftpusers</file>

note: type: <p></p>
en: The <file>/etc/ftpusers</file> file contains a list of users who are not allowed to log into the host using ftp. Only use this file if you really want to allow ftp (which is not recommended in general, because it uses clear-text passwords). If your daemon supports PAM, you can also use that to allow and deny users for certain services.
fr: Ce fichier contient une liste d'utilisateurs qui ne sont pas autorisés à se connecter à l'hôte en utilisant FTP. Utilisez uniquement ce fichier si vous voulez réellement autoriser le FTP (qui n'est, en général, pas recommandé car il utilise des mots de passe en clair). Si le démon gère PAM, cela peut être utilisé pour permettre ou refuser certains services aux utilisateurs.

note: type: <p></p>
en: FIXME (BUG): Is it a bug that the default <file>ftpusers</file> in Debian does <em>not</em> include all the administrative users (in <package>base-passwd</package>).
fr: FIXME (bogue) : Est-ce un bogue que le fichier par défaut <file>ftpusers</file> dans Debian ne contienne <em>pas</em> tous les utilisateurs d'administration (dans <package>base-passwd</package>) ?

note: type: <p><example>
en: A convenient way to add all system accounts to the <file>/etc/ftpusers</file> is to run
fr: Un moyen pratique d'ajouter tous les comptes système à <file>/etc/ftpusers</file> est d'exécuter

note: type: <heading></heading>
en: Using su
fr: Utilisation de su

note: type: <p></p>
en: If you really need users to become the super user on your system, e.g. for installing packages or adding users, you can use the command <prgn>su</prgn> to change your identity. You should try to avoid any login as user root and instead use <prgn>su</prgn>. Actually, the best solution is to remove <prgn>su</prgn> and switch to the <prgn>sudo</prgn> mechanism which has a broader logic and more features than <prgn>su</prgn>. However, <prgn>su</prgn> is more common as it is used on many other Unices.
fr: Si vous avez réellement besoin que des utilisateurs deviennent superutilisateur sur le système, par exemple pour installer des paquets ou ajouter des utilisateurs, vous pouvez utiliser la commande <prgn>su</prgn> pour changer d'identité. Vous devriez essayer d'éviter toute connexion en tant que superutilisateur et d'utiliser à la place <prgn>su</prgn>. En réalité, la meilleure solution est de supprimer <prgn>su</prgn> et de changer pour le mécanisme <prgn>sudo</prgn> qui a une logique plus large et plus de fonctionnalités que <prgn>su</prgn>. Cependant, <prgn>su</prgn> est plus commun étant donné qu'il est utilisé sur beaucoup d'autres UNIX.

note: type: <heading></heading>
en: Using sudo
fr: Utilisation de sudo

note: type: <p></p>
en: <prgn>sudo</prgn> allows the user to execute defined commands under another user's identity, even as root. If the user is added to <file>/etc/sudoers</file> and authenticates himself correctly, he is able to run commands which have been defined in <file>/etc/sudoers</file>. Violations, such as incorrect passwords or trying to run a program you don't have permission for, are logged and mailed to root.
fr: <prgn>sudo</prgn> autorise l'utilisateur à exécuter des commandes définies sous l'identité d'un autre utilisateur, même en tant que superutilisateur. Si l'utilisateur est ajouté à <file>/etc/sudoers</file> et est authentifié correctement, il est capable de lancer des commandes qui ont été définies dans <file>/etc/sudoers</file>. Les infractions, telles que les mots de passe incorrects ou les tentatives de lancement d'un programme pour lequel vous n'avez pas les permissions, sont logguées et envoyées au superutilisateur.

note: type: <heading></heading>
en: Disallow remote administrative access
fr: Désactiver des accès d'administration à distance

note: type: <p></p>
en: You should also modify <file>/etc/security/access.conf</file> to disallow remote logins to administrative accounts. This way users need to invoke <prgn>su</prgn> (or <prgn>sudo</prgn>) to use any administrative powers and the appropriate audit trace will always be generated.
fr: Vous devriez également modifier <file>/etc/security/access.conf</file> pour désactiver la connexion d'administration à distance. Ainsi, les utilisateurs doivent exécuter <prgn>su</prgn> (ou <prgn>sudo</prgn>) pour utiliser des pouvoirs administratifs et ainsi la trace d'audit appropriée sera toujours générée.

note: type: <p><example>
en: You need to add the following line to <file>/etc/security/access.conf</file>, the default Debian configuration file has a sample line commented out:
fr: Vous devez ajouter la ligne suivante à <file>/etc/security/access.conf</file>, le fichier de configuration par défaut Debian contient une ligne d'exemple commentée&nbsp;:

note: type: <p></p>
en: Remember to enable the <tt>pam_access</tt> module for every service (or default configuration) in <file>/etc/pam.d/</file> if you want your changes to <file>/etc/security/access.conf</file> honored.
fr: Rappelez-vous d'activer le module <tt>pam_access</tt> pour chaque service (ou configuration par défaut) dans <file>/etc/pam.d/</file> si vous voulez que vos modifications dans <file>/etc/security/access.conf</file> soient prises en compte.

note: type: <heading></heading>
en: Restricting users's access
fr: Restriction des utilisateurs

note: type: <p></p>
en: Sometimes you might think you need to have users created in your local system in order to provide a given service (pop3 mail service or ftp). Before doing so, first remember that the PAM implementation in Debian GNU/Linux allows you to validate users with a wide variety of external directory services (radius, ldap, etc.) provided by the libpam packages.
fr: Parfois, vous pensez avoir besoin d'utilisateurs créés dans le système local de façon à fournir un service donné (service courrier POP3 ou FTP). Avant tout, rappelez-vous que l'implémentation PAM dans Debian GNU/Linux vous autorise à valider les utilisateurs avec une grande variété de répertoires de services externes (radius, LDAP, etc.) fournis par les paquets libpam.

note: type: <p></p>
en: If users need to be created and the system can be accessed remotely take into account that users will be able to log in to the system. You can fix this by giving users a null (<file>/dev/null</file>) shell (it would need to be listed in <file>/etc/shells</file>). If you want to allow users to access the system but limit their movements, you can use the <file>/bin/rbash</file>, equivalent to adding the <tt>-r</tt> option in <prgn>bash</prgn> (<em>RESTRICTED SHELL</em> see <manref name="bash" section="1">). Please note that even with restricted shell, a user that access an interactive program (that might allow execution of a subshell) could be able to bypass the limits of the shell.
fr: Si des utilisateurs doivent être créés et que le système est accessible à distance, prenez en compte que des utilisateurs pourront se connecter au système. Cela peut être corrigé en donnant aux utilisateurs un interpréteur de commandes vide (<file>/dev/null</file>) (qui doit être dans <file>/etc/shells</file>). Si vous voulez autoriser les utilisateurs à accéder au système mais limiter leurs mouvements, vous pouvez utiliser le fichier <file>/bin/rbash</file>, ce qui est équivalent à l'ajout de l'option <tt>-r</tt> dans bash (consultez <em>INTERPRÉTEUR RESTREINT</em> dans <manref section="1" name="bash">). Veuillez noter que même avec un interpréteur de commandes restreint, un utilisateur ayant accès à un programme interactif (qui peut permettre l'exécution d'un sous-interpréteur) peut être capable de passer outre les limites de l'interpréteur de commandes.

note: type: <p></p>
en: Debian currently provides in the unstable release (and might be included in the next stable releases) the <file>pam_chroot</file> module (in the <package>libpam-chroot</package>). An alternative to it is to <prgn>chroot</prgn> the service that provides remote logging (<prgn>ssh</prgn>, <prgn>telnet</prgn>). <footnote><p><package>libpam-chroot</package> has not been yet thoroughly tested, it does work for <prgn>login</prgn> but it might not be easy to set up the environment for other programs</p></footnote>
fr: Debian fournit actuellement dans la version unstable le module <file>pam_chroot</file> (dans le paquet <package> libpam-chroot</package>) (et il pourrait être inclus dans les prochaines versions stables). Une alternative à celui-ci est de <prgn>chroot</prgn>er le service qui fournit la connexion à distance (<prgn>ssh</prgn>, <prgn>telnet</prgn>). <footnote><p><package>libpam-chroot</package> n'a pas encore été testé en profondeur, il fonctionne pour <prgn>login</prgn>, mais il est possible qu'il ne soit pas facile de mettre en place l'environnement pour d'autres programmes.</p></footnote>

note: type: <p></p>
en: If you wish to restrict <em>when</em> users can access the system you will have to customize <file>/etc/security/access.conf</file> for your needs.
fr: Si vous voulez restreindre <em>quand</em> les utilisateurs peuvent accéder au système, vous devrez personnaliser <file>/etc/security/access.conf</file> en fonction de vos besoins.

note: type: <p></p>
en: Information on how to <prgn>chroot</prgn> users accessing the system through the <prgn>ssh</prgn> service is described in <ref id="chroot-ssh-env">.
fr: Des informations sur la façon de <prgn>chroot</prgn>er des utilisateurs accédant au système par le service <prgn>ssh</prgn> sont décrites dans <ref id="chroot-ssh-env">.

note: type: <heading></heading>
en: User auditing
fr: Audit d'utilisateur

note: type: <p></p>
en: If you are really paranoid you might want to add a system-wide configuration to audit what the users are doing in your system. This sections presents some tips using diverse utilities you can use.
fr: Si vous êtes vraiment paranoïaque, vous pourriez configurer l'environnement pour superviser ce que les utilisateurs font sur le système. Cette section présente quelques conseils avec différents utilitaires que vous pouvez utiliser.

note: type: <heading></heading>
en: Input and output audit with script
fr: Audit d'entrée et sortie avec script

note: type: <p><example>
en: You can use the <prgn>script</prgn> command to audit both what the users run and what are the results of those commands. You cannot setup <prgn>script</prgn> as a shell (even if you add it to <file>/etc/shells</file>). But you can have the shell initialization file run the following:
fr: Vous pouvez utiliser la commande <prgn>script</prgn> pour surveiller à la fois ce que les utilisateurs exécutent et les résultats de leurs commandes. Vous ne pouvez pas configurer <prgn>script</prgn> comme un interpréteur de commandes (même si vous l'ajoutez à <file>/etc/shells</file>). Mais vous pouvez faire en sorte que le fichier d'initialisation de l'interpréteur de commandes exécute les commandes suivantes&nbsp;:

note: type: <p></p>
en: Of course, if you do this system wide it means that the shell would not continue reading personal initialization files (since the shell gets overwritten by <prgn>script</prgn>). An alternative is to do this in the user's initialization files (but then the user could remove this, see the comments about this below)
fr: Bien sûr, si vous faites cela pour tout le système, cela veut dire que l'interpréteur ne continuerait pas à lire les fichiers d'initialisation personnels (car l'interpréteur sera écrasé par <prgn>script</prgn>). Une solution est de le faire dans les fichiers d'initialisation de l'utilisateur (mais l'utilisateur pourrait alors l'enlever, consultez les commentaires sur cela ci-dessous).

note: type: <p></p>
en: You also need to setup the files in the audit directory (in the example <file>/var/log/sessions/</file>) so that users can write to it but cannot remove the file. This could be done, for example, by creating the user session files in advance and setting them with the <em>append-only</em> flag using <prgn>chattr</prgn>.
fr: Vous devez également configurer les fichiers dans le répertoire d'audit (dans l'exemple <file>/var/log/sessions/</file>) pour que les utilisateurs puissent y écrire, mais pas supprimer le fichier. Cela pourrait être fait, par exemple, en créant les fichiers de session d'utilisateur en avance et en positionnant l'option <em>append-only</em> («&nbsp;append-only&nbsp;») en utilisant <prgn>chattr</prgn>.

note: type: <p><example>
en: A useful alternative for sysadmins, which includes date information would be:
fr: Une alternative utile pour les administrateurs système, qui inclut des informations de date, serait&nbsp;:

note: type: <heading></heading>
en: Using the shell history file
fr: Utiliser le fichier d'historique de l'interpréteur de commandes

note: type: <p></p>
en: If you want to review what does the user type in the shell (but not what the result of that is) you can setup a system-wide <file>/etc/profile</file> that configures the environment so that all commands are saved into a history file. The system-wide configuration needs to be setup in such a way that users cannot remove audit capabilities from their shell. This is somewhat shell specific so make sure that all users are using a shell that supports this.
fr: Si vous voulez passer en revue ce que les utilisateurs entrent dans l'interpréteur de commandes (mais sans voir le résultat), vous pouvez configurer un <file>/etc/profile</file> pour tout le système qui configure l'environnement pour que toutes les commandes soient enregistrées dans le fichier d'historique. La configuration pour tout le système doit être réalisée de telle façon que les utilisateurs ne puissent pas enlever les capacités d'audit de leur interpréteur de commandes. C'est plutôt spécifique à l'interpréteur de commandes, donc assurez-vous que tous les utilisateurs utilisent un interpréteur de commandes qui le permet.

note: type: <p><example>
en: For example, for bash, the <file>/etc/profile</file> could be set as follows <footnote><p>Setting HISTSIZE to a very large number can cause issues under some shells since the history is kept in memory for every user session. You might be safer if you set this to a high-enough value and backup user's history files (if you need all of the user's history for some reason)</p></footnote> :
fr: Par exemple, pour bash, le fichier <file>/etc/profile</file> pourrait être paramétré ainsi <footnote><p>Configurer HISTSIZE à une très grande valeur peut poser des problèmes avec certains interpréteur de commandes car l'historique est gardé en mémoire pour la session de chaque utilisateur. Il peut être plus prudent de positionner cela à une valeur assez élevée et de sauvegarder les fichiers d'historique des utilisateurs (si vous avez besoin de tout l'historique de l'utilisateur pour une raison ou une autre).</p></footnote>&nbsp;:

note: type: <example></example>
en:   HISTFILE=~/.bash_history
      HISTSIZE=10000
      HISTFILESIZE=999999
      # Don't let the users enter commands that are ignored
      # in the history file
      HISTIGNORE=""
      HISTCONTROL=""
      readonly HISTFILE
      readonly HISTSIZE
      readonly HISTFILESIZE
      readonly HISTIGNORE
      readonly HISTCONTROL
      export HISTFILE HISTSIZE HISTFILESIZE HISTIGNORE HISTCONTROL
fr:   HISTFILE=~/.bash_history
      HISTSIZE=10000
      HISTFILESIZE=999999
      # Empêcher les utilisateurs d'entrer des commandes qui seraient
      # ignorées dans le fichier d'historique
      HISTIGNORE=""
      HISTCONTROL=""
      readonly HISTFILE
      readonly HISTSIZE
      readonly HISTFILESIZE
      readonly HISTIGNORE
      readonly HISTCONTROL
      export HISTFILE HISTSIZE HISTFILESIZE HISTIGNORE HISTCONTROL

note: type: <p></p>
en: For this to work, the user can only append information to <file>.bash_history</file> file. You need <em>also</em> to set the <em>append-only</em> option using <prgn>chattr</prgn> program for <file>.bash_history</file> for all users. <footnote><p>Without the append-only flag users would be able to empty the contents of the history file running <tt> > .bash_history</tt></p></footnote>.
fr: Afin que cela fonctionne, l'utilisateur doit être seulement capable d'ajouter des informations au fichier <file>.bash_history</file>. Vous devez <em>aussi</em> positionner l'attribut <em>append-only</em> en utilisant le programme <prgn>chattr</prgn> sur <file>.bash_history</file> pour tous les utilisateurs. <footnote><p>Sans l'attribut append-only les utilisateurs seraient capables de vider le contenu du fichier des historiques avec <tt> > .bash_history</tt>.</p></footnote>

note: type: <p></p>
en: Note that you could introduce the configuration above in the user's <file>.profile</file>. But then you would need to setup permissions properly in such a way that prevents the user from modifying this file. This includes: having the user's home directories <em>not</em> belong to the user (since he would be able to remove the file otherwise) but at the same time enable them to read the <file>.profile</file> configuration file and write on the <file>.bash_history</file>. It would be good to set the <em>immutable</em> flag (also using <prgn>chattr</prgn>) for <file>.profile</file> too if you do it this way.
fr: Notez que vous pouvez introduire la configuration ci-dessus dans le fichier utilisateur <file>.profile</file>. Mais alors vous devriez configurer les permissions correctement de façon à empêcher à l'utilisateur de modifier ce fichier. Cela inclut&nbsp;: les répertoires personnels de l'utilisateur ne doivent <em>pas</em> appartenir à l'utilisateur (sinon, il pourrait supprimer le fichier), mais en même temps lui permettre de lire le fichier de configuration <file>.profile</file> et d'écrire dans <file>.bash_history</file>. Il serait bien de configurer l'attribut <em>immuable</em> (également en utilisant <prgn>chattr</prgn>) pour le <file>.profile</file> aussi si vous procédez ainsi.

note: type: <heading></heading>
en: Complete user audit with accounting utilities
fr: Audit utilisateur complet avec utilitaires de comptabilité

note: type: <p></p>
en: The previous example is a simple way to configure user auditing but might be not useful for complex systems or for those in which users do not run shells at all (or exclusively). If this is your case, you need to look at <package>acct</package>, the accounting utilities. These utilities will log all the commands run by users or processes in the system, at the expense of disk space.
fr: L'exemple précédent est une manière simple de configurer l'audit utilisateur, mais qui peut ne pas être utile pour des systèmes complexes ou pour ceux dans lesquels les utilisateurs ne peuvent pas exécuter d'interpréteur de commande du tout (ou exclusivement). Si c'est le cas, vous devrez examiner <package>acct</package>, les utilitaires de comptabilité. Ces utilitaires archiveront toutes les commandes exécutées par les utilisateurs ou processus du système au détriment de l'espace disque.

note: type: <p></p>
en: When activating accounting, all the information on processes and users is kept under <file>/var/account/</file>, more specifically in the <file>pacct</file>. The accounting package includes some tools (<prgn>sa</prgn>, <prgn>ac</prgn> and <prgn>lastcomm</prgn>) to analyse this data.
fr: Lors de l'activation de la comptabilité, toutes les informations sur les processus et utilisateurs sont conservées dans <file>/var/account/</file>, plus spécifiquement dans le fichier <file>pacct</file>. Le paquet de comptabilité inclut certains outils (<prgn>sa</prgn> et <prgn>ac</prgn>) afin d'analyser ces données.

note: type: <heading></heading>
en: Other user auditing methods
fr: Autres méthodes d'audit utilisateur

note: type: <p></p>
en: If you are completely paranoid and want to audit every user's command, you could take <prgn>bash</prgn> source code, edit it and have it send all that the user typed into another file. Or have <package>ttysnoop</package> constantly monitor any new ttys <footnote><p>Ttys are spawned for local logins and remote logins through ssh and telnet</p></footnote> and dump the output into a file. Other useful program is <package>snoopy</package> (see also <url id="http://sourceforge.net/projects/snoopylogger/" name="the project page">) which is a user-transparent program that hooks in as a library providing a wrapper around <var>execve()</var> calls, any command executed is logged to <prgn>syslogd</prgn> using the <tt>authpriv</tt> facility (usually stored at <file>/var/log/auth.log</file>).
fr: Si vous êtes complètement paranoïaque et que vous voulez auditer toutes les commandes des utilisateurs, vous pouvez prendre les codes source de <prgn>bash</prgn>, les modifier et récupérer dans un fichier toutes les commandes qu'un utilisateur tape. Vous pourriez aussi avoir <package>ttysnoop</package> constamment en attente de nouveaux ttys <footnote><p>Les ttys sont créées pour les connexions locales et à distance par SSH et TELNET.</p></footnote> et reverser toutes les sorties dans un fichier. Un autre programme utile est <package>snoopy</package> (consultez également <url id="http://sourceforge.net/projects/snoopylogger/" name="la page du projet">) qui est un programme transparent pour l'utilisateur qui se positionne comme une bibliothèque fournissant une encapsulation des appels <var>execve()</var>, toute commande exécutée est journalisée par <prgn>syslogd</prgn> en utilisant la fonctionnalité <tt>authpriv</tt> (généralement stockée dans <file>/var/log/auth.log</file>).

note: type: <heading></heading>
en: Reviewing user profiles
fr: Inspection des profils utilisateurs

note: type: <p></p>
en: If you want to <em>see</em> what users are actually doing when they logon to the system you can use the <file>wtmp</file> database that includes all login information. This file can be processed with several utilities, amongst them <prgn>sac</prgn> which can output a profile on each user showing in which timeframe they usually log on to the system.
fr: Si vous désirez <em>voir</em> ce que font vraiment les utilisateurs, comme l'heure à laquelle ils se connectent, vous pouvez utiliser la base de données <file>wtmp</file> qui contient toutes les informations concernant les connexions. Ce fichier peut être employé avec plusieurs utilitaires, parmi eux <prgn>sac</prgn> peut sortir un profil de chaque utilisateur montrant dans quel créneau horaire il se connecte habituellement au système.

note: type: <p></p>
en: In case you have accounting activated, you can also use the tools provided by it in order to determine when the users access the system and what do they execute.
fr: Dans le cas où vous avez la comptabilité activée, vous pouvez également utiliser les outils qu'elle fournit pour déterminer quand les utilisateurs accèdent au système et ce qu'ils exécutent.

note: type: <heading></heading>
en: Setting users umasks
fr: Positionner des umasks aux utilisateurs

note: type: <p></p>
en: Depending on your user policy you might want to change how information is shared between users, that is, what the default permissions of new files created by users are.
fr: En fonction de la politique d'utilisateur, vous pourriez modifier la façon dont les renseignements sont partagés entre utilisateurs, c'est-à-dire quels sont les droits de nouveaux fichiers par défaut créés par les utilisateurs.

note: type: <p></p>
en: Debian's default <tt>umask</tt> setting is <em>022</em> this means that files (and directories) can be read and accessed by the user's group and by any other users in the system. This definition is set in the standard configuration file <file>/etc/profile</file> which is used by all shells.
fr: Le paramètre <tt>umask</tt> par défaut de Debian est <em>022</em>, cela signifie que les fichiers (et les répertoires) peuvent être lus et accédés par le groupe de l'utilisateur et par tout autre utilisateur du système. Cette définition est configurée dans le fichier de configuration normalisé <file>/etc/profile</file> utilisé par tous les interpréteurs de commandes.

note: type: <p></p>
en: If Debian's default value is too permissive for your system you will have to change the umask setting for all the shells. More restrictive umask settings include 027 (no access is allowed to new files for the <em>other</em> group, i.e. to other users in the system) or 077 (no access is allowed to new files to the members the user's group). Debian (by default<footnote><p>As defined in <file>/etc/adduser.conf</file> (USERGROUPS=yes). You can change this behaviour if you set this value to no, although it is not recommended</p></footnote>) creates one group per user so that only the user is included in its group. Consequently 027 and 077 are equivalent as the user's group contains only the user himself.
fr: Si la valeur par défaut de Debian est trop permissive pour le système, vous devrez changer ce paramètre umask pour tous les interpréteurs de commandes. Parmi les configurations plus restrictives d'umask, 027 (pas d'accès permis aux nouveaux fichiers pour le groupe <em>other</em>, c'est-à-dire aux autres utilisateur du système) ou 077 (pas d'accès permis aux nouveaux fichiers pour les membres du groupe de l'utilisateur) peuvent être utilisés. Debian (par défaut<footnote><p>Tel que défini dans <file>/etc/adduser.conf</file> (USERGROUPS=yes). Vous pouvez modifier ce comportement en configurant cette valeur à « no », bien que ce ne soit pas recommandé.</p></footnote>) crée un groupe par utilisateur de telle sorte que seul l'utilisateur soit inclus dans son groupe. Par conséquent, 027 et 077 sont équivalents car le groupe de l'utilisateur ne contient que l'utilisateur lui-même.

note: type: <p></p>
en: This change is set by defining a proper <tt>umask</tt> setting for all users. You can change this by introducing an <prgn>umask</prgn> call in the shell configuration files: <file>/etc/profile</file> (source by all Bourne-compatible shells), <file>/etc/csh.cshrc</file>, <file>/etc/csh.login</file>, <file>/etc/zshrc</file> and probably some others (depending on the shells you have installed on your system). You can also change the <var>UMASK</var> setting in <file>/etc/login.defs</file>, Of all of these the last one that gets loaded by the shell takes precedence. The order is: the default system configuration for the user's shell (i.e. <file>/etc/profile</file> and other system-wide configuration files) and then the user's shell (his <file>~/.profile</file>, <file>~/.bash_profile</file>, etc...). Some shells, however, can be executed with a <em>nologin</em> value which might skip sourcing some of those files. See your shell's manpage for additional information.
fr: Cette modification est configurée en définissant un réglage correct de <tt>umask</tt> pour tous les utilisateurs. Vous pouvez modifier cela en introduisant un appel <prgn>umask</prgn> dans les fichiers de configuration de l'interpréteur de commandes : <file>/etc/profile</file> (source par tous les interpréteurs de commandes compatibles Bourne), <file>/etc/csh.cshrc</file>, <file>/etc/csh.login</file>, <file>/etc/zshrc</file> et probablement d'autres (en fonction des interpréteurs de commandes installés sur le système). Vous pouvez aussi modifier le réglage de <var>UMASK</var> dans <file>/etc/login.defs</file>. De toutes celles-là, la dernière chargée par l'interpréteur de commandes est prioritaire. L'ordre est : la configuration système par défaut pour l'interpréteur de l'utilisateur (c'est-à-dire <file>/etc/profile</file> et les autres fichiers de configuration globaux du système) et ensuite ceux de l'utilisateur (ses <file>~/.profile</file>, <file>~/.bash_profile</file>, etc.). Certains interpréteurs, cependant, peuvent être exécutés avec une valeur <em>nologin</em> avec laquelle certains de ces fichiers pourraient être sautés. Consultez la page de manuel de l'interpréteur pour obtenir de plus amples renseignements.

note: type: <p></p>
en: For connections that make use of <prgn>login</prgn> the UMASK definition in <file>/etc/login.defs</file> is used before any of the others. However, that value does not apply to user executed programs that do not use <prgn>login</prgn> such as those run through <prgn>su</prgn>, <prgn>cron</prgn> or <prgn>ssh</prgn>.
fr: Pour les connexions qui utilisent <prgn>login</prgn>, la définition de <var>UMASK</var> de <file>/etc/login.defs</file> est utilisée avant toutes les autres. Cependant, cette valeur ne s'applique pas aux programmes exécutés par l'utilisateur qui n'utilisent pas <prgn>login</prgn> comme ceux exécutés à travers <prgn>su</prgn>, <prgn>cron</prgn> ou <prgn>ssh</prgn>.

note: type: <p></p>
en: Don't forget to review and maybe modify the dotfiles under <file>/etc/skel/</file> since these will be new user's defaults when created with the <prgn>adduser</prgn> command. Debian default dotfiles do not include any <prgn>umask</prgn> call but if there is any in the dotfiles newly created users might a different value.
fr: N'oubliez pas de vérifier et éventuellement modifier les fichiers de configuration utilisateur sous <file>/etc/skel/</file> car ce sont ceux qui seront utilisés par défaut quand ils sont créés avec la commande <prgn>adduser</prgn>. Les fichiers de configuration utilisateur Debian par défaut ne contiennent pas d'appel <prgn>umask</prgn> mais s'il y en a dans n'importe quel fichier de configuration utilisateur, les utilisateurs nouvellement créés pourraient avoir une valeur différente.

note: type: <p></p>
en: Note, however that users can modify their own <tt>umask</tt> setting if they want to, making it more permissive or more restricted, by changing their own dotfiles.
fr: Notez, cependant, que les utilisateurs peuvent modifier leur propre paramètre <tt>umask</tt> s'ils le désirent, le rendant plus permissif ou plus restrictif, en modifiant leurs propres fichiers de configuration utilisateur.

note: type: <p><example>
en: The <package>libpam-umask</package> package adjusts the users' default <tt>umask</tt> using PAM. Add the following, after installing the package, to <file>/etc/pam.d/common-session</file>:
fr: Le paquet <package>libpam-umask</package> règle l'<tt>umask</tt> par défaut utilisant PAM. Après l'installation du paquet, ajoutez ceci à <file>/etc/pam.d/common-session</file> :

note: type: <p></p>
en: Finally, you should consider changing root's default 022 umask (as defined in <file>/root/.bashrc</file>) to a more strict umask. That will prevent the system administrator from inadvertenly dropping sensitive files when working as root to world-readable directories (such as <file>/tmp</file>) and having them available for your average user.
fr: Enfin, vous pourriez envisager de modifier l'umask par défaut du superutilisateur à 022 (tel que défini dans <file>/root/.bashrc</file>) à une valeur plus restrictive. Cela évitera à l'administrateur système de laisser fuir par inadvertance des fichiers sensibles lorsqu'il travaille en tant que superutilisateur dans des répertoires lisibles par tous (comme <file>/tmp</file>) et en les rendant lisibles aux autres utilisateurs.

note: type: <heading></heading>
en: Limiting what users can see/access
fr: Limiter ce que les utilisateurs peuvent voir et accéder

note: type: <p></p>
en: FIXME: Content needed. Describe the consequences of changing packages permissions when upgrading (an admin this paranoid should <prgn>chroot</prgn> his users BTW) if not using <prgn>dpkg-statoverride</prgn>.
fr: FIXME&nbsp;: Besoin de contenu. Indiquer les conséquences de changement des permissions des paquets lors d'une mise à jour (un administrateur aussi paranoïaque que cela devrait <prgn>chroot</prgn>er ses utilisateurs au passage) s'il n'utilise pas <prgn>dpkg-statoverride</prgn>.

note: type: <p><list>
en: If you need to grant users access to the system with a shell think about it very carefully. A user can, by default unless in a severely restricted environment (like a <tt>chroot</tt> jail), retrieve quite a lot of information from your system including:
fr: Si vous avez besoin d'accorder aux utilisateurs un accès au système avec un interpréteur de commandes, réfléchissez-y très soigneusement. Un utilisateur peut, par défaut à moins d'être dans un environnement extrêmement restreint (comme une prison <tt>chroot</tt>), récupérer un assez grand nombre d'informations concernant le système, y compris&nbsp;:

note: type: <p></p>
en: some configuration files in <file>/etc</file>. However, Debian's default permissions for some sensitive files (which might, for example, contain passwords), will prevent access to critical information. To see which files are only accessible by the root user for example <tt>find /etc -type f -a -perm 600 -a -uid 0</tt> as superuser.
fr: certains fichiers de configuration dans <file>/etc</file>. Cependant, les permissions par défaut de Debian pour certains fichiers sensibles (qui peuvent, par exemple, contenir des mots de passe) empêcheront l'accès à des informations critiques. Pour voir quels fichiers ne sont accessibles que par le superutilisateur, exécutez par exemple <tt>find /etc -type f -a -perm 600 -a -uid 0</tt> en tant que superutilisateur ;

note: type: <p></p>
en: your installed packages, either by looking at the package database, at the <file>/usr/share/doc</file> directory or by guessing by looking at the binaries and libraries installed in your system.
fr: vos paquets installés, soit en consultant la base de données des paquets, soit dans le répertoire <file>/usr/share/doc</file>, soit en devinant en regardant les binaires et bibliothèques installés sur le système ;

note: type: <p></p>
en: some log files at <file>/var/log</file>. Note also that some log files are only accessible to root and the <tt>adm</tt> group (try <tt>find /var/log -type f -a -perm 640</tt>) and some are even only available to the root user (try <tt>find /var/log -type f -a -perm 600 -a -uid 0</tt>).
fr: certains fichiers journaux dans <file>/var/log</file>. Notez également que quelques fichiers journaux ne sont accessibles qu'au superutilisateur et au groupe <tt>adm</tt> (essayez <tt>find /var/log -type f -a -perm 640</tt>) et certains ne sont même disponibles que pour le superutilisateur (essayez <tt>find /var/log -type f -a -perm 600 -a -uid 0</tt>).

note: type: <p><example>
en: What can a user see in your system? Probably quite a lot of things, try this (take a deep breath):
fr: Que peut voir un utilisateur dans le système&nbsp;? Probablement un assez grand nombre de choses, essayez ceci (prenez une profonde respiration)&nbsp;:

note: type: <p></p>
en: The output is the list of files that a user can <em>see</em> and the directories to which he has access.
fr: La liste des fichiers qu'un utilisateur peut <em>voir</em> et des répertoires auxquels il a accès est affichée.

note: type: <heading></heading>
en: Limiting access to other user's information
fr: Limiter l'accès aux informations d'autres utilisateurs

note: type: <p></p>
en: If you still grant shell access to users you might want to limit what information they can view from other users. Users with shell access have a tendency to create quite a number of files under their $HOMEs: mailboxes, personal documents, configuration of X/GNOME/KDE applications...
fr: Si vous accordez toujours un accès d'interpréteur de commandes aux utilisateurs, vous pouvez vouloir limiter les informations qu'ils peuvent voir des autres utilisateurs. Les utilisateurs ayant un accès d'interpréteur de commandes ont tendance à créer un grand nombre de fichiers dans leur répertoire $HOME&nbsp;: boîtes aux lettres, documents personnels, configuration des applications X/GNOME/KDE, etc.

note: type: <p></p>
en: In Debian each user is created with one associated group, and no two users belong to the same group. This is the default behavior: when an user account is created, a group of the same name is created too, and the user is assigned to it. This avoids the concept of a common <em>users</em> group which might make it more difficult for users to hide information from other users.
fr: Sous Debian, chaque utilisateur est créé avec un groupe associé et aucun utilisateur n'appartient au groupe d'un autre utilisateur. Il s'agit du comportement par défaut&nbsp;: quand un compte d'utilisateur est créé, un groupe du même nom est créé et l'utilisateur lui est attribué. Cela évite le concept d'un groupe <em>users</em> qui peut rendre plus difficile pour les utilisateurs de cacher des informations aux autres utilisateurs.

note: type: <p></p>
en: However, users' <var>$HOME</var> directories are created with 0755 permissions (group-readable and world-readable). The group permissions is not an issue since only the user belongs to the group, however the world permissions might (or might not) be an issue depending on your local policy.
fr: Cependant, les répertoires <var>$HOME</var> des utilisateurs sont créés avec les permissions 0755 (lisible par le groupe et par tout le monde). Les permissions de groupe ne sont pas un problème car seul l'utilisateur appartient au groupe, cependant les permissions pour les autres peuvent être (ou non) un problème selon vos règles locales.

note: type: <p></p>
en: You can change this behavior so that user creation provides different <var>$HOME</var> permissions. To change the behavior for <em>new</em> users when they get created, change <em>DIR_MODE</em> in the configuration file <file>/etc/adduser.conf</file> to 0750 (no world-readable access).
fr: Vous pouvez changer ce comportement pour que la création d'utilisateur fournisse des permissions sur <var>$HOME</var> différentes. Pour changer ce comportement pour les <em>nouveaux</em> utilisateurs quand ils seront créés, changez <em>DIR_MODE</em> dans le fichier de configuration <file>/etc/adduser.conf</file> à 0750 (pas d'accès en lecture pour tout le monde).

note: type: <p></p>
en: Users can still share information, but not directly in their <var>$HOME</var> directories unless they change its permissions.
fr: Les utilisateurs peuvent toujours partager des informations, mais pas directement dans leur répertoire <var>$HOME</var> à moins qu'ils ne changent les permissions de celui-ci.

note: type: <p></p>
en: Note that disabling world-readable home directories will prevent users from creating their personal web pages in the <file>~/public_html</file> directory, since the web server will not be able to read one component in the path - namely their <var>$HOME</var> directory. If you want to permit users to publish HTML pages in their <file>~/public_html</file>, then change <em>DIR_MODE</em> to 0751. This will allow the web server to access the final <file>public_html</file> directory (which itself should have a mode of 0755) and provide the content published by users. Of course, we are only talking about a default configuration here; users can generally tune modes of their own files completely to their liking, or you could keep content intended for the web in a separate location which is not a subdirectory of user's <var>$HOME</var> directory.
fr: Notez que désactiver les répertoires utilisateur lisibles par tout le monde empêchera les utilisateurs de créer leurs pages personnelles dans le répertoire <file>~/public_html</file> car le serveur web ne pourra pas lire un composant du chemin &mdash; leur répertoire <var>$HOME</var>. Si vous voulez permettre aux utilisateurs de publier des pages HTML dans leur <file>~/public_html</file>, changez <em>DIR_MODE</em> en 0751. Cela permettra au serveur web d'accéder à ce répertoire (qui devrait lui-même avoir le mode 0755) et de fournir le contenu publié par les utilisateurs. Bien sûr, nous ne parlons ici que d'une configuration par défaut&nbsp;; les utilisateurs peuvent généralement ajuster les permissions de leurs fichiers comme ils le désirent, ou vous pouvez conserver le contenu destiné au web dans un emplacement séparé qui n'est pas un sous-répertoire du répertoire <var>$HOME</var> de chaque utilisateur.

note: type: <heading></heading>
en: Generating user passwords
fr: Générer des mots de passe utilisateur

note: type: <p></p>
en: There are many cases when an administrator needs to create many user accounts and provide passwords for all of them. Of course, the administrator could easily just set the password to be the same as the user's account name, but that would not be very sensitive security-wise. A better approach is to use a password generating program. Debian provides <package>makepasswd</package>, <package>apg</package> and <package>pwgen</package> packages which provide programs (the name is the same as the package) that can be used for this purpose. <prgn>Makepasswd</prgn> will generate true random passwords with an emphasis on security over pronounceability while <prgn>pwgen</prgn> will try to make meaningless but pronounceable passwords (of course this might depend on your mother language). <prgn>Apg</prgn> has algorithms to provide for both (there is a client/server version for this program but it is not included in the Debian package).
fr: Il y a plusieurs cas dans lesquels un utilisateur a besoin de créer un grand nombre de comptes utilisateur et de fournir des mots de passe pour tous ceux-ci. Bien sûr, l'administrateur peut facilement positionner le mot de passe pour être le même que le nom du compte utilisateur, mais cela n'est pas très conseillé sur le plan de la sécurité. Une meilleure approche est d'utiliser un programme de génération de mots de passe. Debian fournit les paquets <package>makepasswd</package>, <package>apg</package> et <package>pwgen</package> qui contiennent des programmes (dont le nom est le même que celui du paquet) qui peuvent être utilisés dans ce but. <prgn>makepasswd</prgn> génère des mots de passe vraiment aléatoires avec un accent sur la sécurité plus que la prononçabilité tandis que <prgn>pwgen</prgn> essaie de créer des mots de passe sans signification, mais prononçables (bien sûr, cela dépend de votre langue maternelle). <prgn>apg</prgn> dispose d'algorithmes pour les deux (il y a une version client/serveur pour ce programme, mais elle n'est pas incluse dans le paquet Debian).

note: type: <p></p>
en: <prgn>Passwd</prgn> does not allow non-interactive assignation of passwords (since it uses direct tty access). If you want to change passwords when creating a large number of users you can create them using <prgn>adduser</prgn> with the <tt>--disabled-login</tt> option and then use <prgn>usermod</prgn> or <prgn>chpasswd</prgn> <footnote><p><prgn>Chpasswd</prgn> cannot handle MD5 password generation so it needs to be given the password in encrypted form before using it, with the <tt>-e</tt> option.</p></footnote> (both from the <package>passwd</package> package so you already have them installed). If you want to use a file with all the information to make users as a batch process you might be better off using <prgn>newusers</prgn>.
fr: <prgn>passwd</prgn> ne permet pas une attribution non interactive des mots de passe (car il utilise un accès direct au terminal tty). Si vous désirez changer des mots de passe lors de la création d'un grand nombre d'utilisateurs, vous pouvez les créer en utilisant <prgn>adduser</prgn> avec l'option <tt>--disabled-login</tt>, puis utiliser <prgn>usermod</prgn> ou <prgn>chpasswd</prgn> <footnote><p><prgn>chpasswd</prgn> ne sait pas gérer la génération de mots de passe MD5, il faut donc lui donner le mot de passe sous sa forme chiffrée avant de l'utiliser avec l'option <tt>-e</tt>.</p></footnote> (tous les deux dans le paquet <package>passwd</package>, ils sont donc déjà installés). Si vous voulez utiliser un fichier avec toutes les informations pour créer les utilisateurs comme un processus batch, il sera probablement préférable d'utiliser <prgn>newusers</prgn>.

note: type: <heading></heading>
en: Checking user passwords
fr: Vérifier les mots de passe utilisateur

note: type: <p></p>
en: User passwords can sometimes become the <em>weakest link</em> in the security of a given system. This is due to some users choosing weak passwords for their accounts (and the more of them that have access to it the greater the chances of this happening). Even if you established checks with the cracklib PAM module and password limits as described in <ref id="auth-pam"> users will still be able to use weak passwords. Since user access might include remote shell access (over <prgn>ssh</prgn>, hopefully) it's important to make password guessing as hard as possible for the remote attackers, especially if they were somehow able to collect important information such as usernames or even the <file>passwd</file> and <file>shadow</file> files themselves.
fr: Les mots de passe des utilisateurs peuvent parfois devenir le <em>maillon faible</em> de la sécurité d'un système donné. Cela provient du fait que quelques utilisateurs choisissent des mots de passe faibles pour leur compte (et plus il y a d'utilisateurs, plus grandes sont les chances que cela se produise). Même si vous mettez en place des vérifications avec le module PAM cracklib et les limitations sur les mots de passe comme décrites dans <ref id="auth-pam">, les utilisateurs pourront toujours utiliser des mots de passe faibles. Comme l'accès utilisateur peut inclure un accès à une invite de commandes à distance (en espérant que ce soit avec <prgn>ssh</prgn>), il est important de rendre les mots de passe aussi difficile à deviner que possible pour les attaquants à distance, particulièrement s'ils ont pu récupérer des informations importantes comme les noms d'utilisateur ou même les fichiers <file>passwd</file> et <file>shadow</file> eux-mêmes.

note: type: <p></p>
en: A system administrator must, given a big number of users, check if the passwords they have are consistent with the local security policy. How to check? Try to crack them as an attacker would if he had access to the hashed passwords (the <file>/etc/shadow</file> file).
fr: Un administrateur système doit, suivant le nombre d'utilisateurs, vérifier si les mots de passe sont cohérents avec la règle locale de sécurité. Comment vérifier&nbsp;? Essayez de les casser comme le ferait un attaquant s'il avait accès aux mots de passe hachés (le fichier <file>/etc/shadow</file>).

note: type: <p></p>
en: An administrator can use <package>john</package> or <package>crack</package> (both are brute force password crackers) together with an appropriate wordlist to check users' passwords and take appropriate action when a weak password is detected. You can search for Debian GNU packages that contain word lists using <prgn>apt-cache search wordlist</prgn>, or visit the classic Internet wordlist sites such as <url id="ftp://ftp.ox.ac.uk/pub/wordlists"> or <url id="ftp://ftp.cerias.purdue.edu/pub/dict">.
fr: Un administrateur peut utiliser <package>john</package> ou <package>crack</package> (tous deux utilisent la force brute) ensemble avec une liste de mots appropriés pour vérifier les mots de passe utilisateurs et prendre des mesures appropriées si un mot de passe faible est détecté. Vous pouvez rechercher des paquets Debian contenant des listes de mots en utilisant <prgn>apt-cache search wordlist</prgn> ou vous pouvez également visiter des sites de listes de mots sur Internet classique comme <url id="ftp://ftp.ox.ac.uk/pub/wordlists"> ou <url id="ftp://ftp.cerias.purdue.edu/pub/dict">.

note: type: <heading></heading>
en: Logging off idle users
fr: Déconnecter les utilisateurs inactifs (idle)

note: type: <p><list>
en: Idle users are usually a security problem, a user might be idle maybe because he's out to lunch or because a remote connection hung and was not re-established. For whatever the reason, idle users might lead to a compromise:
fr: L'inactivité des utilisateurs pose habituellement un problème de sécurité, un utilisateur peut être inactif parce qu'il est parti déjeuner ou parce qu'une connexion à distance s'est bloquée et n'a pas été rétablie. Quelqu'en soit la raison, les utilisateurs inactifs peuvent amener à une compromission&nbsp;:

note: type: <p></p>
en: because the user's console might be unlocked and can be accessed by an intruder.
fr: car la console de l'utilisateur peut être débloquée et peut être accédée par un intrus ;

note: type: <p></p>
en: because an attacker might be able to re-attach himself to a closed network connection and send commands to the remote shell (this is fairly easy if the remote shell is not encrypted as in the case of <prgn>telnet</prgn>).
fr: car un attaquant peut être capable de se rattacher lui-même à une connexion réseau fermée et envoyer des commandes à l'invite de commandes distante (c'est assez facile si l'invite de commandes distante n'est pas chiffrée comme avec <prgn>telnet</prgn>).

note: type: <p></p>
en: Some remote systems have even been compromised through an idle (and detached) <prgn>screen</prgn>.
fr: Certains systèmes à distance ont même été compromis à travers un <prgn>screen</prgn> inactif (et détaché).

note: type: <p><list>
en: Automatic disconnection of idle users is usually a part of the local security policy that must be enforced. There are several ways to do this:
fr: La déconnexion automatique des utilisateurs inactifs est habituellement une partie qui doit être imposée par les règles de sécurité locales. Plusieurs moyens existent pour cela&nbsp;:

note: type: <p></p>
en: If <prgn>bash</prgn> is the user shell, a system administrator can set a default <tt>TMOUT</tt> value (see <manref name="bash" section="1">) which will make the shell automatically log off remote idle users. Note that it must be set with the <tt>-o</tt> option or users will be able to change (or unset) it.
fr: si <prgn>bash</prgn> est l'interpréteur de commandes de l'utilisateur, un administrateur système peut positionner une valeur <tt>TMOUT</tt> par défaut (consultez <manref section="1" name="bash">) qui entraînera la déconnexion automatique des utilisateurs distants inactifs. Notez que cela doit être configuré avec l'option <tt>-o</tt> ou les utilisateurs pourront la changer (ou la désactiver) ;

note: type: <p></p>
en: Install <package>timeoutd</package> and configure <file>/etc/timeouts</file> according to your local security policy. The daemon will watch for idle users and time out their shells accordingly.
fr: installez <package>timeoutd</package> et configurez <file>/etc/timeouts</file> selon vos règles de sécurité locales. Le démon regardera les utilisateurs inactifs et mettra un terme à leur invite de commandes en fonction ;

note: type: <p></p>
en: Install <package>autolog</package> and configure it to remove idle users.
fr: installez <package>autolog</package> et configurez-le pour enlever les utilisateurs inactifs.

note: type: <p></p>
en: The <prgn>timeoutd</prgn> or <prgn>autolog</prgn> daemons are the preferred method since, after all, users can change their default shell or can, after running their default shell, switch to another (uncontrolled) shell.
fr: Les démons <prgn>timeoutd</prgn> et <prgn>autolog</prgn> sont les méthodes préférées car, après tout, les utilisateurs peuvent changer d'interpréteur de commandes par défaut ou peuvent, après avoir exécuté leur interpréteur de commandes par défaut, basculer sur un autre interpréteur de commandes (non contrôlé).

note: type: <heading></heading>
en: Using tcpwrappers
fr: Utilisation de tcpwrappers

note: type: <p></p>
en: TCP wrappers were developed when there were no real packet filters available and access control was needed. Nevertheless, they're still very interesting and useful. The TCP wrappers allow you to allow or deny a service for a host or a domain and define a default allow or deny rule (all performed on the application level). If you want more information take a look at <manref name="hosts_access" section="5">.
fr: L'encapsulation TCP a été développée quand il n'y avait pas de réels filtres de paquets disponibles et que les contrôles d'accès étaient nécessaires. Toutefois, ils sont toujours très intéressants et utiles. L'encapsulation TCP vous permet d'autoriser ou de refuser un service à un hôte ou à un domaine et de définir une règle par défaut pour les autorisations et les refus (toutes réalisées au niveau applicatif). Pour plus de détails, jetez un &oelig;il à <manref section="5" name="hosts_access">.

note: type: <p><list>
en: Many services installed in Debian are either:
fr: De nombreux services installés dans Debian sont soit&nbsp;:

note: type: <p></p>
en: launched through the tcpwrapper service (<file>tcpd</file>)
fr: lancés par le service tcpwrapper (<file>tcpd</file>) ;

note: type: <p></p>
en: compiled with libwrapper support built-in.
fr: compilés avec la prise en charge de libwrapper.

note: type: <p></p>
en: On the one hand, for services configured in <file>/etc/inetd.conf</file> (this includes <prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>netbios</prgn>, <prgn>swat</prgn> and <prgn>finger</prgn>) you will see that the configuration file executes <prgn>/usr/sbin/tcpd</prgn> first. On the other hand, even if a service is not launched by the <prgn>inetd</prgn> superdaemon, support for the tcp wrappers rules can be compiled into it. Services compiled with tcp wrappers in Debian include <prgn>ssh</prgn>, <prgn>portmap</prgn>, <prgn>in.talk</prgn>, <prgn>rpc.statd</prgn>, <prgn>rpc.mountd</prgn>, <prgn>gdm</prgn>, <prgn>oaf</prgn> (the GNOME activator daemon), <prgn>nessus</prgn> and many others.
fr: D'un côté, pour des services configurés dans <file>/etc/inetd.conf</file>, cela comprend <prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>netbios</prgn>, <prgn>swat</prgn> et <prgn>finger</prgn>), vous observerez que le fichier de configuration exécute avant tout <prgn>/usr/sbin/tcpd</prgn>. D'un autre côté, même si un service n'est pas lancé par le super démon <prgn>inetd</prgn>, il peut être compilé avec la prise en charge pour les règles d'encapsulation TCP. Les services suivant sont compilés avec prise en charge d'encapsulation TCP dans Debian : <prgn>ssh</prgn>, <prgn>portmap</prgn>, <prgn>in.talk</prgn>, <prgn>rpc.statd</prgn>, <prgn>rpc.mountd</prgn>, <prgn>gdm</prgn>, <prgn>oaf</prgn> (le démon d'activation GNOME), <prgn>nessus</prgn> et beaucoup d'autres.

note: type: <p><example>
en: To see which packages use tcpwrappers <footnote><p>On older Debian releases you might need to do this: <example> $ apt-cache showpkg libwrap0 | egrep '^[[:space:]]' | sort -u | \ sed 's/,libwrap0$//;s/^[[:space:]]\+//'</example></p></footnote> try:
fr: Pour voir quels paquets utilisent tcpwrappers <footnote><p>Pour les anciennes versions de Debian, vous pourriez devoir utiliser : <example> $ apt-cache showpkg libwrap0 | egrep '^[[:space:]]' | sort -u | \ sed 's/,libwrap0$//;s/^[[:space:]]\+//'</example></p></footnote>, essayez :

note: type: <p></p>
en: Take this into account when running <prgn>tcpdchk</prgn> (a very useful TCP wrappers config file rule and syntax checker). When you add stand-alone services (that are directly linked with the wrapper library) into the <file>hosts.deny</file> and <file>hosts.allow</file> files, <prgn>tcpdchk</prgn> will warn you that it is not able to find the mentioned services since it only looks for them in <file>/etc/inetd.conf</file> (the manpage is not totally accurate here).
fr: Tenez compte de cela quand vous utilisez <prgn>tcpdchk</prgn> (un vérificateur très utile de règles et syntaxe de fichier de configuration d'encapsulation TCP). Quand vous pouvez ajouter des services indépendants (qui sont liés à la bibliothèque d'encapsulation) dans les fichiers <file>host.deny</file> et <file>hosts.allow</file>, <prgn>tcpdchk</prgn> vous informera qu'il ne peut pas trouver les services mentionnés étant donné qu'il les cherche dans <file>/etc/inetd.conf</file> (la page de manuel n'est pas totalement précise ici).

note: type: <p><example>
en: Now, here comes a small trick, and probably the smallest intrusion detection system available. In general, you should have a decent firewall policy as a first line, and tcp wrappers as the second line of defense. One little trick is to set up a <var>SPAWN</var> <footnote><p>be sure to use uppercase here since <em>spawn</em> will not work</p></footnote> command in <file>/etc/hosts.deny</file> that sends mail to root whenever a denied service triggers wrappers:
fr: À présent, voici une petite astuce et probablement le plus petit système de détection d'intrusions disponible. Généralement, vous devriez disposer d'une politique correcte concernant le pare-feu en première ligne, puis disposer de l'encapsulation TCP en seconde ligne de défense. Un petit truc est de mettre en place une commande SPAWN <footnote><p>Assurez-vous d'utiliser des majuscules sinon <em>spawn</em> ne fonctionnera pas.</p></footnote> dans /etc/hosts.deny qui enverra un courrier au superutilisateur quand un service refusé déclenche l'encapsulation :

note: type: <example></example>
en:   ALL: ALL: SPAWN ( \
        echo -e "\n\
        TCP Wrappers\: Connection refused\n\
        By\: $(uname -n)\n\
        Process\: %d (pid %p)\n\
        User\: %u\n\
        Host\: %c\n\
        Date\: $(date)\n\
      " | /usr/bin/mail -s "Connection to %d blocked" root) &
fr:   ALL: ALL: SPAWN ( \
        echo -e "\n\
        Encapsulation TCP \: Connexion refusée\n\
        Par \: $(uname -n)\n\
        Processus \: %d (pid %p)\n\
        Utilisateur \: %u\n\
        Hôte \: %c\n\
        Date \: $(date)\n\
      " | /usr/bin/mail -s "Connexion à %d bloquée" root) &

note: type: <p></p>
en: <em>Beware</em>: The above printed example is open to a DoS attack by making many connections in a short period of time. Many emails mean a lot of file I/O by sending only a few packets.
fr: <em>Attention</em>&nbsp;: L'exemple ci-dessus peut-être facilement sujet à une attaque par déni de service en soumettant énormément de connexions dans une période très courte. De nombreux courriers signifient de nombreuses E/S en envoyant uniquement quelques paquets.

note: type: <heading></heading>
en: The importance of logs and alerts
fr: L'importance des journaux et des alertes

note: type: <p></p>
en: It is easy to see that the treatment of logs and alerts is an important issue in a secure system. Suppose a system is perfectly configured and 99% secure. If the 1% attack occurs, and there are no security measures in place to, first, detect this and, second, raise alarms, the system is not secure at all.
fr: Il est facile de voir que le traitement de journaux et alertes est un problème sérieux sur un système sécurisé. Supposons qu'un système est parfaitement configuré et sécurisé à 99 %. Si l'attaque représentant le 1 % vient à arriver et qu'il n'y a pas de mesures de sécurité mises en place pour, dans un premier temps, détecter cela et, dans un deuxième temps, lancer l'alerte, le système n'est pas sécurisé du tout.

note: type: <p><example>
en: Debian GNU/Linux provides some tools to perform log analysis, most notably <package>swatch</package>, <footnote><p>there's a very good article on it written by <url id="http://www.spitzner.net/swatch.html" name="Lance Spitzner"></p></footnote> <package>logcheck</package> or <package>log-analysis</package> (all will need some customisation to remove unnecessary things from the report). It might also be useful, if the system is nearby, to have the system logs printed on a virtual console. This is useful since you can (from a distance) see if the system is behaving properly. Debian's <file>/etc/syslog.conf</file> comes with a commented default configuration; to enable it uncomment the lines and restart <prgn>syslogd</prgn> (<tt>/etc/init.d/syslogd restart</tt>):
fr: Debian GNU/Linux fournit quelques outils pour effectuer des analyses de journaux, notamment <package>swatch</package><footnote><p>Il y a un très bon article sur celui-ci écrit par <url id="http://www.spitzner.net/swatch.html" name="Lance Spitzner">.</p></footnote>, <package>logcheck</package> ou <package>log-analysis</package> (tous ont besoin d'être personnalisés pour enlever les choses non nécessaires des comptes-rendus). Il peut être également utile, si le système est proche, d'avoir les journaux du système affichés sur une console virtuelle. C'est utile car vous pouvez (de loin) voir si le système se comporte correctement. Le fichier <file>/etc/syslog.conf</file> de Debian est fourni avec une configuration commentée par défaut&nbsp;; pour l'activer, décommenter les lignes et redémarrez <prgn>syslogd</prgn> (<tt>/etc/init.d/syslogd restart</tt>)&nbsp;:

note: type: <p></p>
en: To colorize the logs, you could take a look at <package>colorize</package>, <package>ccze</package> or <package>glark</package>. There is a lot to log analysis that cannot be fully covered here, so a good information resource would be books should as <url id="http://books.google.com/books?id=UyktqN6GnWEC" name="Security log management: identifying patterns in the chaos">. In any case, even automated tools are no match for the best analysis tool: your brain.
fr: Pour colorer les journaux, vous pouvez jeter un &oelig;il à <package>colorize</package>, <package>ccze</package> ou <package>glark</package>. Une grande partie de l'analyse des journaux ne peut pas être couverte ici, une bonne ressource d'informations est disponible dans les livres comme <url id="http://books.google.com/books?id=UyktqN6GnWEC" name="Gestion des journaux de sécurité : identification de motifs au milieu du chaos">. Dans tous les cas, même des outils automatiques ne peuvent rivaliser avec le meilleur outil d'analyse&nbsp;: votre cerveau.

note: type: <heading></heading>
en: Using and customizing <prgn>logcheck</prgn>
fr: Utiliser et personnaliser logcheck

note: type: <p></p>
en: The <prgn>logcheck</prgn> package in Debian is divided into the three packages <package>logcheck</package> (the main program), <package>logcheck-database</package> (a database of regular expressions for the program) and <package>logtail</package> (prints loglines that have not yet been read). The Debian default (in <file>/etc/cron.d/logcheck</file>) is that <prgn>logcheck</prgn> is run every hour and after reboots.
fr: Le paquet <prgn>logcheck</prgn> dans Debian est divisé en trois paquets <package>logcheck</package> (le programme principal), <package>logcheck-database</package> (une base de données d'expressions rationnelles pour le programme) et <package>logtail</package> (affiche les lignes du journal qui n'ont pas encore été lues). Le comportement par défaut sous Debian (dans <file>/etc/cron.d/logcheck</file>) est que <prgn>logcheck</prgn> est exécuté toutes les heures et une fois après le démarrage.

note: type: <p></p>
en: This tool can be quite useful if properly customized to alert the administrator of unusual system events. <prgn>Logcheck</prgn> can be fully customized so that it sends mails based on events found in the logs and worthy of attention. The default installation includes profiles for ignored events and policy violations for three different setups (workstation, server and paranoid). The Debian package includes a configuration file <file>/etc/logcheck/logcheck.conf</file>, sourced by the program, that defines which user the checks are sent to. It also provides a way for packages that provide services to implement new policies in the directories: <file>/etc/logcheck/cracking.d/_packagename_</file>, <file>/etc/logcheck/violations.d/_packagename_</file>, <file>/etc/logcheck/violations.ignore.d/_packagename_</file>, <file>/etc/logcheck/ignore.d.paranoid/_packagename_</file>, <file>/etc/logcheck/ignore.d.server/_packagename_</file>, and <file>/etc/logcheck/ignore.d.workstation/_packagename_</file>. However, not many packages currently do so. If you have a policy that can be useful for other users, please send it as a bug report for the appropriate package (as a <em>wishlist</em> bug). For more information read <file>/usr/share/doc/logcheck/README.Debian</file>.
fr: Cet outil peut être assez utile s'il est personnalisé correctement pour alerter l'administrateur d'événements système inhabituels. <prgn>logcheck</prgn> peut être complètement personnalisé pour envoyer des courriers selon les événements récupérés des journaux et qui sont dignes d'attention. L'installation par défaut inclut des profils pour des événements ignorés et des violations de règles pour trois configurations différentes (station de travail, serveur et paranoïaque). Le paquet Debian contient un fichier de configuration <file>/etc/logcheck/logcheck.conf</file>, qui définit à quel utilisateur sont envoyés les vérifications. Il permet également aux paquets qui fournissent des services d'implémenter de nouvelles règles dans les répertoires&nbsp;: <file>/etc/logcheck/cracking.d/_paquet_</file>, <file>/etc/logcheck/violations.d/_paquet_</file>, <file>/etc/logcheck/violations.ignore.d/_paquet_</file>, <file>/etc/logcheck/ignore.d.paranoid/_paquet_</file>, <file>/etc/logcheck/ignore.d.server/_paquet_</file> et <file>/etc/logcheck/ignore.d.workstation/_paquet_</file>. Cependant, peu de paquets le font actuellement. Si vous avez une règle qui peut être utile à d'autres utilisateurs, veuillez l'envoyer comme un rapport de bogue sur le paquet approprié (comme un bogue de gravité <em>wishlist</em>). Pour obtenir plus de renseignements, veuillez consulter <file>/usr/share/doc/logcheck/README.Debian</file>.

note: type: <p></p>
en: The best way to configure <prgn>logcheck</prgn> is to edit its main configuration file <file>/etc/logcheck/logcheck.conf</file> after installation. Change the default user (root) to whom reports should be mailed. You should set the reportlevel in there, too. <package>logcheck-database</package> has three report levels of increasing verbosity: workstation, server, paranoid. "server" being the default level, paranoid is only recommended for high-security machines running as few services as possible and workstation for relatively sheltered, non-critical machines. If you wish to add new log files just add them to <file>/etc/logcheck/logcheck.logfiles</file>. It is tuned for default syslog install.
fr: Le meilleur moyen de configurer <prgn>logcheck</prgn> est d'éditer son fichier de configuration principal <file>/etc/logcheck/logcheck.conf</file> après l'avoir installé. Modifiez l'utilisateur par défaut (root) à qui seront envoyés par courrier les comptes-rendus. Vous devriez également y positionner le niveau de compte-rendu. <package>logcheck-database</package> a trois niveaux de compte-rendu de verbosité croissante&nbsp;: station de travail, serveur, paranoïaque. «&nbsp;serveur&nbsp;» étant le niveau par défaut, «&nbsp;paranoïaque&nbsp;» n'est recommandé que pour les machines de haute sécurité ne faisant fonctionner qu'aussi peu de services que possible et «&nbsp;station de travail&nbsp;» est pour les machines relativement protégés et non critiques. Si vous désirez ajouter de nouveaux fichiers journaux, ajoutez-les simplement à <file>/etc/logcheck/logcheck.logfiles</file>. Celui-ci est configuré pour une installation de syslog par défaut.

note: type: <p></p>
en: Once this is done you might want to check the mails that are sent, for the first few days/weeks/months. If you find you are sent messages you do not wish to receive, just add the regular expressions (see <manref name="regex" section="7"> and <manref name="egrep" section="1">) that correspond to these messages to the <file>/etc/logcheck/ignore.d.<var>reportlevel</var>/local</file>. Try to match the whole logline. Details on howto write rules are explained in <file>/usr/share/doc/logcheck-database/README.logcheck-database.gz</file>. It's an ongoing tuning process; once the messages that are sent are always relevant you can consider the tuning finished. Note that if <prgn>logcheck</prgn> does not find anything relevant in your system it will not mail you even if it does run (so you might get a mail only once a week, if you are lucky).
fr: Une fois fait, vous pouvez vouloir vérifier les courriers envoyés, pour les quelques premiers jours, semaines ou mois. Si estimez recevoir des messages indésirables, ajoutez simplement l'expression rationnelle (consultez <manref section="7" name="regex"> et <manref section="1" name="egrep">) qui correspond à ces messages au fichier <file>/etc/logcheck/ignore.d.<var>niveau_de_compte-rendu </var>/local</file>. Essayez de faire correspondre à la ligne entière du journal. Des détails sur l'écriture des règles sont expliqués dans <file>/usr/share/doc/logcheck-database/README.logcheck-database.gz</file>. C'est un processus d'affinement perpétuel&nbsp;; une fois que les messages envoyés sont toujours pertinents, vous pouvez considérer que l'affinement est terminé. Notez que si <prgn>logcheck</prgn> ne trouve rien de pertinent dans le système, il ne vous enverra pas de courrier même s'il fonctionne (donc, vous pouvez ne recevoir de courrier qu'une fois par semaine si vous êtes chanceux).

note: type: <heading></heading>
en: Configuring where alerts are sent
fr: Configurer l'endroit où les alertes sont envoyées

note: type: <p></p>
en: Debian comes with a standard <tt>syslog</tt> configuration (in <file>/etc/syslog.conf</file>) that logs messages to the appropriate files depending on the system facility. You should be familiar with this; have a look at the <file>syslog.conf</file> file and the documentation if not. If you intend to maintain a secure system you should be aware of where log messages are sent so they do not go unnoticed.
fr: Debian livre une configuration standard de syslog (dans <file>/etc/syslog.conf</file>) qui archive les messages dans les fichiers appropriés en fonction de la facilité du système. Vous devriez être familier avec cela&nbsp;; jetez un &oelig;il au fichier <file>syslog.conf</file> et à la documentation si vous ne l'êtes pas. Si vous avez l'intention de maintenir un système sécurisé, vous devriez être conscient de l'endroit où les journaux sont envoyées ainsi ils ne sont pas perdus dans la nature.

note: type: <p></p>
en: For example, sending messages to the console also is an interesting setup useful for many production-level systems. But for many such systems it is also important to add a new machine that will serve as loghost (i.e. it receives logs from all other systems).
fr: Par exemple, envoyer des messages à la console est également utile pour de nombreux systèmes de production. Mais pour de nombreux systèmes semblables il est également important d'ajouter une nouvelle machine qui servira de serveur de journalisation (il reçoit les journaux de tous les autres systèmes).

note: type: <p></p>
en: Root's mail should be considered also, many security controls (like <package>snort</package>) send alerts to root's mailbox. This mailbox usually points to the first user created in the system (check <file>/etc/aliases</file>). Take care to send root's mail to some place where it will be read (either locally or remotely).
fr: Le courrier du superutilisateur devrait être pris en considération également, de nombreux contrôles de sécurité (comme <package>snort</package>) envoient des alertes dans la boîte aux lettres du superutilisateur. Celle-ci pointe généralement sur le premier utilisateur créé sur le système (vérifiez <file>/etc/aliases</file>). Veillez à envoyer le courrier du superutilisateur à un endroit où il sera lu (soit localement soit à distance).

note: type: <p></p>
en: There are other role accounts and aliases on your system. On a small system, it's probably simplest to make sure that all such aliases point to the root account, and that mail to root is forwarded to the system administrator's personal mailbox.
fr: Il y a d'autres comptes et alias «&nbsp;rôles&nbsp;» sur le système. Sur un petit système, le plus simple est probablement de s'assurer que tous ces alias pointent vers le compte du superutilisateur, et que les messages à destination du superutilisateur sont retransmis vers la boîte aux lettres personnelle de l'administrateur système.

note: type: <p></p>
en: FIXME: It would be interesting to tell how a Debian system can send/receive SNMP traps related to security problems (jfs). Check: <package>snmptrapfmt</package>, <package>snmp</package> and <package>snmpd</package>.
fr: FIXME : Il serait intéressant de dire comment un système Debian peut envoyer/recevoir des messages SNMP relatifs à des problèmes de sécurité (jfs). Voir&nbsp;: <package>snmptragfmt</package>, <package>snmp</package> et <package>snmpd</package>.

note: type: <heading></heading>
en: Using a loghost
fr: Utilisation d'un hôte d'archivage (loghost)

note: type: <p><example>
en: A loghost is a host which collects syslog data remotely over the network. If one of your machines is cracked, the intruder is not able to cover his tracks, unless he hacks the loghost as well. So, the loghost should be especially secure. Making a machine a loghost is simple. Just start the <prgn>syslogd</prgn> with <tt>syslogd -r</tt> and a new loghost is born. In order to do this permanently in Debian, edit <file>/etc/default/syslogd</file> and change the line
fr: Un loghost est un hôte qui recueille les données des syslog à travers le réseau. Si l'une de vos machines est piratée, l'intrus n'est pas capable de dissimuler ses traces, à moins qu'il ne pirate également le loghost. Par conséquent, le loghost devrait être particulièrement sécurisé. Faire d'une machine un loghost est simple. Il suffit juste de démarrer le <prgn>syslogd</prgn> avec <tt>syslogd -r</tt> et un nouveau loghost est né. De façon à rendre cela permanent dans Debian, éditez <file>/etc/default/syslogd</file> et changez la ligne

note: type: </example><example>
en: to
fr: par

note: type: </example><example>
en: Next, configure the other machines to send data to the loghost. Add an entry like the following to <file>/etc/syslog.conf</file>:
fr: Ensuite, configurez les autres machines afin qu'elles envoient les données au loghost. Ajoutez une entrée comme celle qui suit dans <file>/etc/syslog.conf</file>&nbsp;:

note: type: <example></example>
en:   facility.level            @your_loghost
fr:   facilité.niveau           @votre_loghost

note: type: </example><example>
en: See the documentation for what to use in place of <em>facility</em> and <em>level</em> (they should not be entered verbatim like this). If you want to log everything remotely, just write:
fr: Consultez la documentation pour savoir ce qu'on peut utiliser à la place de <em>facilité</em> et <em>niveau</em> (ils ne devraient pas être mot pour mot comme cela). Si vous voulez tout archiver à distance, il suffit d'écrire&nbsp;:

note: type: <example></example>
en:   *.*                       @your_loghost
fr:   *.*                       @votre_loghost

note: type: </example></p>
en: into your <file>syslog.conf</file>. Logging remotely as well as locally is the best solution (the attacker might presume to have covered his tracks after deleting the local log files). See the <manref name="syslog" section="3">, <manref name="syslogd" section="8"> and <manref name="syslog.conf" section="5"> manpages for additional information.
fr: dans <file>syslog.conf</file>. Archiver à distance ainsi que localement est la meilleure solution (le pirate peut estimer avoir couvert ses traces après la suppression des fichiers de journalisation locaux). Consultez les pages de manuel <manref section="3" name="syslog">, <manref section="8" name="syslogd"> et <manref section="5" name="syslog.conf"> pour toutes informations complémentaires.

note: type: <heading></heading>
en: Log file permissions
fr: Permissions du fichier de journalisation

note: type: <p></p>
en: It is not only important to decide how alerts are used, but also who has read/modify access to the log files (if not using a remote loghost). Security alerts which the attacker can change or disable are not worth much in the event of an intrusion. Also, you have to take into account that log files might reveal quite a lot of information about your system to an intruder if he has access to them.
fr: Il est important de décider non seulement comment les alertes sont utilisées, mais aussi qui y accède, c'est-à-dire qui peut lire ou modifier les fichiers de journalisation (en absence d'hôte d'archivage). Les alertes de sécurité que l'attaquant peut modifier ou désactiver sont de peu de valeur en cas d'intrusion. Vous devez également prendre en compte que les fichiers de journalisation peuvent révéler un grand nombre d'informations à propos du système à un intrus s'il y a accès.

note: type: <p><example>
en: Some log file permissions are not perfect after the installation (but of course this really depends on your local security policy). First <file>/var/log/lastlog</file> and <file>/var/log/faillog</file> do not need to be readable by normal users. In the <file>lastlog</file> file you can see who logged in recently, and in the <file>faillog</file> you see a summary of failed logins. The author recommends <prgn>chmod 660</prgn> for both. Take a brief look at your log files and decide very carefully which log files to make readable/writable for a user with a UID other than 0 and a group other than 'adm' or 'root'. You can easily check this in your system with:
fr: Certaines permissions de fichiers de journalisation ne sont pas parfaites après l'installation (mais, bien sûr, cela dépend vraiment de vos règles de sécurité locales). Premièrement <file>/var/log/lastlog</file> et <file>/var/log/faillog</file> n'ont pas besoin d'être lisibles par les utilisateurs normaux. Dans <file>lastlog</file>, vous pouvez voir qui s'est connecté récemment, et dans <file>faillog</file>, vous voyez un résumé des connexions qui ont échouées. L'auteur recommande de faire un <prgn>chmod 660</prgn> sur les deux fichiers. Faites un tour rapide des fichiers de journalisation et décidez avec beaucoup d'attention quels fichiers de journalisation vous rendez lisible ou modifiable par un utilisateur avec un UID différent de 0 et un autre groupe que «&nbsp;adm&nbsp;» ou «&nbsp;root&nbsp;». Vous pouvez facilement vérifier cela sur le système avec&nbsp;:

note: type: <example></example>
en:   #  find /var/log -type f -exec ls -l {} \; | cut -c 17-35 |sort -u
      (see to what users do files in /var/log belong)
      #  find /var/log -type f -exec ls -l {} \; | cut -c 26-34 |sort -u
      (see to what groups do files in /var/log belong)
      # find /var/log -perm +004
      (files which are readable by any user)
      #  find /var/log \! -group root \! -group adm -exec ls -ld {} \;
      (files which belong to groups not root or adm)
fr:   #  find /var/log -type f -exec ls -l {} \; | cut -c 17-35 |sort -u
      (voir à quels utilisateurs appartiennent les fichiers de /var/log)
      #  find /var/log -type f -exec ls -l {} \; | cut -c 26-34 |sort -u
      (voir à quels groups appartiennent les fichiers de /var/log)
      # find /var/log -perm +004
      (fichiers lisibles par tout utilisateur)
      #  find /var/log \! -group root \! -group adm -exec ls -ld {} \;
      (fichiers appartenant à des groupes autres que root ou adm)

note: type: <p></p>
en: To customize how log files are created you will probably have to customize the program that generates them. If the log file gets rotated, however, you can customize the behavior of creation and rotation.
fr: Pour personnaliser la façon dont les fichiers de journalisation sont créés, vous devez probablement personnaliser le programme qui les génère. Cependant, si le fichier de journalisation est archivé, vous pouvez personnaliser le comportement de la création et de l'archivage.

note: type: <heading></heading>
en: Adding kernel patches
fr: Les utilitaires pour ajouter des correctifs au noyau

note: type: <p><list>
en: Debian GNU/Linux provides some of the patches for the Linux kernel that enhance its security. These include:
fr: Debian GNU/Linux fournit quelques correctifs pour le noyau Linux qui améliorent sa sécurité du système. En voici quelques-uns.

note: type: <p></p>
en: <url id="http://www.lids.org" name="Linux Intrusion Detection"> provided in the <package>kernel-patch-2.4-lids</package> package. This kernel patch makes the process of hardening your Linux system easier by allowing you to restrict, hide and protect processes, even from root. It implements mandatory access control capabilities.
fr: LIDS &mdash; <url id="http://www.lids.org" name="Linux Intrusion Detection"> fourni dans le paquet <package>kernel-patch-2.4-lids</package>. Ce correctif du noyau rend le processus de renforcement d'un système Linux plus facile en vous permettant de restreindre, cacher et protéger des processus, même par rapport au superutilisateur. Elle implémente des fonctionnalités de contrôle d'accès obligatoire («&nbsp;Mandatory Access Control&nbsp;»).

note: type: <p></p>
en: <url id="http://trustees.sourceforge.net/" name="Linux Trustees">, provided in package <package>trustees</package>. This patch adds a decent advanced permissions management system to your Linux kernel. Special objects (called trustees) are bound to every file or directory, and are stored in kernel memory, which allows fast lookup of all permissions.
fr: <url id="http://trustees.sourceforge.net/" name="Linux Trustees"> fourni dans le paquet <package>trustees</package>. Ce correctif ajoute un système avancé décent de gestion des permissions au noyau Linux. Des objets spéciaux (les « trustees ») sont associés à chaque fichier ou répertoire et ils sont stockés dans la mémoire noyau, ce qui permet un accès rapide pour toutes les permissions.

note: type: <p></p>
en: NSA Enhanced Linux (in package <package>selinux</package>). Backports of the SElinux-enabled packages are available at <url id="http://selinux.alioth.debian.org/">. More information available at <url id="http://wiki.debian.org/SELinux" name="SElinux in Debian Wiki page">, at <url id="http://www.golden-gryphon.com/software/security/selinux.xhtml" name="Manoj Srivastava's"> and <url id="http://www.coker.com.au/selinux/" name="Russell Cookers's"> SElinux websites.
fr: NSA Enhanced Linux (du paquet <package>selinux</package>). Des rétroportages des paquets avec SElinux activé sont disponibles en <url id="http://selinux.alioth.debian.org/">. Plus de renseignements sont disponibles sur la <url id="http://wiki.debian.org/SELinux" name="page SElinux du wiki Debian">, et sur les sites web de <url id="http://www.golden-gryphon.com/software/security/selinux.xhtml" name="Manoj Srivastava"> et <url id="http://www.coker.com.au/selinux/" name="Russell Cookers">.

note: type: <p></p>
en: The <url id="http://people.redhat.com/mingo/exec-shield/" name="exec-shield patch"> provided in the <package>kernel-patch-exec-shield</package> package. This patch provides protection against some buffer overflows (stack smashing attacks).
fr: Le <url id="http://people.redhat.com/mingo/exec-shield/" name="correctif exec-shield"> fourni dans le paquet <package>kernel-patch-exec-shield</package>. Ce correctif fournit une protection contre plusieurs dépassements de tampon (attaques par écrasement de pile).

note: type: <p></p>
en: The <url id="http://www.grsecurity.net/" name="Grsecurity patch">, provided by the <package>kernel-patch-2.4-grsecurity</package> and <package>kernel-patch-grsecurity2</package> packages <footnote><p>Notice that this patch conflicts with patches already included in Debian's 2.4 kernel source package. You will need to use the stock vanilla kernel. You can do this with the following steps: <example># apt-get install kernel-source-2.4.22 kernel-patch-debian-2.4.22 # tar xjf /usr/src/kernel-source-2.4.22.tar.bz2 # cd kernel-source-2.4.22 # /usr/src/kernel-patches/all/2.4.22/unpatch/debian</example></p><p>For more information see <url id="http://bugs.debian.org/194225" name="#194225">, <url id="http://bugs.debian.org/199519" name="#199519">, <url id="http://bugs.debian.org/206458" name="#206458">, <url id="http://bugs.debian.org/203759" name="#203759">, <url id="http://bugs.debian.org/204424" name="#204424">, <url id="http://bugs.debian.org/210762" name="#210762">, <url id="http://bugs.debian.org/211213" name="#211213">, and the <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200309/msg01133.html" name="discussion at debian-devel"></p></footnote> implements Mandatory Access Control through RBAC, provides buffer overflow protection through PaX, ACLs, network randomness (to make OS fingerprinting more difficult) and <url id="http://www.grsecurity.net/features.php" name="many more features">.
fr: Le <url id="http://www.grsecurity.net/" name="correctif Grsecurity"> fourni par les paquets <package>kernel-patch-2.4-grsecurity</package> et <package>kernel-patch-grsecurity2</package> <footnote><p>Notez que ce correctif entre en conflit avec des correctifs déjà inclus dans le paquet de source du noyau Debian. Vous devrez utiliser le noyau d'origine (sans correctifs Debian). Vous pouvez faire cela en suivant les étapes suivantes&nbsp;: <example># apt-get install kernel-source-2.4.22 kernel-patch-debian-2.4.22 # tar xjf /usr/src/kernel-source-2.4.22.tar.bz2 # cd kernel-source-2.4.22 # /usr/src/kernel-patches/all/2.4.22/unpatch/debian</example></p><p>Pour plus d'informations, consultez les bogues <url id="http://bugs.debian.org/194225" name="nº 194225">, <url id="http://bugs.debian.org/199519" name="nº 199519">, <url id="http://bugs.debian.org/206458" name="nº 206458">, <url id="http://bugs.debian.org/203759" name="nº 203759">, <url id="http://bugs.debian.org/204424" name="nº 204424">, <url id="http://bugs.debian.org/210762" name="nº 210762">, <url id="http://bugs.debian.org/211213" name="nº 211213"> et la <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200309/msg01133.html" name="discussion sur debian-devel">.</p></footnote> implémente le contrôle d'accès obligatoire (<em>Mandatory Access Control</em>) grâce à RBAC, fournit une protection de dépassement de tampon grâce à PaX, des ACL, un caractère aléatoire du réseau (pour rendre la reconnaissance de système d'exploitation plus difficile) et <url id="http://www.grsecurity.net/features.php" name="beaucoup d'autres fonctionnalités">.

note: type: <p></p>
en: The <package>kernel-patch-adamantix</package> provides the patches developed for <url id="http://www.adamantix.org/" name="Adamantix">, a Debian-based distribution. This kernel patch for the 2.4.x kernel releases introduces some security features such as a non-executable stack through the use of <url id="http://pageexec.virtualave.net/" name="PaX"> and mandatory access control based on <url id="http://www.rsbac.org/" name="RSBAC">. Other features include: <url id="http://www.vanheusden.com/Linux/sp/" name="the Random PID patch">, AES encrypted loop device, MPPE support and an IPSEC v2.6 backport.
fr: Le <package>kernel-patch-adamantix</package> fournit les correctifs développés pour <url id="http://www.adamantix.org/" name="Adamantix">, une distribution basée sur Debian. Le correctif noyau pour les versions 2.4.x du noyau introduit des fonctionnalités de sécurité comme une pile non exécutable grâce à l'utilisation de <url id="http://pageexec.virtualave.net/" name="PaX"> et du contrôle d'accès obligatoire basé sur <url id="http://www.rsbac.org/" name="RSBAC">. Parmi les autres fonctionnalités, on trouve&nbsp;: <url id="http://www.vanheusden.com/Linux/sp/" name="le correctif PID aléatoire">, le périphérique boucle chiffré AES, la gestion MPPE et un rétroportage de la version 2.6 d'IPsec.

note: type: <p></p>
en: <package>cryptoloop-source</package>. This patches allows you to use the functions of the kernel crypto API to create encrypted filesystems using the loopback device.
fr: <package>cryptoloop-source</package>. Ce correctif vous permet d'utiliser les fonctions de l'API de chiffrement du noyau pour créer des systèmes de fichiers chiffrés en utilisant le périphérique «&nbsp;loopback&nbsp;».

note: type: <p></p>
en: IPSEC kernel support (in package <package>linux-patch-openswan</package>). If you want to use the IPsec protocol with Linux, you need this patch. You can create VPNs with this quite easily, even to Windows machines, as IPsec is a common standard. IPsec capabilities have been added to the 2.5 development kernel, so this feature will be present by default in the future Linux Kernel 2.6. Homepage: <url id="http://www.openswan.org">. <em>FIXME</em>: The latest 2.4 kernels provided in Debian include a backport of the IPSEC code from 2.5. Comment on this.
fr: Prise en charge d'IPsec par le noyau (du paquet <package>linux-patch-openswan</package>). Si vous voulez utiliser le protocole IPsec avec Linux, vous avez besoin de ce correctif. Vous pouvez ainsi créer des VPN très facilement, même vers les machines Windows, puisque IPsec est une norme courante. Des fonctionnalités IPsec ont été ajoutées au noyau de développement 2.5, cette fonctionnalité sera donc présente par défaut dans le futur noyau Linux 2.6. Site Internet&nbsp;: <url id="http://www.openswan.org">. <em>FIXME</em>&nbsp;: les derniers noyaux&nbsp;2.4 fournis dans Debian incluent un rétroportage du code IPsec du noyau&nbsp;2.5. Commentaire sur cela.

note: type: <p><list>
en: The following security kernel patches are only available for old kernel versions in woody and are deprecated:
fr: Les correctifs de sécurité du noyau suivants ne sont disponibles que pour d'anciennes versions du noyau dans <em>Woody</em> et ils sont obsolètes&nbsp;:

note: type: <p></p>
en: <url id="http://acl.bestbits.at/" name="POSIX Access Control Lists"> (ACLs) for Linux provided in the package <package>kernel-patch-acl</package>. This kernel patch adds access control lists, an advanced method for restricting access to files. It allows you to control fine-grain access to files and directory.
fr: <url id="http://acl.bestbits.at/" name="POSIX Access Control Lists"> (ACL) pour Linux fourni dans le paquet <package>kernel-patch-acl</package>. Ce correctif du noyau ajoute les listes de contrôle d'accès, une méthode avancée pour restreindre l'accès aux fichiers, par le noyau Linux. Cela vous permet de contrôler finement l'accès aux fichiers et répertoires.

note: type: <p></p>
en: The <url id="http://www.openwall.com/linux/" name="Openwall"> linux kernel patch by Solar Designer, provided in the <package>kernel-patch-2.2.18-openwall</package> package. This is a useful set of kernel restrictions, like restricted links, FIFOs in <file>/tmp</file>, a restricted <file>/proc</file> file system, special file descriptor handling, non-executable user stack area and other features. Note: This package applies to the 2.2 release, no packages are available for the 2.4 release patches provided by Solar.
fr: <url id="http://www.openwall.com/linux/" name="Openwall"> par Solar Designer, fourni dans le paquet <package>kernel-patch-2.2.18-openwall</package>. C'est un ensemble utile de restrictions pour le noyau, comme la restriction de liens, FIFO dans <file>/tmp</file>, une restriction de <file>/proc</file>, une gestion de descripteur de fichiers spéciaux, une pile de l'utilisateur non exécutable et bien plus. Note&nbsp;: ce paquet s'applique à la version&nbsp;2.2, aucun paquet n'est disponible pour les correctifs de la version&nbsp;2.4 fournie par Solar.

note: type: <p></p>
en: <package>kernel-patch-int</package>. This patch also adds cryptographic capabilities to the Linux kernel, and was useful with Debian releases up to Potato. It doesn't work with Woody, and if you are using Sarge or a newer version, you should use a more recent kernel which includes these features already.
fr: <package>kernel-patch-int</package>. Ce correctif vous permet également d'ajouter des fonctionnalités de cryptographie au noyau Linux et était utile pour les versions de Debian jusqu'à Potato. Il ne fonctionne pas avec Woody et si vous utilisez Sarge ou une version plus récente, vous devriez utiliser un noyau plus récent qui inclut déjà ces fonctionnalités.

note: type: <p></p>
en: However, some patches have not been provided in Debian yet. If you feel that some of these should be included please ask for it at the <url id="http://www.debian.org/devel/wnpp/" name="Work Needing and Prospective Packages">.
fr: Cependant, certains correctifs ne sont pas encore fournis dans Debian. Si vous croyez que certains devraient être inclus, veuillez le demander sur la page des <url id="http://www.debian.org/devel/wnpp" name="paquets en souffrance et paquets souhaités">.

note: type: <heading></heading>
en: Protecting against buffer overflows
fr: Se protéger contre les dépassements de tampon

note: type: <p></p>
en: <em>Buffer overflow</em> is the name of a common attack to software <footnote><p>So common, in fact, that they have been the basis of 20% of the reported security vulnerabilities every year, as determined by <url id="http://icat.nist.gov/icat.cfm?function=statistics" name="statistics from ICAT's vulnerability database"></p></footnote> which makes use of insufficient boundary checking (a programming error, most commonly in the C language) in order to execute machine code through program inputs. These attacks, against server software which listen to connections remotely and against local software which grant higher privileges to users (<tt>setuid</tt> or <tt>setgid</tt>) can result in the compromise of any given system.
fr: <em>Dépassement de tampon</em> est le nom d'une attaque courante sur un logiciel<footnote><p>Si commune, en fait, qu'elles ont été la base de 20&nbsp;% des failles de sécurité signalés cette année, d'après les <url id="http://icat.nist.gov/icat.cfm?function=statistics" name="statistiques de la base de données des failles de l'ICAT">.</p></footnote> qui utilise insuffisamment des vérifications de limites (une erreur de programmation courante, plus particulièrement en langage C) pour exécuter du code machine par des entrées de programme. Ces attaques, contre des logiciels serveur qui attendent des connexions distantes et contre des logiciels locaux qui autorisent des droits élevés aux utilisateurs (<tt>setuid</tt> ou <tt>setgid</tt>) peuvent avoir pour conséquence la compromission de tout un système.

note: type: <p><list>
en: There are mainly four methods to protect against buffer overflows:
fr: Quatre méthodes en particulier permettent de se protéger contre les dépassement de tampon&nbsp;:

note: type: <p></p>
en: patch the kernel to prevent stack execution. You can use either: Exec-shield, OpenWall or PaX (included in the Grsecurity and Adamantix patches).
fr: appliquer un correctif au noyau pour empêcher l'exécution de la pile. Vous pouvez utiliser Exec-shield, OpenWall ou PaX (incluant les correctifs Grsecurity et Adamantix)&nbsp;;

note: type: <p></p>
en: fix the source code by using tools to find fragments of it that might introduce this vulnerability.
fr: corriger le code source en utilisant des outils pour trouver des fragments qui pourraient introduire cette faille&nbsp;;

note: type: <p></p>
en: recompile the source code to introduce proper checks that prevent overflows, using the <url id="http://www.research.ibm.com/trl/projects/security/ssp/" name="Stack Smashing Protector (SSP)"> patch for GCC (which is used by <url id="http://www.adamantix.org" name="Adamantix">)
fr: recompiler le code pour introduire des vérifications qui empêchent les dépassements en utilisant le correctif pour GCC <url id="http://www.research.ibm.com/trl/projects/security/ssp/" name="Stack Smashing Protector (SSP)"> (qui est utilisé par <url id="http://www.adamantix.org" name="Adamantix">).

note: type: <p></p>
en: Debian GNU/Linux, as of the 3.0 release, provides software to introduce all of these methods except for the protection on source code compilation (but this has been requested in <url id="http://bugs.debian.org/213994" name="Bug #213994">).
fr: Debian GNU/Linux, dans sa version&nbsp;3.0, fournit des logiciels pour implémenter toutes ces méthodes à l'exception de la protection de la compilation du code source (mais cela a été demandé dans le <url id="http://bugs.debian.org/213994" name="bogue nº&nbsp;213994">).

note: type: <p></p>
en: Notice that even if Debian provided a compiler which featured stack/buffer overflow protection all packages would need to be recompiled in order to introduce this feature. This is, in fact, what the Adamantix distribution does (among other features). The effect of this new feature on the stability of software is yet to be determined (some programs or some processor architectures might break due to it).
fr: Notez que même si Debian fournissait un compilateur qui fournit cette fonction de protection de dépassement de tampon/pile, tous les paquets auraient besoin d'être recompilés pour introduire cette fonctionnalité. C'est, en fait, ce que fait Adamantix (entre autres fonctionnalités). L'effet de cette nouvelle fonctionnalité sur la stabilité des logiciels doit encore être déterminée (certains programmes ou architectures de processeur pourraient être cassés à cause d'elle).

note: type: <p></p>
en: In any case, be aware that even these workarounds might not prevent buffer overflows since there are ways to circumvent these, as described in phrack's magazine <url id="http://packetstorm.linuxsecurity.com/mag/phrack/phrack58.tar.gz" name="issue 58"> or in CORE's Advisory <url id="http://online.securityfocus.com/archive/1/269246" name="Multiple vulnerabilities in stack smashing protection technologies">.
fr: Dans tous les cas, soyez conscient que même ces contournement peuvent ne pas prévenir les dépassements de tampon car il existe des moyens de circonvenir ceux-ci, comme décrit dans l'<url id="http://packetstorm.linuxsecurity.com/mag/phrack/phrack58.tar.gz" name="édition 58"> du magazine phrack ou dans l'alerte du CORE <url id="http://online.securityfocus.com/archive/1/269246" name="Failles multiples dans les technologies de protection d'écrasement de la pile">.

note: type: <p></p>
en: If you want to test out your buffer overflow protection once you have implemented it (regardless of the method) you might want to install the <package>paxtest</package> and run the tests it provides.
fr: Si vous voulez tester la protection contre les dépassements de tampon une fois que vous l'avez mise en place (quelque que soit la méthode), vous pouvez vouloir installer le <package>paxtest</package> et exécuter les tests qu'il fournit.

note: type: <heading></heading>
en: Kernel patch protection for buffer overflows
fr: Correctif du noyau de protection pour les dépassements de tampon

note: type: <p></p>
en: Kernel patches related to buffer overflows include the Openwall patch provides protection against buffer overflows in 2.2 linux kernels. For 2.4 or newer kernels, you need to use the Exec-shield implementation, or the PaX implementation (provided in the grsecurity patch, <package>kernel-patch-2.4-grsecurity</package>, and in the Adamantix patch, <package>kernel-patch-adamantix</package>). For more information on using these patches read the the section <ref id="kernel-patches">.
fr: Des correctifs du noyau liés aux dépassements de tampon incluant le correctif Openwall fournissent une protection contre les dépassements de tampon dans les noyaux Linux&nbsp;2.2. Pour les noyaux&nbsp;2.4 et plus récents, vous devrez utiliser l'implémentation Exec-shield ou l'implémentation PaX (fournies dans le correctif grsecurity, <package>kernel-patch-2.4-grsecurity</package> et dans le correctif Adamantix, <package>kernel-patch-adamantix</package>). Pour plus d'informations sur l'utilisation de ces correctifs, veuillez consulter la section <ref id="kernel-patches">.

note: type: <heading></heading>
en: Testing programs for overflows
fr: Tester des programmes pour les dépassements

note: type: <p></p>
en: The use of tools to detect buffer overflows requires, in any case, of programming experience in order to fix (and recompile) the code. Debian provides, for example: <package>bfbtester</package> (a buffer overflow tester that brute-forces binaries through command line and environment overflows). Other packages of interest would also be <package>rats</package>, <package>pscan</package>, <package>flawfinder</package> and <package>splint</package>.
fr: L'utilisation d'outils pour détecter des dépassements de tampon nécessitent dans tous les cas une expérience de programmation pour corriger (et recompiler) le code. Debian fournit par exemple&nbsp;: <package>bfbtester</package> (un testeur de dépassement de tampon qui brutalise des binaires par la force par des dépassements de ligne de commande et d'environnement). D'autres paquets intéressants pourraient aussi être <package>rats</package>, <package>pscan</package>, <package>flawfinder</package> et <package>splint</package>.

note: type: <heading></heading>
en: Secure file transfers
fr: Sécurisation des transferts de fichiers

note: type: <p></p>
en: During normal system administration one usually needs to transfer files in and out from the installed system. Copying files in a secure manner from a host to another can be achieved by using the <package>ssh</package> server package. Another possibility is the use of <package>ftpd-ssl</package>, a ftp server which uses the <em>Secure Socket Layer</em> to encrypt the transmissions.
fr: Pendant l'administration normale du système, il est habituellement nécessaire de transférer des fichiers à partir et vers le système installé. La copie des fichiers de façon sécurisée d'un hôte vers un autre peut être effectuée en utilisant le paquet serveur <package>ssh</package>. Une autre possibilité est d'utiliser <package>ftpd-ssl</package>, un serveur FTP qui utilise <em>Secure Socket Layer</em> pour chiffrer les transmissions.

note: type: <p></p>
en: Any of these methods need special clients. Debian does provide client software, such as <prgn>scp</prgn> from the <package>ssh</package> package, which works like <prgn>rcp</prgn> but is encrypted completely, so the <em>bad guys</em> cannot even find out WHAT you copy. There is also a <package>ftp-ssl</package> package for the equivalent server. You can find clients for these software even for other operating systems (non-UNIX), <prgn>putty</prgn> and <prgn>winscp</prgn> provide secure copy implementations for any version of Microsoft's operating system.
fr: Toutes ces méthodes nécessitent des clients spécifiques. Debian fournit des clients logiciels, comme <prgn>scp</prgn> du paquet <package>ssh</package>, qui fonctionne comme <prgn>rcp</prgn>, mais est complètement chiffré, donc les <em>méchants</em> ne peuvent même pas savoir CE QUE vous copiez. Il existe également un paquet client <package>ftp-ssl</package> pour le serveur équivalent. Vous pouvez trouver des clients pour ces logiciels, même pour d'autres systèmes d'exploitation (non UNIX), <prgn>putty</prgn> et <prgn>winscp</prgn> fournissent des implémentations de copie sécurisée pour toutes les versions des systèmes d'exploitation de Microsoft.

note: type: <p></p>
en: Note that using <prgn>scp</prgn> provides access to the users to all the file system unless <prgn>chroot</prgn>'ed as described in <ref id="ssh-chroot">. FTP access can be <prgn>chroot</prgn>'ed, probably easier depending on you chosen daemon, as described in <ref id="ftp-secure">. If you are worried about users browsing your local files and want to have encrypted communication you can either use an ftp daemon with SSL support or combine clear-text ftp and a VPN setup (see <ref id="vpn">).
fr: Notez qu'utiliser <prgn>scp</prgn> fournit un accès pour tous les utilisateurs à tout le système de fichiers à moins de faire un <prgn>chroot</prgn> comme décrit dans <ref id="ssh-chroot">. L'accès FTP peut être <prgn>chroot</prgn>é, c'est probablement plus facile selon le démon que vous choisissez, comme décrit dans <ref id="ftp-secure">. Si vous vous inquiétez d'utilisateurs locaux pouvant parcourir les fichiers locaux et que vous voulez avoir une communication chiffrée, vous pouvez soit utiliser un démon FTP avec la prise en charge SSL, soit combiner un FTP sans chiffrement avec une configuration VPN (consultez <ref id="vpn">).

note: type: <heading></heading>
en: File system limits and control
fr: Limites et contrôle des systèmes de fichiers

note: type: <heading></heading>
en: Using quotas
fr: Utilisation de quotas

note: type: <p></p>
en: Having a good quota policy is important, as it keeps users from filling up the hard disk(s).
fr: Avoir une bonne politique relative aux quotas est important, vu qu'elle empêche les utilisateurs de remplir les disques durs.

note: type: <p></p>
en: You can use two different quota systems: user quota and group quota. As you probably figured out, user quota limits the amount of space a user can take up, group quota does the equivalent for groups. Keep this in mind when you're working out quota sizes.
fr: Vous pouvez utiliser deux systèmes de quotas différents&nbsp;: les quotas utilisateur et les quotas groupe. Comme vous l'avez probablement deviné, les quotas utilisateur limitent la quantité d'espace qu'un utilisateur peut avoir, les quotas groupe quant à eux font la même chose pour les groupes. Retenez cela quand vous calculerez les tailles des quotas.

note: type: <p><list>
en: There are a few important points to think about in setting up a quota system:
fr: Il y a quelques points importants auxquels il faut penser dans la mise en place d'un système de quotas&nbsp;:

note: type: <p></p>
en: Keep the quotas small enough, so users do not eat up your disk space.
fr: garder les quotas suffisamment petits, ainsi les utilisateurs ne dévoreront pas l'espace disque ;

note: type: <p></p>
en: Keep the quotas big enough, so users do not complain or their mail quota keeps them from accepting mail over a longer period.
fr: garder les quotas suffisamment grands, ainsi les utilisateurs ne se plaindront pas et leur quota de courrier leur permettra d'accepter des courriers pendant une longue période ;

note: type: <p></p>
en: Use quotas on all user-writable areas, on <file>/home</file> as well as on <file>/tmp</file>.
fr: utiliser des quotas sur tous les espaces accessibles en écriture par les utilisateurs, aussi bien sur <file>/home</file> que <file>/tmp</file>.

note: type: <p></p>
en: Every partition or directory to which users have full write access should be quota enabled. Calculate and assign a workable quota size for those partitions and directories which combines usability and security.
fr: Tous les répertoires et partitions auxquels les utilisateurs ont accès en écriture complet devraient avoir les quotas activés. Recherchez ces partitions et répertoires et calculez une taille adaptée qui combine disponibilité et sécurité.

note: type: <p></p>
en: So, now you want to use quotas. First of all you need to check whether you enabled quota support in your kernel. If not, you will need to recompile it. After this, control whether the package <package>quota</package> is installed. If not you will need this one as well.
fr: Bon, maintenant vous désirez utiliser les quotas. Avant tout, vous avez besoin de vérifier si vous avez activé la prise en charge des quotas dans le noyau. Si non, vous devrez le recompiler. Après cela, contrôlez si le paquet <prgn>quota</prgn> est installé. Si non, vous en aurez également besoin.

note: type: <p></p>
en: Enabling quota for the respective file systems is as easy as modifying the <tt>defaults</tt> setting to <tt>defaults,usrquota</tt> in your <file>/etc/fstab</file> file. If you need group quota, substitute <tt>usrquota</tt> to <tt>grpquota</tt>. You can also use them both. Then create empty quota.user and quota.group files in the roots of the file systems you want to use quotas on (e.g. <tt>touch /home/quota.user /home/quota.group</tt> for a <file>/home</file> file system).
fr: L'activation des quotas pour des systèmes de fichiers différents est aussi facile que la modification du paramètre <tt>defaults</tt> en <tt>defaults,usrquota</tt> dans le fichier <file>/etc/fstab</file>. Si vous avez besoin des quotas par groupe, remplacez <tt>usrquota</tt> par <tt>grpquota</tt>. Vous pouvez également utiliser les deux. Ensuite, créez des fichiers vides quota.user et quota.group à la racine du système de fichiers sur lequel vous voulez utiliser les quotas (<tt>touch /home/quota.user /home/quota.group</tt> pour un système de fichiers <file>/home</file>).

note: type: <p></p>
en: Restart <prgn>quota</prgn> by doing <tt>/etc/init.d/quota stop;/etc/init.d/quota start</tt>. Now quota should be running, and quota sizes can be set.
fr: Redémarrez <prgn>quota</prgn> en faisant <tt>/etc/init.d/quota stop;/etc/init.d/quota start</tt>. Maintenant les quotas devraient être en fonction et leurs tailles peuvent être configurées.

note: type: <p></p>
en: Editing quotas for a specific user can be done by <tt>edquota -u &lt;user&gt;</tt>. Group quotas can be modified with <tt>edquota -g &lt;group&gt;</tt>. Then set the soft and hard quota and/or inode quotas as needed.
fr: L'édition de quotas pour un utilisateur spécifique peut être réalisée en faisant <tt>edquota -u &lt;user&gt;</tt>. Les quotas par groupes peuvent être modifiés avec <tt>edquota -g &lt;group&gt;</tt>. Ensuite, paramétrez les quotas soft et hard ou les quotas pour inœuds selon vos besoins.

note: type: <p></p>
en: For more information about quotas, read the quota man page, and the quota mini-howto (<file>/usr/share/doc/HOWTO/en-html/mini/Quota.html</file>). You may also want to look at <file>pam_limits.so</file>.
fr: Pour plus d'informations concernant les quotas, consultez la page de manuel de la commande quota et le quota mini-howto (<file>/usr/share/doc/HOWTO/fr-html/Quota.html</file>). Vous pouvez également vouloir étudier <file>pam_limits.so</file>.

note: type: <heading></heading>
en: The ext2 filesystem specific attributes (chattr/lsattr)
fr: Les attributs spécifiques du système de fichiers ext2 (chattr/lsattr)

note: type: <p></p>
en: In addition to the usual Unix permissions, the ext2 and ext3 filesystems offer a set of specific attributes that give you more control over the files on your system. Unlike the basic permissions, these attributes are not displayed by the usual <prgn>ls -l</prgn> command or changed using <prgn>chmod</prgn>, and you need two other utilities, <prgn>lsattr</prgn> and <prgn>chattr</prgn> (in package <package>e2fsprogs</package>) to manage them. Note that this means that these attributes will usually not be saved when you backup your system, so if you change any of them, it may be worth saving the successive <prgn>chattr</prgn> commands in a script so that you can set them again later if you have to restore a backup.
fr: En plus des permissions standards UNIX, les systèmes de fichiers ext2 et ext3 offrent un ensemble d'attributs spécifiques qui donnent plus de contrôle sur les fichiers du système. À la différence des permissions de base, ces attributs ne sont pas affichés par la commande standard <prgn>ls -l</prgn>, ni changés par la commande <prgn>chmod</prgn> et vous avez besoin de deux autres utilitaires, <prgn>lsattr</prgn> et <prgn>chattr</prgn> (du paquet <package>e2fsprogs</package>) pour les gérer. Notez que cela veut dire que ces attributs ne sont habituellement pas enregistrés quand vous sauvegardez le système, donc si vous modifiez l'un d'entre eux, il peut être utile d'enregistrer les commandes <prgn>chattr</prgn> successives dans un script pour pouvoir les repositionner plus tard si vous avez à récupérer une sauvegarde.

note: type: <p><list>
en: Among all available attributes, the two that are most important for increasing security are referenced by the letters 'i' and 'a', and they can only be set (or removed) by the superuser:
fr: Parmi tous les attributs disponibles, les deux plus importants pour améliorer la sécurité sont référencés par les lettres «&nbsp;i&nbsp;» et «&nbsp;a&nbsp;» et ils ne peuvent être positionnés (ou enlevés) que par le superutilisateur&nbsp;:

note: type: <p></p>
en: The 'i' attribute ('immutable'): a file with this attribute can neither be modified nor deleted or renamed and no link can be created to it, even by the superuser.
fr: l'attribut «&nbsp;i&nbsp;» (inchangeable, «&nbsp;immutable&nbsp;»)&nbsp;: un fichier ayant cet attribut ne peut-être ni modifié ni effacé ou encore renommé et aucun lien ne peut le référencer, même par le superutilisateur ;

note: type: <p></p>
en: The 'a' attribute ('append'): this attribute has the same effect that the immutable attribute, except that you can still open the file in append mode. This means that you can still add more content to it but it is impossible to modify previous content. This attribute is especially useful for the log files stored in <file>/var/log/</file>, though you should consider that they get moved sometimes due to the log rotation scripts.
fr: l'attribut «&nbsp;a&nbsp;» (ajout, «&nbsp;append&nbsp;»)&nbsp;: cet attribut a le même effet que l'attribut «&nbsp;immutable&nbsp;», excepté que vous pouvez encore ouvrir le fichier en mode ajout. Cela veut dire que vous pouvez encore ajouter plus de contenu au fichier, mais qu'il est impossible de modifier un contenu précédent. Cet attribut est particulièrement utile pour les fichiers de journalisation stockés dans <file>/var/log/</file>, bien que vous devez considérer qu'ils sont parfois déplacés à cause des scripts d'archivage.

note: type: <p></p>
en: These attributes can also be set for directories, in which case everyone is denied the right to modify the contents of a directory list (e.g. rename or remove a file, ...). When applied to a directory, the append attribute only allows file creation.
fr: Ces attributs peuvent également être positionnés pour les répertoires, dans ce cas, le droit de modifier le contenu de la liste d'un répertoire est refusé (par exemple, renommer ou supprimer un fichier, etc.) Quand il est appliqué à un répertoire, l'attribut d'ajout ne permet que la création de fichiers.

note: type: <p></p>
en: It is easy to see how the 'a' attribute improves security, by giving to programs that are not running as the superuser the ability to add data to a file without modifying its previous content. On the other hand, the 'i' attribute seems less interesting: after all, the superuser can already use the basic Unix permissions to restrict access to a file, and an intruder that would get access to the superuser account could always use the <prgn>chattr</prgn> program to remove the attribute. Such an intruder may first be confused when he sees that he is not able to remove a file, but you should not assume that he is blind - after all, he got into your system! Some manuals (including a previous version of this document) suggest to simply remove the <prgn>chattr</prgn> and <prgn>lsattr</prgn> programs from the system to increase security, but this kind of strategy, also known as "security by obscurity", is to be absolutely avoided, since it provides a false sense of security.
fr: Il est aisé de voir que l'attribut «&nbsp;a&nbsp;» améliore la sécurité, en donnant aux programmes qui ne sont pas exécutés par le superutilisateur, la possibilité d'ajouter des données à un fichier sans pouvoir modifier son précédent contenu. D'un autre côté, l'attribut «&nbsp;i&nbsp;» semble moins intéressant&nbsp;: après tout, le superutilisateur peut déjà utiliser les permissions standards UNIX pour restreindre l'accès à un fichier et un intrus qui aurait accès au compte superutilisateur peut toujours utiliser le programme <prgn>chattr</prgn> pour supprimer l'attribut. Un tel intrus peut tout d'abord être perplexe quand il se rendra compte qu'il ne peut pas supprimer un fichier, mais vous ne devriez pas supposer qu'il est aveugle &mdash&nbsp;après tout, il est entré dans le système&nbsp;! Certains manuels (y compris une précédente version de ce document) suggèrent de supprimer simplement les programmes <prgn>chattr</prgn> et <prgn>lsattr</prgn> du système pour améliorer la sécurité, mais ce genre de stratégie, aussi connu comme «&nbsp;sécurité par l'obscurité&nbsp;», doit être absolument évitée, car elle donne un sentiment trompeur de sécurité.

note: type: <p><enumlist numeration="arabic">
en: A secure way to solve this problem is to use the capabilities of the Linux kernel, as described in <ref id="proactive">. The capability of interest here is called <tt>CAP_LINUX_IMMUTABLE</tt>: if you remove it from the capabilities bounding set (using for example the command <tt>lcap CAP_LINUX_IMMUTABLE</tt>) it won't be possible to change any 'a' or 'i' attribute on your system anymore, even by the superuser ! A complete strategy could be as follows:
fr: Une façon sûre de résoudre ce problème est d'utiliser les fonctionnalités du noyau Linux, comme décrit dans <ref id="proactive">. La fonctionnalité intéressante est appelée ici <tt>CAP_LINUX_IMMUTABLE</tt>&nbsp;: si vous la supprimez de l'ensemble des fonctionnalités (en utilisant par exemple la commande <tt>lcap CAP_LINUX_IMMUTABLE</tt>), il ne sera plus possible de modifier les attributs «&nbsp;a&nbsp;» ou «&nbsp;i&nbsp;» sur le système, même pour le superutilisateur&nbsp;! Une stratégie complète serait alors la suivante&nbsp;:

note: type: <p></p>
en: Set the attributes 'a' and 'i' on any file you want;
fr: positionner les attributs «&nbsp;a&nbsp;» et «&nbsp;i&nbsp;» sur tous les fichiers voulus&nbsp;;

note: type: <p></p>
en: Add the command <tt>lcap CAP_LINUX_IMMUTABLE</tt> (as well as <tt>lcap CAP_SYS_MODULE</tt>, as suggested in <ref id="proactive">) to one of the startup scripts;
fr: ajouter la commande <tt>lcap CAP_LINUX_IMMUTABLE</tt> (ainsi que <tt>lcap CAP_SYS_MODULE</tt>, comme suggéré dans <ref id="proactive">) à l'un des scripts de démarrage&nbsp;;

note: type: <p></p>
en: Set the 'i' attribute on this script and other startup files, as well as on the <prgn>lcap</prgn> binary itself;
fr: positionner l'attribut «&nbsp;i&nbsp;» sur ce script et les autres fichiers de démarrage, ainsi que sur le binaire <prgn>lcap</prgn> lui-même&nbsp;;

note: type: <p></p>
en: Execute the above command manually (or reboot your system to make sure everything works as planned).
fr: exécuter la commande ci-dessus vous-même (ou réamorcer le système pour vous assurer que tout fonctionne comme prévu).

note: type: <p></p>
en: Now that the capability has been removed from the system, an intruder cannot change any attribute on the protected files, and thus cannot change or remove the files. If he forces the machine to reboot (which is the only way to restore the capabilities bounding set), it will easily be detected, and the capability will be removed again as soon as the system restarts anyway. The only way to change a protected file would be to boot the system in single-user mode or using another bootdisk, two operations that require physical access to the machine !
fr: Maintenant que la fonctionnalité a été enlevée du système, un intrus ne peut plus changer aucun attribut des fichiers protégés et donc, il ne peut pas changer ou supprimer les fichiers. S'il force la machine à redémarrer (ce qui est la seule façon de récupérer le jeu de fonctionnalités), cela sera facile à détecter et la fonctionnalité sera de toute façon enlevée à nouveau dès que le redémarrage du système. La seule façon de changer un fichier protégé serait de réamorcer le système en mode utilisateur seul (single-user mode) ou d'utiliser une autre image d'amorçage, deux opérations qui nécessitent un accès physique à la machine&nbsp;!

note: type: <heading></heading>
en: Checking file system integrity
fr: Vérifier l'intégrité des systèmes de fichiers

note: type: <p></p>
en: Are you sure <file>/bin/login</file> on your hard drive is still the binary you installed there some months ago? What if it is a hacked version, which stores the entered password in a hidden file or mails it in clear-text version all over the Internet?
fr: Êtes-vous sûr que le /bin/login présent sur le disque dur est le même que celui que vous aviez installé il y a de cela quelques mois&nbsp;? Que faire si c'est une version piratée, qui enregistre les mots de passe entrés dans un fichier caché ou les envoie en clair sur Internet&nbsp;?

note: type: <p></p>
en: The only method to have some kind of protection is to check your files every hour/day/month (I prefer daily) by comparing the actual and the old md5sum of this file. Two files cannot have the same md5sum (the MD5 digest is 128 bits, so the chance that two different files will have the same md5sum is roughly one in 3.4e3803), so you're on the safe site here, unless someone has also hacked the algorithm that creates md5sums on that machine. This is, well, extremely difficult and very unlikely. You really should consider this auditing of your binaries as very important, since it is an easy way to recognize changes at your binaries.
fr: La seule méthode pour avoir un semblant de protection est de vérifier vos fichiers tous les heures/jours/mois (je préfère quotidiennement) en comparant l'actuel et l'ancien md5sum de ce fichier. Deux fichiers ne peuvent avoir le même md5sum (le MD5 est basé sur 128 bits, ainsi la chance que deux fichiers différents aient le même md5sum est approximativement de un sur 3.4e3803), donc de ce côté tout est bon, à moins que quelqu'un ait piraté également l'algorithme qui crée les md5sums sur cette machine. C'est extrêmement difficile et très improbable. Vous devriez vraiment prendre en compte que la vérification de vos binaires est très importante étant donné que c'est un moyen facile de reconnaître des changements sur vos binaires.

note: type: <p></p>
en: Common tools used for this are <package>sxid</package>, <package>aide</package> (Advanced Intrusion Detection Environment), <package>tripwire</package>, <package>integrit</package> and <package>samhain</package>. Installing <prgn>debsums</prgn> will also help you to check the file system integrity, by comparing the md5sums of every file against the md5sums used in the Debian package archive. But beware: those files can easily be changed by an attacker and not all packages provide md5sums listings for the binaries they provided. For more information please read <ref id="periodic-integrity"> and <ref id="snapshot">.
fr: Les outils couramment utilisés pour cela sont <package>sxid</package>, <package>aide</package> (Advanced Intrusion Detection Environment), <package>tripwire</package>, <package>integrit</package> et <package>samhain</package>. Installer <tt>debsums</tt> vous aidera également à vérifier l'intégrité du système de fichiers en comparant le md5sum de chaque fichier avec celui utilisé dans l'archive des paquets Debian. Mais faites attention&nbsp;: ces fichiers peuvent facilement être modifiés par un attaquant et tous les paquets ne fournissent pas de listes de md5sum pour les binaires qu'ils fournissent. Pour plus d'informations, veuillez consulter <ref id="periodic-integrity"> et <ref id="snapshot">.

note: type: <p></p>
en: You might want to use <prgn>locate</prgn> to index the whole filesystem, if so, consider the implications of that. The Debian <package>findutils</package> package contains <prgn>locate</prgn> which runs as user nobody, and so it only indexes files which are visible to everybody. However, if you change it's behaviour you will make all file locations visible to all users. If you want to index all the filesystem (not the bits that the user nobody can see) you can replace <prgn>locate</prgn> with the package <package>slocate</package>. slocate is labeled as a security enhanced version of GNU locate, but it actually provides additional file-locating functionality. When using <prgn>slocate</prgn>, the user only sees the files he really has access to and you can exclude any files or directories on the system. The <package>slocate</package> package runs its update process with higher privledges than locate, and indexes every file. Users are then able to quickly search for every file which they are able to see. <prgn>slocate</prgn> doesn't let them see new files; it filters the output based on your UID.
fr: Vous pouvez vouloir utiliser <prgn>locate</prgn> pour indexer le système de fichiers en entier&nbsp;; si vous faites cela, envisagez les implications de cette action. Le paquet <package>findutils</package> de Debian contient <prgn>locate</prgn> qui s'exécute en tant qu'utilisateur nobody, ainsi, il indexe les fichiers qui sont visibles à tous les utilisateurs. Cependant, si vous changez son comportement, vous rendrez les emplacements de tous les fichiers visibles à tous les utilisateurs. Si vous voulez indexer tout le système de fichiers (pas les parties que l'utilisateur nobody peut voir), vous pouvez remplacer <prgn>locate</prgn> par <package>slocate</package>. slocate est étiqueté comme une version améliorée au niveau sécurité de GNU locate, mais il fournit en fait une fonctionnalité de localisation de fichier supplémentaire. Quand il utilise <prgn>slocate</prgn>, l'utilisateur ne peut voir que les fichiers auxquels il a vraiment accès et vous pouvez exclure tout fichier ou répertoire du système. Le paquet <package>slocate</package> exécute le processus de mise à jour avec des privilèges augmentés par rapport à locate et il indexe tous les fichiers. Les utilisateurs peuvent alors rechercher rapidement tout fichier qu'ils peuvent voir. <prgn>slocate</prgn> ne leur laisse pas voir les nouveaux fichiers&nbsp;; il filtre la sortie selon l'UID.

note: type: <p></p>
en: You might want to use <package>bsign</package> or <package>elfsign</package>. <package>elfsign</package> provides an utility to add a digital signature to an ELF binary and a second utility to verify that signature. The current implementation uses PKI to sign the checksum of the binary. The benefits of doing this are that it enables one to determine if a binary has been modified and who created it. <package>bsign</package> uses GPG, <package>elfsign</package> uses PKI (X.509) certificates (OpenSSL).
fr: Vous pourriez utiliser <package>bsign</package> ou <package>elfsign</package>. <package>elfsign</package> fournit un utilitaire pour ajouter une signature numérique à un binaire ELF et un autre pour vérifier cette signature. L'actuelle implémentation utilise PKI pour signer la somme de contrôle du binaire. L'avantage de faire cela est que ceux qui le veulent peuvent déterminer si un binaire a été modifié et qui l'a créé. <package>bsign</package> utilise GPG, <package>elfsign</package> utilise les certificats PKI (X.509, OpenSSL).

note: type: <heading></heading>
en: Setting up setuid check
fr: Mise en place de la vérification setuid

note: type: <p></p>
en: The Debian <package>checksecurity</package> package provides a <prgn>cron</prgn> job that runs daily in <file>/etc/cron.daily/checksecurity</file> <footnote><p>In previous releases, checksecurity was integrated into cron and the file was <file>/etc/cron.daily/standard</file></p></footnote>. This <prgn>cron</prgn> job will run the <prgn>/usr/sbin/checksecurity</prgn> script that will store information of this changes.
fr: Le paquet Debian <package>checksecurity</package> fournit une tâche <prgn>cron</prgn> qui s'exécute tous les jours dans <file>/etc/cron.daily/checksecurity</file> <footnote><p>Dans les versions précédentes, checksecurity était intégré dans cron et le fichier était <file>/etc/cron.daily/standard</file>.</p></footnote>. Cette tâche <prgn>cron</prgn> exécutera le script <prgn>/usr/sbin/checksecurity</prgn> qui sauvegardera les renseignements sur les modifications.

note: type: <p></p>
en: The default behavior does not send this information to the superuser but, instead keeps daily copies of the changes in <file>/var/log/setuid.changes</file>. You should set the MAILTO variable (in <file>/etc/checksecurity.conf</file>) to 'root' to have this information mailed to him. See <manref name="checksecurity" section="8"> for more configuration info.
fr: Le comportement par défaut est de ne pas envoyer cette information au superutilisateur mais à la place de garder une copie quotidienne des modifications dans <file>/var/log/setuid.changes</file>. Vous devrez positionner la variable MAILTO (dans <file>/etc/checksecurity.conf</file>) à «&nbsp;root&nbsp;» pour que ces renseignements lui soient envoyés. Consultez <manref section="8" name="checksecurity"> pour plus d'informations sur la configuration.

note: type: <heading></heading>
en: Securing network access
fr: Sécurisation des accès réseau

note: type: <p></p>
en: FIXME: More (Debian-specific) content needed.
fr: FIXME : Besoin de plus de contenu (spécifique à Debian).

note: type: <heading></heading>
en: Configuring kernel network features
fr: Configuration des options réseau du noyau

note: type: <p><example>
en: Many features of the kernel can be modified while running by echoing something into the <file>/proc</file> file system or by using <prgn>sysctl</prgn>. By entering <tt>/sbin/sysctl -A</tt> you can see what you can configure and what the options are, and it can be modified running <tt>/sbin/sysctl -w variable=value</tt> (see <manref name="sysctl" section="8">). Only in rare cases do you need to edit something here, but you can increase security that way as well. For example:
fr: Beaucoup de fonctionnalités du noyau peuvent être modifiées en cours de fonctionnement en envoyant quelque chose (par la commande <prgn>echo</prgn>) dans le système de fichiers <file>/proc</file> ou en utilisant <prgn>sysctl</prgn>. En entrant <tt>sysctl -A</tt>, vous pouvez voir ce que vous pouvez configurer et quelles sont les options, elles peuvent être modifiées en exécutant <tt>/sbin/sysctl -w variable=valeur</tt> (consultez <manref section="8" name="sysctl">). Vous aurez seulement en de rares occasions à éditer quelque chose ici, mais vous pouvez augmenter la sécurité de cette manière aussi. Par exemple&nbsp;:

note: type: <p></p>
en: This is a <em>Windows emulator</em> because it acts like Windows on broadcast ping if this option is set to 1. That is, ICMP echo requests sent to the broadcast address will be ignored. Otherwise, it does nothing.
fr: C'est un «&nbsp;émulateur Windows&nbsp;» parce que ça agit comme Windows sur les ping de broadcast si celui-ci est positionné à 1. C'est-à-dire que les requêtes d'echo ICMP envoyées à l'adresse broadcast seront ignorées. Sinon, cela ne fait rien.

note: type: <p><example>
en: If you want to prevent you system from answering ICMP echo requests, just enable this configuration option:
fr: Si vous voulez empêcher le système de répondre aux requêtes d'echo ICMP, activez cette option de configuration&nbsp;:

note: type: <p><example>
en: To log packets with impossible addresses (due to wrong routes) on your network use:
fr: Pour enregistrer les paquets avec des adresses impossibles (à cause de routes erronées) sur le réseau, utilisez&nbsp;:

note: type: <p></p>
en: For more information on what things can be done with <file>/proc/sys/net/ipv4/*</file> read <file>/usr/src/linux/Documentation/filesystems/proc.txt</file>. All the options are described thoroughly under <file>/usr/src/linux/Documentation/networking/ip-sysctl.txt</file> <footnote><p>In Debian the <package>kernel-source-<var>version</var></package> packages copy the sources to <file>/usr/src/kernel-source-<var>version</var>.tar.bz2</file>, just substitute <var>version</var> to whatever kernel version sources you have installed</p></footnote>.
fr: Pour plus d'informations sur ce qui peut être fait avec <file>/proc/sys/net/ipv4/*</file>, consultez <file>/usr/src/linux/Documentation/filesystems/proc.txt</file>. Toutes les options sont décrites de façon complète sous <file>/usr/src/linux/Documentation/networking/ip-sysctl.txt</file> <footnote><p>Dans Debian, les paquets <package>kernel-source-<var>version</var></package> copient les sources sous <file>/usr/src/kernel-source-<var>version</var>.tar.bz2</file>, remplacez simplement <var>version</var> par la version des sources du noyau installé.</p></footnote>.

note: type: <heading></heading>
en: Configuring syncookies
fr: Configurer syncookies

note: type: <p><example>
en: This option is a double-edged sword. On the one hand it protects your system against syn packet flooding; on the other hand it violates defined standards (RFCs).
fr: Cette option est à double tranchant. D'un côté, elle protège le système contre le syn packet flooding&nbsp;; d'un autre côté, elle viole les standards définis (RFCs).

note: type: <p><example>
en: If you want to change this option each time the kernel is working you need to change it in <tt>/etc/network/options</tt> by setting <tt>syncookies=yes</tt>. This will take effect when ever <tt>/etc/init.d/networking</tt> is run (which is typically done at boot time) while the following will have a one-time effect until the reboot:
fr: Si vous voulez changer cette option à chaque fois que le noyau fonctionne, vous devez le faire dans <tt>/etc/network/options</tt> en positionnant <tt>syncookies=yes</tt>. Cela prendra effet à chaque fois que <tt>/etc/init.d/networking</tt> est exécuté (ce qui est habituellement fait lors du démarrage) tandis que la commande suivante aura un effet unique jusqu'au prochain redémarrage&nbsp;:

note: type: <p><example>
en: This option will only be available if the kernel is compiled with the <tt>CONFIG_SYNCOOKIES</tt>. All Debian kernels are compiled with this option builtin but you can verify it running:
fr: Cette option n'est dispobile que si vous avez compilé le noyau avec <tt>CONFIG_SYNCOOKIES</tt>. Tous les noyaux Debian sont compilés avec cette option incluse, mais vous pouvez le vérifier en exécutant&nbsp;:

note: type: <p></p>
en: For more information on TCP syncookies read <url id="http://cr.yp.to/syncookies.html">.
fr: Pour plus d'informations sur les syncookies TCP, consultez <url id="http://cr.yp.to/syncookies.html">.

note: type: <heading></heading>
en: Securing the network on boot-time
fr: Sécurisation du réseau pendant l'amorçage

note: type: <p></p>
en: When setting configuration options for the kernel networking you need configure it so that it's loaded every time the system is restarted. The following example enables many of the previous options as well as other useful options.
fr: Quand vous positionnez des options de configuration de réseau du noyau, vous devez le configurer pour que ce soit chargé à chaque fois que le système est redémarré. L'exemple suivant active un grand nombre des options précédentes ainsi que d'autres options utiles.

note: type: <p></p>
en: There are actually two ways to configure your network at boot time. You can configure <file>/etc/sysctl.conf</file> (see: <manref name="sysctl.conf" section="5">) or introduce a script that is called when the interface is enabled. The first option will be applied to all interfaces, whileas the second option allows you to configure this on a per-interface basis.
fr: Il y a en fait deux façons de configurer le réseau au démarrage. Vous pouvez configurer <file>/etc/sysctl.conf</file> (consultez <manref section="5" name="sysctl.conf">) ou introduire un script qui est appelé quand l'interface est activée. La première option sera appliquée à toutes les interfaces alors que la seconde option vous permettra de configurer cela interface par interface.

note: type: <p><example>
en: An example of a <file>/etc/sysctl.conf</file> configuration that will secure some network options at the kernel level is shown below. Notice the comment in it, <file>/etc/network/options</file> might override some values if they contradict those in this file when the <file>/etc/init.d/networking</file> is run (which is later than <file>procps</file> on the startup sequence).
fr: Un exemple de fichier de configuration <file>/etc/sysctl.conf</file> qui sécurisera quelques options de réseau au niveau du noyau est présenté ci-dessous. Notez les commentaires dans ce fichier, <file>/etc/network/options</file> peut forcer certaines options si elles sont en contradiction avec celles de ce fichier lors de l'exécution de <file>/etc/init.d/networking</file> (ce qui a lieu après <file>procps</file> dans la séquence de démarrage).

note: type: <example></example>
en: #
    # /etc/sysctl.conf - Configuration file for setting system variables
    # See sysctl.conf (5) for information. Also see the files under
    # Documentation/sysctl/, Documentation/filesystems/proc.txt, and
    # Documentation/networking/ip-sysctl.txt in the kernel sources 
    # (/usr/src/kernel-$version if you have a kernel-package installed)
    # for more information of the values that can be defined here.
    
    #
    # Be warned that /etc/init.d/procps is executed to set the following
    # variables.  However, after that, /etc/init.d/networking sets some
    # network options with builtin values.  These values may be overridden
    # using /etc/network/options.
    #
    #kernel.domainname = example.com
    
    # Additional settings - adapted from the script contributed
    # by Dariusz Puchala (see below)
    # Ignore ICMP broadcasts
    net/ipv4/icmp_echo_ignore_broadcasts = 1
    #
    # Ignore bogus ICMP errors
    net/ipv4/icmp_ignore_bogus_error_responses = 1
    # 
    # Do not accept ICMP redirects (prevent MITM attacks)
    net/ipv4/conf/all/accept_redirects = 0
    # _or_
    # Accept ICMP redirects only for gateways listed in our default
    # gateway list (enabled by default)
    # net/ipv4/conf/all/secure_redirects = 1
    #
    # Do not send ICMP redirects (we are not a router)
    net/ipv4/conf/all/send_redirects = 0
    #
    # Do not forward IP packets (we are not a router)
    # Note: Make sure that /etc/network/options has 'ip_forward=no'
    net/ipv4/conf/all/forwarding = 0
    #
    # Enable TCP Syn Cookies
    # Note: Make sure that /etc/network/options has 'syncookies=yes'
    net/ipv4/tcp_syncookies = 1
    #
    # Log Martian Packets
    net/ipv4/conf/all/log_martians = 1
    #
    # Turn on Source Address Verification in all interfaces to
    # prevent some spoofing attacks
    # Note: Make sure that /etc/network/options has 'spoofprotect=yes'
    net/ipv4/conf/all/rp_filter = 1
    #
    # Do not accept IP source route packets (we are not a router)
    net/ipv4/conf/all/accept_source_route = 0
fr: #
    # /etc/sysctl.conf - Fichier de configuration pour positionner les
    # variables système
    # Consultez sysctl.conf(5) pour plus de renseignements. Consultez
    # également les fichiers sous Documentation/sysctl/,
    # Documentation/filesystems/proc.txt et
    # Documentation/networking/ip-sysctl.txt dans les sources du noyau
    # (/usr/src/kernel-$version si vous avez installé un paquet de noyau) 
    # pour plus d'informations sur les valeurs qui peuvent être définies ici.
    
    #
    # Attention : /etc/init.d/procps est exécuté pour positionner les
    # variables suivantes. Cependant, après cela, /etc/init.d/networking
    # positionne certaines options réseau avec des valeurs intrinsèques. Ces
    # valeurs peuvent être forcées en utilisant /etc/network/options.
    #
    #kernel.domainname = example.com
    
    # Paramètres supplémentaires - adapté du script fourni
    # par Dariusz Puchala (voir ci-dessous)
    # Ignorer les broadcasts ICMP
    net/ipv4/icmp_echo_ignore_broadcasts = 1
    #
    # Ignorer les erreurs ICMP erronées
    net/ipv4/icmp_ignore_bogus_error_responses = 1
    # 
    # Ne pas accepter les redirections ICMP (empêche les attaques en
    # homme au milieu)
    net/ipv4/conf/all/accept_redirects = 0
    # _ou_
    # N'accepter les redirections ICMP que pour les passerelles
    # de notre liste de passerelles par défaut (activé par défaut)
    # net/ipv4/conf/all/secure_redirects = 1
    #
    # Ne pas accepter les redirections ICMP (ce n'est pas un routeur)
    net/ipv4/conf/all/send_redirects = 0
    #
    # Ne pas faire suivre les paquets IP (ce n'est pas un routeur)
    # Remarque : assurez-vous que /etc/network/options contient
    # « ip_forward=no »
    anet/ipv4/conf/all/forwarding = 0
    #
    # Activer les TCP Syn Cookies
    # Remarque : assurez-vous que /etc/network/options contient
    # « syncookies=yes »
    net/ipv4/tcp_syncookies = 1
    #
    # Enregistrer les paquets martiens
    net/ipv4/conf/all/log_martians = 1
    #
    # Activer la vérification d'adresse source pour toutes les
    # interfaces pour empêcher certaines attaques par usurpation
    # Remarque : assurez-vous que /etc/network/options contient
    # « spoofprotect=yes »
    net/ipv4/conf/all/rp_filter = 1
    #
    # Ne pas accepter les paquets de routage source IP
    # (ce n'est pas un routeur)
    net/ipv4/conf/all/accept_source_route = 0

note: type: <p><example>
en: To use the script you need to first create the script, for example, in <file>/etc/network/interface-secure</file> (the name is given as an example) and call it from <file>/etc/network/interfaces</file> like this:
fr: Pour utiliser le script, vous devez tout d'abord le créer, par exemple, dans <file>/etc/network/interface-secure</file> (le nom est donné comme exemple) et l'appeler à partir de <file>/etc/network/interfaces</file> comme ceci&nbsp;:

note: type: <p><example>
en: In this example, before the interface eth0 is enabled the script will be called to secure all network interfaces as shown below.
fr: Dans cet exemple, avant que l'interface eth0 ne soit activée, le script sera appelé pour sécuriser toutes les interfaces réseau comme montré ci-dessous.

note: type: <example></example>
en: #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing & attacks for all interfaces.
    #
    # Contributed by Dariusz Puchalak.
    #
    echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
                                               # Broadcast echo protection enabled.
    echo 0 > /proc/sys/net/ipv4/conf/all/forwarding
                                               # IP forwarding disabled.
    echo 1 > /proc/sys/net/ipv4/tcp_syncookies # TCP syn cookies protection enabled.
    echo 1 >/proc/sys/net/ipv4/conf/all/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 
                                               # Bad error message protection enabled.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    exit 0
fr: #!/bin/sh -e
    # Nom du script : /etc/network/interface-secure
    #
    # Modification de plusieurs comportements par défaut pour sécuriser contre
    # certaines attaques et usurpations IP pour toutes les interfaces.
    #
    # Fourni par Dariusz Puchalak.
    #
    
    # Activation de la protection broadcast echo.
    echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Désactivation de l'IP forwarding.
    echo 0 > /proc/sys/net/ipv4/conf/all/forwarding
    
    # Activation de la protection TCP syn cookies.
    echo 1 > /proc/sys/net/ipv4/tcp_syncookies
    
    
    # Enregistrement des paquets avec des adresses impossibles
    # (cela comprend les paquets usurpés (spoofed), les paquets routés
    # source, les paquets redirigés), mais faites attention à cela
    # sur les serveurs web très chargés.
    echo 1 >/proc/sys/net/ipv4/conf/all/log_martians 
    
    # Activation de la protection sur les mauvais messages d'erreur.
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
    
    # Protection d'usurpation IP.
    echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
    
    # Désactivation des redirections ICMP.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
    
    # Désactivation des paquets source routés.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    exit 0

note: type: <p><example>
en: Notice that you can actually have per-interface scripts that will enable different network options for different interfaces (if you have more than one), just change the pre-up line to:
fr: Remarquez que vous pouvez en fait avoir des scripts par interface qui activeront différentes options réseau pour différentes interfaces (si vous en avez plus d'une), il vous suffit de changer la ligne pre-up en&nbsp;:

note: type: <p><example>
en: And use a script which will only apply changes to a specific interface, not to all of the interfaces available. Notice that some networking options can only be enabled globally, however. A sample script is this one:
fr: et utiliser un script qui n'applique les changements qu'à une interface spécifique et non à toutes les interfaces disponibles. Notez cependant que certaines options réseau ne peuvent être appliquées que globalement. Un exemple de script est celui-ci&nbsp;:

note: type: <example></example>
en: #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing & attacks for a given interface.
    #
    # Contributed by Dariusz Puchalak.
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0: Must give an interface name as argument!"
       echo "Usage: $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0: Interface $IFACE does not exit (cannot find /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/forwarding  # IP forwarding disabled.
    echo 1 >/proc/sys/net/ipv4/conf/$IFACE/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0
fr: #!/bin/sh -e
    # Nom du script : /etc/network/interface-secure
    #
    # Modifie plusieurs comportements par défaut pour sécuriser contre
    # certaines attaques et usurpations TCP/IP pour une interface donnée.
    #
    # Fourni par Dariusz Puchalak.
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0 : un nom d'interface doit être fourni en argument"
       echo "Utilisation : $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0 : l'interface $IFACE n'existe pas "
       echo "(impossible de trouver /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    # Désactivation de l'IP forwarding.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/forwarding
    
    # Enregistrement des paquets avec des adresses impossibles
    # (cela inclut les paquets usurpés (spoofed), les paquets routés
    # source, les paquets redirigés), mais faites attention à cela
    # sur les serveurs web très chargés.
    echo 1 >/proc/sys/net/ipv4/conf/$IFACE/log_martians
    
    # Protection d'usurpation IP.
    echo 1 > /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Désactivation des redirections ICMP.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Désactivation des paquets source routés.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0

note: type: <p></p>
en: An alternative solution is to create an <tt>init.d</tt> script and have it run on bootup (using <prgn>update-rc.d</prgn> to create the appropriate <tt>rc.d</tt> links).
fr: Vous pouvez également créer un script <tt>init.d</tt> et le faire exécuter au démarrage (en utilisant <prgn>update-rc.d</prgn> pour créer les liens <tt>rc.d</tt> appropriés).

note: type: <heading></heading>
en: Configuring firewall features
fr: Configuration des fonctionnalités de pare-feu

note: type: <p></p>
en: In order to have firewall capabilities, either to protect the local system or others <em>behind</em> it, the kernel needs to be compiled with firewall capabilities. The standard Debian 2.2 kernel (Linux 2.2) provides the packet filter <prgn>ipchains</prgn> firewall, Debian 3.0 standard kernel (Linux 2.4) provides the <em>stateful</em> packet filter <prgn>iptables</prgn> (netfilter) firewall.
fr: De façon à avoir des privilèges de pare-feu, soit pour protéger le système local ou d'autres <em>derrière</em> lui, le noyau doit être compilé avec les options correspondant aux pare-feu. Le noyau standard de Debian 2.2 (Linux 2.2) fournit <prgn>ipchains</prgn> qui est un pare-feu pour filtrer les paquets, le noyau standard de Debian 3.0 (Linux 2.4) fournit lui le pare-feu <prgn>iptables</prgn> (netfilter).

note: type: <p></p>
en: In any case, it is pretty easy to use a kernel different from the one provided by Debian. You can find pre-compiled kernels as packages you can easily install in the Debian system. You can also download the kernel sources using the <package>kernel-source-<var>X</var></package> and build custom kernel packages using <prgn>make-kpkg</prgn> from the <package>kernel-package</package> package.
fr: Dans tous les cas, il est relativement facile d'utiliser un noyau différent de celui fourni par Debian. Vous pouvez trouver des noyaux précompilés sous forme de paquets que vous pouvez facilement installer sur le système Debian. Vous pouvez également télécharger les sources du noyau en utilisant <package>kernel-source-<var>X</var></package> et construire des paquets de noyau personnalisé en utilisant <prgn>make-kpkg</prgn> du paquet <package>kernel-package</package>.

note: type: <p></p>
en: Setting up firewalls in Debian is discussed more thoroughly in <ref id="firewall-setup">.
fr: La mise en place de pare-feu dans Debian est abordée plus en détail dans <ref id="firewall-setup">.

note: type: <heading></heading>
en: Disabling weak-end hosts issues
fr: Désactiver les problèmes d'hôtes weak-end

note: type: <p></p>
en: Systems with more than one interface on different networks can have services configured so that they will bind only to a given IP address. This usually prevents access to services when requested through any other address. However, this does not mean (although it is a common misconception) that the service is bound to a given <em>hardware</em> address (interface card). <footnote><p>To reproduce this (example provided by Felix von Leitner on the Bugtraq mailing list): <example> host a (eth0 connected to eth0 of host b): ifconfig eth0 10.0.0.1 ifconfig eth1 23.0.0.1 tcpserver -RHl localhost 23.0.0.1 8000 echo fnord host b: ifconfig eth0 10.0.0.2 route add 23.0.0.1 gw 10.0.0.1 telnet 23.0.0.1 8000</example></p><p>It seems, however, not to work with services bound to 127.0.0.1, you might need to write the tests using raw sockets.</p></footnote>
fr: Les systèmes avec plus d'une interface sur différents réseaux peuvent avoir des services configurés pour qu'ils ne puissent s'associer qu'à une adresse IP donnée. Cela prévient habituellement les accès aux services quand ils sont interrogés par une adresse donnée. Cependant, cela ne veut pas dire (bien qu'il s'agisse d'une erreur classique) que le service est lié à une adresse <em>matérielle</em> donnée (carte interface). <footnote><p>Pour reproduire cela (exemple fourni par Felix von Leitner sur la liste de diffusion Bugtraq)&nbsp;: <example> hôte a (eth0 connecté sur l'eth0 de l'hôte b) : ifconfig eth0 10.0.0.1 ifconfig eth1 23.0.0.1 tcpserver -RHl localhost 23.0.0.1 8000 echo fnord hôte b : ifconfig eth0 10.0.0.2 route add 23.0.0.1 gw 10.0.0.1 telnet 23.0.0.1 8000</example></p><p>Cela semble, cependant, ne pas fonctionner avec les services liés à 127.0.0.1, vous pourriez devoir écrire des tests utilisant des sockets bruts.</p></footnote>

note: type: <p></p>
en: This is not an ARP issue and it's not an RFC violation (it's called <em>weak end host</em> in <url id="ftp://ftp.isi.edu/in-notes/rfc1122.txt" name="RFC1122">, section 3.3.4.2). Remember, IP addresses have nothing to do with physical interfaces.
fr: Ce n'est pas un problème ARP et ce n'est pas une violation de RFC (c'est ce que l'on appelle le <em>weak end host</em> dans la <url id="ftp://ftp.isi.edu/in-notes/rfc1122.txt" name="RFC1122">, section 3.3.4.2). Rappelez-vous que les adresses IP n'ont rien à voir avec les interfaces physiques.

note: type: <p><example>
en: On 2.2 (and previous) kernels this can be fixed with:
fr: Sur les noyaux 2.2 (et antérieurs), cela peut être corrigé avec&nbsp;:

note: type: <example></example>
en: # echo 1 > /proc/sys/net/ipv4/conf/all/hidden
    # echo 1 > /proc/sys/net/ipv4/conf/eth0/hidden
    # echo 1 > /proc/sys/net/ipv4/conf/eth1/hidden
    .....
fr: # echo 1 > /proc/sys/net/ipv4/conf/all/hidden
    # echo 1 > /proc/sys/net/ipv4/conf/eth0/hidden
    # echo 1 > /proc/sys/net/ipv4/conf/eth1/hidden
    ...

note: type: <p><list>
en: On later kernels this can be fixed either with:
fr: Sur les noyaux suivants, cela peut être corrigé avec&nbsp;:

note: type: <p></p>
en: iptables rules.
fr: des règles iptables ;

note: type: <p></p>
en: properly configured routing. <footnote><p>The fact that this behavior can be changed through routing was described by Matthew G. Marsh in the Bugtraq thread: <example>eth0 = 1.1.1.1/24 eth1 = 2.2.2.2/24 ip rule add from 1.1.1.1/32 dev lo table 1 prio 15000 ip rule add from 2.2.2.2/32 dev lo table 2 prio 16000 ip route add default dev eth0 table 1 ip route add default dev eth1 table 2</example></p></footnote>
fr: un routage correctement configuré<footnote><p>Le fait que ce comportement puisse être changé par le routage a été décrit par Matthew G. Marsh dans l'enfilade sur Bugtraq&nbsp;: <example>eth0 = 1.1.1.1/24 eth1 = 2.2.2.2/24 ip rule add from 1.1.1.1/32 dev lo table 1 prio 15000 ip rule add from 2.2.2.2/32 dev lo table 2 prio 16000 ip route add default dev eth0 table 1 ip route add default dev eth1 table 2</example></p></footnote> ;

note: type: <p></p>
en: kernel patching. <footnote><p>There are some patches available for this behavior as described in Bugtraq's thread at <url id="http://www.linuxvirtualserver.org/~julian/#hidden"> and <url id="http://www.fefe.de/linux-eth-forwarding.diff">.</p></footnote>
fr: des correctifs du noyau<footnote><p>Il existe des correctifs disponibles pour ce comportement comme décrit dans l'enfilade sur Bugtraq à <url id="http://www.linuxvirtualserver.org/~julian/#hidden"> et <url id="http://www.fefe.de/linux-eth-forwarding.diff">.</p></footnote>.

note: type: <p></p>
en: Along this text there will be many occasions in which it is shown how to configure some services (sshd server, apache, printer service...) in order to have them listening on any given address, the reader should take into account that, without the fixes given here, the fix would not prevent accesses from within the same (local) network. <footnote><p>An attacker might have many problems pulling the access through after configuring the IP-address binding if he is not on the same broadcast domain (same network) as the attacked host. If the attack goes through a router it might be quite difficult for the answers to return somewhere.</p></footnote>
fr: Tout au long de ce texte, il y aura plusieurs occasions pour lesquelles il est affiché comment configurer certains services (serveur SSH, Apache, service d'impression, etc.) pour les avoir en attente sur une adresse donnée, le lecteur devra prendre en compte que, sans les correctifs donnés ici, le correctif n'empêchera pas les accès depuis le même réseau (local). <footnote><p>Un attaquant peut avoir beaucoup de problèmes à transférer un accès après une configuration de l'adresse IP s'il n'est pas le domaine de broadcast (même réseau) que l'hôte attaqué. Si l'attaque passe par un routeur, il peut être assez difficile pour les réponses de retourner quelque part. </p></footnote>

note: type: <p></p>
en: FIXME: Comments on Bugtraq indicate there is a Linux specific method to bind to a given interface.
fr: FIXME : Commentaires sur Bugtraq indiquant qu'il existe une méthode spécifique à Linux pour associer à une interface donnée.

note: type: <p></p>
en: FIXME: Submit a bug against netbase so that the routing fix is standard behavior in Debian?
fr: FIXME : Créer un bogue sur netbase pour que le correctif de routage soit le comportement standard dans Debian&nbsp;?

note: type: <heading></heading>
en: Protecting against ARP attacks
fr: Protéger contre les attaques ARP

note: type: <p></p>
en: When you don't trust the other boxes on your LAN (which should always be the case, because it's the safest attitude) you should protect yourself from the various existing ARP attacks.
fr: Quand vous ne faites pas confiance aux autres machines du réseau (ce qui devrait toujours être le cas parce que c'est l'attitude la plus sûre), vous devriez vous protéger contre les différentes attaques ARP existantes.

note: type: <p></p>
en: As you know the ARP protocol is used to link IP addresses to MAC addresses (see <url id="ftp://ftp.isi.edu/in-notes/rfc826.txt" name="RFC826"> for all the details). Every time you send a packet to an IP address an ARP resolution is done (first by looking into the local ARP cache then if the IP isn't present in the cache by broadcasting an ARP query) to find the target's hardware address. All the ARP attacks aim to fool your box into thinking that box B's IP address is associated to the intruder's box's MAC address; Then every packet that you want to send to the IP associated to box B will be send to the intruder's box...
fr: Comme vous le savez, le protocole ARP est utilisé pour lier des adresses IP à des adresses MAC (consultez la <url id="ftp://ftp.isi.edu/in-notes/rfc826.txt" name="RFC826"> pour tous les détails). À chaque fois que vous envoyez un paquet à une adresse IP, une résolution ARP est effectuée (en regardant en premier dans le cache local ARP, puis si l'adresse IP n'est pas présente dans le cache, en diffusant une requête ARP) pour trouver l'adresse matérielle de la cible. Toutes les attaques ARP ont pour but d'amener la machine à croire que l'adresse IP de la machine B est associée à l'adresse MAC de la machine de l'intrus&nbsp;; puis tous les paquets que vous voudrez envoyer à l'adresse IP associée à la machine B seront envoyée à la machine de l'intrus, etc.

note: type: <p></p>
en: Those attacks (ARP cache poisoning, ARP spoofing...) allow the attacker to sniff the traffic even on switched networks, to easily hijack connections, to disconnect any host from the network... ARP attacks are powerful and simple to implement, and several tools exists, such as <prgn>arpspoof</prgn> from the <package>dsniff</package> package or <url id="http://arpoison.sourceforge.net/" name="arpoison">.
fr: Ces attaques (empoisonnement du cache, falsification ARP, etc.) permettent à l'attaquant de renifler le trafic même sur des réseaux utilisant des switchs, pour pirater facilement des connexions, pour déconnecter tout hôte du réseau, etc. Les attaques ARP sont puissantes et simples à implémenter et plusieurs outils existent comme <prgn>arpspoof</prgn> du paquet <package>dsniff</package> ou <url id="http://arpoison.sourceforge.net/" name="arpoison">.

note: type: <p><list>
en: However, there is always a solution:
fr: Cependant, il existe toujours une solution&nbsp;:

note: type: <p><example>
en: Use a static ARP cache. You can set up "static" entries in your ARP cache with:
fr: utiliser un cache ARP statique. Vous pouvez mettre en place des entrées «&nbsp;statiques&nbsp;» dans le cache ARP avec&nbsp;:

note: type: <example></example>
en:   arp -s host_name hdwr_addr
fr:   arp -s nom_d_hôte adresse_matérielle

note: type: <p></p>
en: By setting static entries for each important host in your network you ensure that nobody will create/modify a (fake) entry for these hosts (static entries don't expire and can't be modified) and spoofed ARP replies will be ignored.
fr: En plaçant des entrées statiques pour chaque hôte important du réseau, vous garantissez que personne ne pourra créer ou modifier une entrée (dissimulée) pour ces hôtes (les entrées statiques n'expirent pas et elles ne peuvent pas être modifiées) et les réponses ARP falsifiées seront ignorées ;

note: type: <p></p>
en: Detect suspicious ARP traffic. You can use <package>arpwatch</package>, <package>karpski</package> or more general IDS that can also detect suspicious ARP traffic (<package>snort</package>, <url id="http://www.prelude-ids.org" name="prelude">...).
fr: détecter le trafic ARP suspect. Vous pouvez utiliser <package>arpwatch</package>, <package>karpski</package> ou des IDS plus généraux qui peuvent également détecter le trafic ARP suspect (<package>snort</package>, <url id="http://www.prelude-ids.org" name="prelude">, etc.) ;

note: type: <p></p>
en: Implement IP traffic filtering validating the MAC address.
fr: implémenter un filtrage de trafic IP validant l'adresse MAC.

note: type: <heading></heading>
en: Taking a snapshot of the system
fr: Prendre un instantané («&nbsp;snapshot&nbsp;») du système

note: type: <p></p>
en: Before putting the system into production system you could take a snapshot of the whole system. This snapshot could be used in the event of a compromise (see <ref id="after-compromise">). You should remake this upgrade whenever the system is upgraded, especially if you upgrade to a new Debian release.
fr: Avant de mettre le système en production, vous pouvez prendre un instantané du système entier. Cet instantané pourrait être utilisé en cas de compromission (consultez <ref id="after-compromise">). Vous devriez refaire cette mise à jour à chaque fois que le système est mis à jour, particulièrement si vous mettez à jour vers une nouvelle version de Debian.

note: type: <p></p>
en: For this you can use a writable removable-media that can be set up read-only, this could be a floppy disk (read protected after use), a CD on a CD-ROM unit (you could use a rewritable CD-ROM so you could even keep backups of md5sums in different dates), or a USB disk or MMC card (if your system can access those and they can be write protected).
fr: Pour cela, vous pouvez utiliser un support inscriptible et amovible qui peut être positionné en lecture seule, ce peut être une disquette (en lecture seule après utilisation), un CD d'une unité de CD (vous pourriez utiliser un CD réinscriptible, ainsi vous pourriez même garder des sauvegardes des md5sums à différentes dates), ou un disque USB ou une carte MMC (si le système peut accéder à ceux-ci et qu'ils peuvent être protégés en écriture).

note: type: <p><example>
en: The following script creates such a snapshot:
fr: Le script suivant crée un tel instantané&nbsp;:

note: type: <example></example>
en: #!/bin/bash
    /bin/mount /dev/fd0 /mnt/floppy
    trap "/bin/umount /dev/fd0" 0 1 2 3 9 13 15
    if [ ! -f /usr/bin/md5sum ] ; then
    	echo "Cannot find md5sum. Aborting."
    	exit 1
    fi
    /bin/cp /usr/bin/md5sum /mnt/floppy
    echo "Calculating md5 database"
    >/mnt/floppy/md5checksums.txt
    for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    do
       find $dir -type f | xargs /usr/bin/md5sum >>/mnt/floppy/md5checksums-lib.txt
    done
    echo "post installation md5 database calculated"
    if [ ! -f /usr/bin/sha1sum ] ; then
    	echo "Cannot find sha1sum"
            echo "WARNING: Only md5 database will be stored"
    else
    	/bin/cp /usr/bin/sha1sum /mnt/floppy
    	echo "Calculating SHA-1 database"
    	>/mnt/floppy/sha1checksums.txt
    	for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    	do
    	   find $dir -type f | xargs /usr/bin/sha1sum >>/mnt/floppy/sha1checksums-lib.txt
    	done
    	echo "post installation sha1 database calculated"
    fi
    exit 0
fr: #!/bin/bash
    /bin/mount /dev/fd0 /mnt/floppy
    trap "/bin/umount /dev/fd0" 0 1 2 3 9 13 15
    if [ ! -f /usr/bin/md5sum ] ; then
       echo "Impossible de trouver md5sum. Échec."
       exit 1
    fi
    /bin/cp /usr/bin/md5sum /mnt/floppy
    echo "Calcul de la base de données md5"
    >/mnt/floppy/md5checksums.txt
    for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    do
       find $dir -type f | xargs /usr/bin/md5sum\
    	                     >>/mnt/floppy/md5checksums-lib.txt
    done
    echo "Base de données md5 de post-installation calculée"
    if [ ! -f /usr/bin/sha1sum ] ; then
       echo "Impossible de trouver sha1sum"
       echo "Attention : seule la base de données MD5 sera gardée"
    else
       /bin/cp /usr/bin/sha1sum /mnt/floppy
       echo "Calcul de la base de données SHA-1"
       >/mnt/floppy/sha1checksums.txt
       for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
       do
          find $dir -type f | xargs /usr/bin/sha1sum\
                              >>/mnt/floppy/sha1checksums-lib.txt
      done
      echo "Base de données SHA-1 de post-installation calculée"
    fi
    exit 0

note: type: <p></p>
en: Note that the md5sum binary (and sha1sum, if available) is placed on the floppy drive so it can be used later on to check the binaries of the system (just in case it gets trojaned). However, if you want to make sure that you are running a legitimate binary, you might want to either compile a static copy of the md5sum binary and use that one (to prevent a trojaned libc library from interfering with the binary) or to use the snapshot of md5sums only from a clean environment such as a rescue CD-ROM or a Live-CD (to prevent a trojaned kernel from interfering). I cannot stress this enough: if you are on a compromised system you cannot trust its output, see <ref id="after-compromise">.
fr: Notez que le binaire md5sum (et le binaire sha1sum, s'il est disponible) est placé sur la disquette pour pouvoir être utilisé plus tard pour vérifier les binaires du système (juste au cas où il serait aussi corrompu). Cependant, si vous voulez vous assurer que vous exécutez bien un binaire légitime, vous pouvez vouloir, soit compiler une copie statique du binaire md5sum et utiliser celui-ci (pour empêcher une bibliothèque libc corrompue d'interférer avec le binaire), soit utiliser des instantanés de md5sums depuis un environnement propre exclusivement comme un CD de récupération ou un CD autonome (pour empêcher un noyau corrompu d'interférer). Je ne peux insister assez sur ce point&nbsp;: si vous êtes sur un système compromis, vous ne pouvez pas faire confiance à ce qui s'affiche, consultez <ref id="after-compromise">.

note: type: <p><list>
en: The snapshot does not include the files under <file>/var/lib/dpkg/info</file> which includes the MD5 hashes of installed packages (in files ending with <file>.md5sums</file>). You could copy this information along too, however you should notice:
fr: L'instantané n'inclut pas les fichiers sous <file>/var/lib/dpkg/info</file> qui incluent les sommes de hachage MD5 des paquets installés (dans les fichiers se terminant par <file>.md5sums</file>). Vous pourriez également y copier ces renseignements, veuillez cependant noter que&nbsp;:

note: type: <p></p>
en: the md5sums files include the md5sum of all files provided by the Debian packages, not just system binaries. As a consequence, that database is bigger (5 Mb versus 600 Kb in a Debian GNU/Linux system with a graphical system and around 2.5 Gb of software installed) and will not fit in small removable media (like a single floppy disk, but would probably fit in a removable USB memory).
fr: les fichiers md5sums incluent les md5sums de tous les fichiers fournis par les paquets Debian, pas seulement les binaires système. Par conséquent, la base de données est plus importante (5&nbsp;Mo contre 600&nbsp;ko dans un système Debian GNU/Linux avec un système graphique et environ 2,5&nbsp;Go de logiciels installés) et elle ne tiendra sur un petit support amovible (comme une simple disquette, mais tiendra sans doute sur une clef USB) ;

note: type: <p><example>
en: not all Debian packages provide md5sums for the files installed since it is not (currently) mandated policy. Notice, however, that you can generate the md5sums for all packages using <package>debsums</package> after you've finished the system installation:
fr: tous les paquets Debian ne fournissent pas les md5sums pour les fichiers installé car ce n'est pas (actuellement) imposé par la Charte. Notez, cependant, que vous pouvez générer les md5sums pour tous les paquets en utilisant <package>debsums</package> après avoir fini l'installation du système&nbsp;:

note: type: <p></p>
en: Once the snapshot is done you should make sure to set the medium read-only. You can then store it for backup or place it in the drive and use it to drive a <prgn>cron</prgn> check nightly comparing the original md5sums against those on the snapshot.
fr: Une fois que l'instantané est fait, vous devriez vous assurer de placer le support en lecture seule. Vous pouvez ensuite le stocker pour archivage ou le placer dans le lecteur et utiliser une vérification <prgn>cron</prgn> toutes les nuits en comparant les md5sums d'origine avec ceux de l'instantané.

note: type: <p></p>
en: If you do not want to setup a manual check you can always use any of the integrity systems available that will do this and more, for more information please read <ref id="periodic-integrity">.
fr: Si vous ne voulez pas configurer de vérification manuelle, vous pouvez toujours utiliser n'importe quel système d'intégrité disponible qui fera cela et plus, pour de plus amples renseignements, veuillez consulter <ref id="periodic-integrity">.

note: type: <heading></heading>
en: Other recommendations
fr: Autres recommandations

note: type: <heading></heading>
en: Do not use software depending on svgalib
fr: N'utilisez pas de logiciels dépendant de svgalib

note: type: <p></p>
en: SVGAlib is very nice for console lovers like me, but in the past it has been proven several times that it is very insecure. Exploits against <prgn>zgv</prgn> were released, and it was simple to become root. Try to prevent using SVGAlib programs wherever possible.
fr: SVGAlib est très bien pour les amoureux de la console mais s'est montrée très peu sûre par le passé. Des exploitations de failles de <prgn>zgv</prgn> ont été diffusées et il était facile de devenir superutilisateur. Essayez d'éviter l'utilisation de programmes utilisant la SVGAlib chaque fois que c'est possible.

note: type: <heading></heading>
en: Securing services running on your system
fr: Sécurisation des services du système

note: type: <p><list>
en: Services can be secured in a running system in two ways:
fr: Les services présents sur un système peuvent être sécurisés de deux façons&nbsp;:

note: type: <p></p>
en: Making them only accessible at the access points (interfaces) they need to be in.
fr: les rendre accessibles uniquement aux points d'accès (interfaces) nécessaires ;

note: type: <p></p>
en: Configuring them properly so that they can only be used by legitimate users in an authorized manner.
fr: les configurer correctement ainsi seuls les utilisateurs habilités pourront les utiliser.

note: type: <p></p>
en: Restricting services so that they can only be accessed from a given place can be done by restricting access to them at the kernel (i.e. firewall) level, configure them to listen only on a given interface (some services might not provide this feature) or using some other methods, for example the Linux vserver patch (for 2.4.16) can be used to force processes to use only one interface.
fr: Restreindre les services pour qu'ils ne soient accessibles que depuis un endroit bien spécifique peut être fait au niveau du noyau (pare-feu), configurez les services pour écouter uniquement sur une interface définie (certains services ne fournissent peut-être pas cette fonctionnalité) ou utilisez tout autre méthode, par exemple le correctif vserver pour Linux (2.4.16) peut être utilisé pour forcer les processus à n'utiliser qu'une interface.

note: type: <p><example>
en: Regarding the services running from <prgn>inetd</prgn> (<prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>finger</prgn>, <prgn>pop3</prgn>...) it is worth noting that <prgn>inetd</prgn> can be configured so that services only listen on a given interface (using <tt>service@ip</tt> syntax) but that's an undocumented feature. One of its substitutes, the <prgn>xinetd</prgn> meta-daemon includes a <tt>bind</tt> option just for this matter. See <manref name="xinetd.conf" section="5">.
fr: Concernant les services lancés par <prgn>inetd</prgn> (<prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>finger</prgn>, <prgn>pop3</prgn>, etc.), il est à noter que inetd peut être configuré pour que les services n'écoutent que sur une interface précise (en utilisant la syntaxe <tt>service@ip</tt>), mais c'est une fonctionnalité non documentée. L'un de ses remplaçants, le métadémon <prgn>xinetd</prgn>, inclut une option <tt>bind</tt> pour faire cela. Consultez <manref section="5" name="xinetd.conf">.

note: type: <p></p>
en: The following sections detail how specific individual services can be configured properly depending on their intended use.
fr: Les paragraphes suivants détaillent comment déterminer les services qui peuvent être configurés correctement en fonction de leur utilisation.

note: type: <heading></heading>
en: Securing ssh
fr: Sécurisation de SSH

note: type: <p></p>
en: If you are still running telnet instead of ssh, you should take a break from this manual and change this. Ssh should be used for all remote logins instead of telnet. In an age where it is easy to sniff Internet traffic and get clear-text passwords, you should use only protocols which use cryptography. So, perform an <tt>apt-get install ssh</tt> on your system now.
fr: Si vous utilisez toujours TELNET au lieu de SSH, vous devriez prendre une pause dans la lecture de ce manuel pour remédier à cela. SSH devrait être utilisé pour toutes les connexions distantes à la place de TELNET. À une époque où il est facile de scruter le trafic Internet et d'obtenir les mots de passe en clair, vous devriez utiliser uniquement les protocoles qui utilisent la cryptographie. Par conséquent, effectuez maintenant un <tt>apt-get install ssh</tt> sur le système.

note: type: <p><list>
en: Encourage all the users on your system to use ssh instead of telnet, or even better, uninstall telnet/telnetd. In addition you should avoid logging into the system using ssh as root and use alternative methods to become root instead, like <prgn>su</prgn> or <prgn>sudo</prgn>. Finally, the <file>sshd_config</file> file, in <file>/etc/ssh</file>, should be modified to increase security as well:
fr: Encourager tous les utilisateurs du système à utiliser SSH au lieu de TELNET, ou mieux encore, désinstallez telnet/telnetd. De plus, vous devriez éviter de vous connecter au système en utilisant SSH en tant que superutilisateur et préférer l'utilisation de méthodes alternatives pour devenir superutilisateur comme <tt>su</tt> ou <tt>sudo</tt>. Enfin, le fichier <file>sshd_config</file>, dans <file>/etc/ssh</file>, devrait être modifié comme suit pour accroître la sécurité.

note: type: <p></p>
en: Have ssh listen only on a given interface, just in case you have more than one (and do not want ssh available on it) or in the future add a new network card (and don't want ssh connections from it).
fr: Ne faîtes écouter SSH que sur une interface donnée, juste au cas où vous en ayez plus d'une (et ne voulez pas que SSH y soit disponible) ou si vous ajoutez, dans le futur, une nouvelle carte réseau (et ne voulez pas de connexions SSH dessus).

note: type: <p></p>
en: Try not to permit Root Login wherever possible. If anyone wants to become root via ssh, now two logins are needed and the root password cannot be brute forced via SSH.
fr: Essayez autant que possible de ne pas autoriser de connexion en tant que superutilisateur. Si quelqu'un veut devenir superutilisateur par SSH, deux connexions sont maintenant nécessaires et le mot de passe du superutilisateur ne peut être attaqué par force brute par SSH.

note: type: <p></p>
en: <tt>Port 666</tt> or <tt>ListenAddress 192.168.0.1:666</tt>
fr: <tt>Port 666</tt> ou <tt>ListenAddress 192.168.0.1:666</tt>

note: type: <p></p>
en: Change the listen port, so the intruder cannot be completely sure whether a sshd daemon runs (be forewarned, this is security by obscurity).
fr: Change le port d'écoute, ainsi l'intrus ne peut être complètement sûr de l'exécution d'un démon sshd (soyez prévenus, c'est de la sécurité par l'obscurité).

note: type: <p></p>
en: Empty passwords make a mockery of system security.
fr: Les mots de passe vides sont un affront au système de sécurité.

note: type: <p></p>
en: <tt>AllowUsers alex ref me@somewhere</tt>
fr: <tt>AllowUsers alex ref</tt>

note: type: <p></p>
en: Allow only certain users to have access via ssh to this machine. <tt>user@host</tt> can also be used to restrict a given user from accessing only at a given host.
fr: Autorise seulement certains utilisateurs à avoir accès par SSH à cette machine. <tt>user@host</tt> peut également être utilisé pour n'autoriser l'accès qu'à un utilisateur donné depuis un hôte donné.

note: type: <p></p>
en: Allow only certain group members to have access via ssh to this machine. AllowGroups and AllowUsers have equivalent directives for denying access to a machine. Not surprisingly they are called "DenyUsers" and "DenyGroups".
fr: Autorise seulement certains membres de groupes à avoir accès par SSH à cette machine. AllowGroups et AllowUsers ont des directives équivalentes pour interdire l'accès à la machine. Sans surprise elles s'appellent «&nbsp;DenyUsers&nbsp;» et «&nbsp;DenyGroups&nbsp;».

note: type: <p></p>
en: It is completely your choice what you want to do. It is more secure to only allow access to the machine from users with ssh-keys placed in the <file>~/.ssh/authorized_keys</file> file. If you want so, set this one to "no".
fr: Il vous appartient complètement de décider ce que vous voulez faire. Il est plus sûr d'autoriser l'accès à la machine uniquement aux utilisateurs avec des clefs SSH placées dans le fichier <file>~/.ssh/authorized_keys</file>. Si c'est ce que vous voulez, positionnez cette option à « no ».

note: type: <p></p>
en: Disable any form of authentication you do not really need, if you do not use, for example <tt>RhostsRSAAuthentication</tt>, <tt>HostbasedAuthentication</tt>, <tt>KerberosAuthentication</tt> or <tt>RhostsAuthentication</tt> you should disable them, even if they are already by default (see the manpage <manref name="sshd_config" section="5">).
fr: Désactiver toute forme d'autorisation dont vous n'avez pas réellement besoin&nbsp; si vous n'utilisez pas, par exemple, <tt>RhostsRSAAuthentication</tt>, <tt>HostbasedAuthentication</tt>, <tt>KerberosAuthentication</tt> ou <tt>RhostsAuthentication</tt>, vous devriez les désactiver même s'ils le sont déjà par défaut (consultez la page de manuel <manref section="5" name="sshd_config">).

note: type: <p></p>
en: <tt>Protocol 2</tt>
fr: <tt>Protocole 2</tt>

note: type: <p></p>
en: Disable the protocol version 1, since it has some design flaws that make it easier to crack passwords. For more information read <url id="http://earthops.net/ssh-timing.pdf" name="a paper regarding ssh protocol problems"> or the <url id="http://xforce.iss.net/static/6449.php" name="Xforce advisory">.
fr: Désactiver le protocole version 1, car il a des défauts de conception qui facilitent le piratage de mots de passe. Pour obtenir de plus amples renseignements, consultez <url id="http://earthops.net/ssh-timing.pdf" name="un article concernant les problèmes du protocole SSH"> ou le <url id="http://xforce.iss.net/static/6449.php" name="bulletin d'alerte Xforce">.

note: type: <p></p>
en: <tt>Banner <file>/etc/<var>some_file</var></file></tt>
fr: <tt>Bannière /etc/<var>un_fichier</var></tt>

note: type: <p></p>
en: Add a banner (it will be retrieved from the file) to users connecting to the ssh server. In some countries sending a warning before access to a given system about unauthorized access or user monitoring should be added to have legal protection.
fr: Ajouter une bannière (elle sera récupérée du fichier) pour les utilisateurs se connectant au serveur SSH. Dans certains pays, envoyer un avertissement avant l'accès à un système donné avertissant des accès non autorisés ou du suivi des utilisateurs devrait être ajouté pour avoir une protection légale.

note: type: <p><example>
en: You can also restrict access to the ssh server using <tt>pam_listfile</tt> or <tt>pam_wheel</tt> in the PAM control file. For example, you could keep anyone not listed in <file>/etc/loginusers</file> away by adding this line to <file>/etc/pam.d/ssh</file>:
fr: Vous pouvez également restreindre l'accès au serveur ssh en utilisant <tt>pam_listfile</tt> ou <tt>pam_wheel</tt> dans le fichier de contrôle PAM. Par exemple, vous pourriez bloquer tous les utilisateurs qui ne sont pas dans <file>/etc/loginusers</file> en ajoutant cette ligne à <file>/etc/pam.d/ssh</file>&nbsp;:

note: type: <example></example>
en: auth       required     pam_listfile.so sense=allow onerr=fail item=user file=/etc/loginusers
fr: auth required pam_listfile.so sense=allow onerr=fail item=user file=/etc/loginusers

note: type: <p></p>
en: As a final note, be aware that these directives are from a OpenSSH configuration file. Right now, there are three commonly used SSH daemons, ssh1, ssh2, and OpenSSH by the OpenBSD people. Ssh1 was the first ssh daemon available and it is still the most commonly used (there are rumors that there is even a Windows port). Ssh2 has many advantages over ssh1 except it is released under a closed-source license. OpenSSH is completely free ssh daemon, which supports both ssh1 and ssh2. OpenSSH is the version installed on Debian when the package <package>ssh</package> is chosen.
fr: Pour finir, soyez conscient que ces directives proviennent d'un fichier de configuration OpenSSH. Actuellement, trois démons SSH sont couramment utilisés, ssh1, ssh2, et OpenSSH par les gens d'OpenBSD. ssh1 était le premier démon SSH disponible et est toujours le plus couramment utilisé (il y a même des rumeurs à propos d'un portage pour Windows). ssh2 a beaucoup d'avantages par rapport à ssh1 sauf qu'il est diffusé sous une licence non libre. OpenSSH est un démon SSH complètement libre, qui gère à la fois ssh1 et ssh2. OpenSSH est la version installée sur Debian quand le paquet <package>ssh</package> est choisi.

note: type: <p></p>
en: You can read more information on how to set up SSH with PAM support in the <url id="http://lists.debian.org/debian-security/2001/debian-security-200111/msg00395.html" name="security mailing list archives">.
fr: Vous pouvez obtenir plus d'informations concernant la mise en place de SSH avec la prise en charge PAM dans les <url id="http://lists.debian.org/debian-security/2001/debian-security-200111/msg00395.html" name="archives de la liste de discussion sécurité">.

note: type: <heading></heading>
en: Chrooting ssh
fr: Chrooter SSH

note: type: <p></p>
en: Currently OpenSSH does not provide a way to chroot automatically users upon connection (the commercial version does provide this functionality). However there is a project to provide this functionality for OpenSSH too, see <url id="http://chrootssh.sourceforge.net">, it is not currently packaged for Debian, though. You could use, however, the <file>pam_chroot</file> module as described in <ref id="user-restrict">.
fr: OpenSSH ne fournit pas de moyen à l'heure actuelle pour chrooter automatiquement les utilisateurs lors de la connexion (la version commerciale fournit cette fonctionnalité). Cependant, il existe un projet ayant pour but de fournir cette fonctionnalité pour OpenSSH également, consultez <url id="http://chrootssh.sourceforge.net">, il n'est cependant pas empaqueté pour Debian actuellement. Vous pourriez cependant utiliser le module <file>pam_chroot</file> module comme décrit dans <ref id="user-restrict">.

note: type: <p></p>
en: In <ref id="chroot-ssh-env"> you can find several options to make a chroot environment for SSH.
fr: Dans <ref id="chroot-ssh-env">, vous pouvez trouver plusieurs options pour créer un environnement chroot pour SSH.

note: type: <heading></heading>
en: Ssh clients
fr: Clients SSH

note: type: <p></p>
en: If you are using an SSH client against the SSH server you must make sure that it supports the same protocols that are enforced on the server. For example, if you use the <package>mindterm</package> package, it only supports protocol version 1. However, the sshd server is, by default, configured to only accept version 2 (for security reasons).
fr: Si vous utilisez un client SSH pour se connecter au serveur SSH, vous devez vous assurer qu'il prend en charge les mêmes protocoles que ceux utilisés sur le serveur. Par exemple, si vous utilisez le paquet <package>mindterm</package>, il ne prend en charge que le protocole version 1. Cependant, le serveur sshd est, par défaut, configuré pour n'accepter que la version 2 (pour des raisons de sécurité).

note: type: <heading></heading>
en: Disallowing file transfers
fr: Interdire les transferts de fichiers

note: type: <p></p>
en: If you do <em>not</em> want users to transfer files to and from the ssh server you need to restrict access to the <prgn>sftp-server</prgn> <em>and</em> the <prgn>scp</prgn> access. You can restrict <prgn>sftp-server</prgn> by configuring the proper <tt>Subsystem</tt> in the <file>/etc/ssh/sshd_config</file>.
fr: Si vous ne voulez <em>pas</em> que les utilisateurs transfèrent des fichiers depuis et vers le serveur ssh, vous devez restreindre l'accès au <prgn>sftp-server</prgn> <em>et</em> l'accès <prgn>scp</prgn>. Vous pouvez restreindre <prgn>sftp-server</prgn> en configurant le bon <tt>Subsystem</tt> dans <file>/etc/ssh/sshd_config</file>.

note: type: <p></p>
en: You can also chroot users (using <package>libpam-chroot</package> so that, even if file transfer is allowed, they are limited to an environment which does not include any system files.
fr: Vous pouvez aussi cloisonner les utilisateurs dans un chroot (en utilisant <package>libpam-chroot</package> de telle sorte que même si le transfert de fichiers est autorisé, ils soient limités à un environnement qui ne contient aucun fichier système.

note: type: <heading></heading>
en: Restricing access to file transfer only
fr: Restriction d'accès au seul transfert de fichiers

note: type: <p><list>
en: You might want to restrict access to users so that they can only do file transfers and cannot have interactive shells. In order to do this you can either:
fr: Vous pourriez restreindre l'accès aux utilisateurs pour leur permettre seulement le transfert de fichiers sans interpréteur de commandes interactif. Pour faire cela, vous pouvez :

note: type: <p></p>
en: disallow users from login to the ssh server (as described above either through the configuration file or PAM configuration).
fr: soit interdire les connexions d'utilisateurs au serveur SSH (comme décrit ci-dessus par le fichier de configuration ou par la configuration PAM) ;

note: type: <p></p>
en: give users a restricted shell such as <package>scponly</package> or <package>rssh</package>. These shells restrict the commands available to the users so that they are not provided any remote execution priviledges.
fr: soit donner aux utilisateurs un interpréteur de commandes restreint comme <package>scponly</package> ou <package>rssh</package>. Ces interpréteurs de commandes restreignent les commandes disponibles pour les utilisateurs afin de ne pas leur donner de droits d'exécution à distance.

note: type: <heading></heading>
en: Securing Squid
fr: Sécurisation de Squid

note: type: <p><example>
en: Squid is one of the most popular proxy/cache server, and there are some security issues that should be taken into account. Squid's default configuration file denies all users requests. However the Debian package allows access from 'localhost', you just need to configure your browser properly. You should configure Squid to allow access to trusted users, hosts or networks defining an Access Control List on <file>/etc/squid/squid.conf</file>, see the <url id="http://www.deckle.co.za/squid-users-guide/Main_Page" name="Squid User's Guide"> for more information about defining ACLs rules. Notice that Debian provides a minimum configuration for Squid that will prevent anything, except from <em>localhost</em> to connect to your proxy server (which will run in the default port 3128). You will need to customize your <file>/etc/squid/squid.conf</file> as needed. The recommended minimum configuration (provided with the package) is shown below:
fr: Squid est l'un des plus populaires serveurs mandataire («&nbsp;proxy&nbsp;») et cache et certains problèmes de sécurité sont à prendre en compte. Le fichier de configuration par défaut de Squid refuse toutes les requêtes d'utilisateurs. Cependant, le paquet Debian permet l'accès depuis «&nbsp;localhost&nbsp;», il est simplement nécessaire de configurer le navigateur correctement. Vous devriez configurer Squid pour permettre l'accès aux utilisateurs, hôtes ou réseaux de confiance en définissant une liste de contrôle d'accès (ACL) dans <file>/etc/squid/squid.conf</file>. Consultez le <url id="http://www.deckle.co.za/squid-users-guide/Main_Page" name="Guide d'utilisateur de Squid"> pour plus d'informations à propos des règles ACL. Veuillez noter que Debian fournit une configuration minimale pour Squid qui empêche tout, à l'exception de la connexion de <em>localhost</em> au serveur mandataire (qui fonctionnera sur le port 3128 par défaut). Vous devrez personnaliser le fichier<file>/etc/squid/squid.conf</file> comme nécessaire. La configuration minimale recommandée (fournie avec le paquet) est indiquée ci-dessous&nbsp;:

note: type: <example></example>
en: acl all src 0.0.0.0/0.0.0.0
    acl manager proto cache_object
    acl localhost src 127.0.0.1/255.255.255.255
    acl SSL_ports port 443 563
    acl Safe_ports port 80          # http
    acl Safe_ports port 21          # ftp
    acl Safe_ports port 443 563     # https, snews
    acl Safe_ports port 70          # gopher
    acl Safe_ports port 210         # wais
    acl Safe_ports port 1025-65535  # unregistered ports
    acl Safe_ports port 280         # http-mgmt
    acl Safe_ports port 488         # gss-http
    acl Safe_ports port 591         # filemaker
    acl Safe_ports port 777         # multiling http
    acl Safe_ports port 901         # SWAT
    acl purge method PURGE
    acl CONNECT method CONNECT
    (...)
    # Only allow cachemgr access from localhost
    http_access allow manager localhost
    http_access deny manager
    # Only allow purge requests from localhost
    http_access allow purge localhost
    http_access deny purge
    # Deny requests to unknown ports
    http_access deny !Safe_ports
    # Deny CONNECT to other than SSL ports
    http_access deny CONNECT !SSL_ports
    #
    # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
    #
    http_access allow localhost
    # And finally deny all other access to this proxy
    http_access deny all
    #Default:
    # icp_access deny all
    #
    #Allow ICP queries from everyone
    icp_access allow all
fr: acl all src 0.0.0.0/0.0.0.0
    acl manager proto cache_object
    acl localhost src 127.0.0.1/255.255.255.255
    acl SSL_ports port 443 563
    acl Safe_ports port 80          # http
    acl Safe_ports port 21          # ftp
    acl Safe_ports port 443 563     # https, snews
    acl Safe_ports port 70          # gopher
    acl Safe_ports port 210         # wais
    acl Safe_ports port 1025-65535  # ports non enregistrés
    acl Safe_ports port 280         # http-mgmt
    acl Safe_ports port 488         # gss-http
    acl Safe_ports port 591         # filemaker
    acl Safe_ports port 777         # multiling http
    acl Safe_ports port 901         # SWAT
    acl purge method PURGE
    acl CONNECT method CONNECT
    (...)
    # Ne permet l'accès à cachemgr que depuis localhost
    http_access allow manager localhost
    http_access deny manager
    # Ne permet des requêtes de purge que depuis localhost
    http_access allow purge localhost
    http_access deny purge
    # Interdit les requêtes sur des ports inconnus
    http_access deny !Safe_ports
    # Interdit CONNECT sur tout autre port que SSL
    http_access deny CONNECT !SSL_ports
    #
    # INSÉRER VOS PROPRES RÈGLES ICI POUR PERMETTRE L'ACCÈS
    # DEPUIS LES CLIENTS
    #
    http_access allow localhost
    # Et enfin, interdit tout autre accès à ce mandataire
    http_access deny all
    # Par défaut :
    # icp_access deny all
    #
    # Permet les requêtes ICP à tout le monde
    icp_access allow all

note: type: <p></p>
en: You should also configure Squid based on your system resources, including cache memory (option <tt>cache_mem</tt>), location of the cached files and the amount of space they will take up on disk (option <tt>cache_dir</tt>).
fr: Vous pouvez également configurer Squid selon vos ressources système, en incluant la mémoire cache (option <tt>cache_mem</tt>), l'emplacement de vos fichiers du cache et la quantité d'espace qu'ils prendront sur disque (option <tt>cache_dir</tt>).

note: type: <p></p>
en: Notice that, if not properly configured, someone may relay a mail message through Squid, since the HTTP and SMTP protocols are designed similarly. Squid's default configuration file denies access to port 25. If you wish to allow connections to port 25 just add it to Safe_ports lists. However, this is <em>NOT</em> recommended.
fr: Notez que, s'il n'est pas configuré correctement, n'importe qui peut relayer un message par l'intermédiaire de Squid, puisque les protocoles HTTP et SMTP sont conçus de façon similaire. Le fichier de configuration par défaut interdit l'accès au port 25. Si vous voulez autoriser les connexions sur ce port, il vous faudra l'ajouter dans la liste des Safe_ports (ports autorisés). Cependant, ce n'est <em>PAS</em> recommandé.

note: type: <p><list>
en: Setting and configuring the proxy/cache server properly is only part of keeping your site secure. Another necessary task is to analyze Squid's logs to assure that all things are working as they should be working. There are some packages in Debian GNU/Linux that can help an administrator to do this. The following packages are available in Debian 3.0 and Debian 3.1 (sarge):
fr: Installer et configurer le serveur mandataire et le cache correctement ne représente qu'une partie de la sécurisation du site. Une autre tâche nécessaire réside dans l'analyse des journaux de Squid pour s'assurer que tout fonctionne comme prévu. Quelques paquets dans Debian GNU/Linux peuvent aider l'administrateur dans cette tâche. Les paquets suivant sont disponibles dans Debian 3.0 et Debian 3.1 (Sarge)  :

note: type: <p></p>
en: <package>calamaris</package> - Log analyzer for Squid or Oops proxy log files.
fr: <package>calamaris</package> - Analyseur des journaux pour serveurs mandataires Squid ou Oops

note: type: <p></p>
en: <package>modlogan</package> - A modular logfile analyzer.
fr: <package>modlogan</package> - Analyseur modulaire de journaux

note: type: <p></p>
en: <package>sarg</package> - Squid Analysis Report Generator.
fr: <package>sarg</package> - Création de compte-rendu d'analyse de Squid

note: type: <p></p>
en: <package>squidtaild</package> - Squid log monitoring program.
fr: <package>squidtaild</package> - Programme de surveillance des journaux de Squid

note: type: <p></p>
en: When using Squid in Accelerator Mode it acts as a web server too. Turning on this option increases code complexity, making it less reliable. By default Squid is not configured to act as a web server, so you don't need to worry about this. Note that if you want to use this feature be sure that it is really necessary. To find more information about Accelerator Mode on Squid see the <url id="http://www.deckle.co.za/squid-users-guide/Accelerator_Mode" name="Squid User's Guide - Accelerator Mode">
fr: Quand vous utilisez Squid en Accelerator Mode, il se comporte également comme un serveur web. Activer cette option augmente la complexité du code, le rendant moins fiable. Par défaut, Squid n'est pas configuré pour se comporter comme un serveur web, donc vous n'avez pas besoin de vous tracasser à cause de cela. Notez que si vous désirez utiliser cette fonctionnalité, assurez-vous qu'elle est vraiment nécessaire. Pour trouver plus d'informations à propos de l'Accelerator Mode de Squid, consultez le <url id="http://www.deckle.co.za/squid-users-guide/Accelerator_Mode" name="Guide de l'utilisateur de Squid - Accelerator Mode">.

note: type: <heading></heading>
en: Securing FTP
fr: Sécurisation de FTP

note: type: <p><example>
en: If you really have to use FTP (without wrapping it with sslwrap or inside a SSL or SSH tunnel), you should chroot ftp into the ftp users' home directory, so that the user is unable to see anything else than their own directory. Otherwise they could traverse your root file system just like if they had a shell in it. You can add the following line in your <file>proftpd.conf</file> in your global section to enable this chroot feature:
fr: Si vous avez réellement besoin d'utiliser FTP (sans l'emballer avec sslwrap ou à l'intérieur d'un tunnel SSL ou SSH), vous devriez «&nbsp;chrooter&nbsp;» FTP dans le répertoire personnel de l'utilisateur, ainsi l'utilisateur ne pourra rien voir d'autre que ses propres répertoires. Autrement, il pourrait parcourir le système comme s'il disposait d'un interpréteur de commandes. Vous pouvez ajouter la ligne suivante dans la section global de <file>proftpd.conf</file> pour activer ce chroot&nbsp;:

note: type: <p></p>
en: Restart ProFTPd by <tt>/etc/init.d/proftpd restart</tt> and check whether you can escape from your homedir now.
fr: Redémarrez ProFTPD par <tt>/etc/init.d/proftpd restart</tt> et vérifiez si vous pouvez sortir de votre propre répertoire personnel.

note: type: <p></p>
en: To prevent ProFTPd DoS attacks using ../../.., add the following line in <file>/etc/proftpd.conf</file>: <tt>DenyFilter \*.*/</tt>
fr: Pour prévenir ProFTPD d'attaques par déni de service avec l'utilisation de ../../.., ajoutez la ligne suivante dans <file>/etc/proftpd.conf</file>&nbsp;: <tt>DenyFilter \*.*/</tt>

note: type: <p></p>
en: Always remember that FTP sends login and authentication passwords in clear text (this is not an issue if you are providing an anonymous public service) and there are better alternatives in Debian for this. For example, <prgn>sftp</prgn> (provided by <package>ssh</package>). There are also free implementations of SSH for other operating systems: <url id="http://www.chiark.greenend.org.uk/~sgtatham/putty/" name="putty"> and <url id="http://www.cygwin.com" name="cygwin"> for example.
fr: Rappelez-vous toujours que FTP envoie les identifiants et les mots de passe d'authentification en clair (ce n'est pas un problème si vous fournissez un service public anonyme) et il existe de meilleures alternatives dans Debian pour cela. Par exemple, <prgn>sftp</prgn> (fourni par <package>ssh</package>). Il existe également d'autres implémentations de SSH pour d'autres systèmes d'exploitation&nbsp;: <url id="http://www.chiark.greenend.org.uk/~sgtatham/putty/" name="putty"> et <url id="http://www.cygwin.com" name="cygwin"> par exemple.

note: type: <p></p>
en: However, if you still maintain the FTP server while making users access through SSH you might encounter a typical problem. Users accessing anonymous FTP servers inside SSH-secured systems might try to log in the <em>FTP server</em>. While the access will be refused, the password will nevertheless be sent through the net in clear form. To avoid that, ProFTPd developer TJ Saunders has created a patch that prevents users feeding the anonymous FTP server with valid SSH accounts. More information and patch available at: <url id="http://www.castaglia.org/proftpd/#Patches" name="ProFTPD Patches">. This patch has been reported to Debian too, see <url id="http://bugs.debian.org/145669" name="Bug #145669">.
fr: Cependant, si vous maintenez encore le serveur FTP tout en donnant un accès par SSH aux utilisateurs, vous pouvez rencontrer un problème courant. Les utilisateurs accédant aux serveurs FTP anonymes à l'intérieur des systèmes sécurisés par SSH peuvent essayer de se connecter dans le <em>serveur FTP</em>. Bien que l'accès sera refusé, le mot de passe sera tout de même envoyé en clair sur le réseau. Pour éviter cela, le développeur de ProFTPD, TJ Saunders, a créé un correctif pour empêcher des utilisateurs de fournir au serveur FTP anonyme des comptes SSH valables. Plus d'informations et le correctif sont disponibles, consultez <url id="http://www.castaglia.org/proftpd/#Patches" name="Correctifs ProFTPD">. Ce correctif a été également indiqué pour Debian, consultez le <url id="http://bugs.debian.org/145669" name="bogue nº 145669">.

note: type: <heading></heading>
en: Securing access to the X Window System
fr: Sécurisation de l'accès au système X Window

note: type: <p></p>
en: Today, X terminals are used by more and more companies where one server is needed for a lot of workstations. This can be dangerous, because you need to allow the file server to connect to the clients (X server from the X point of view. X switches the definition of client and server). If you follow the (very bad) suggestion of many docs, you type <tt>xhost +</tt> on your machine. This allows any X client to connect to your system. For slightly better security, you can use the command <tt>xhost +hostname</tt> instead to only allow access from specific hosts.
fr: Actuellement, les terminaux X sont de plus en plus utilisés dans les entreprises où un seul serveur est nécessaire pour un grand nombre de stations de travail. Cela peut être dangereux car vous devez autoriser le serveur de fichiers à se connecter aux clients (le serveur X d'un point de vue X. X intervertit la notion de client et de serveur). Si vous suivez les (très mauvaises) suggestions de nombreuses documentations, vous tapez <tt>xhost +</tt> sur la machine. Cela autorise tout client X à se connecter au système. Pour une sécurité légèrement meilleure, vous pouvez utiliser la commande <tt>xhost +hostname</tt> à la place, ce qui permet de n'autoriser les accès que depuis certains hôtes.

note: type: <p></p>
en: A much more secure solution, though, is to use ssh to tunnel X and encrypt the whole session. This is done automatically when you ssh to another machine. For this to work, you have to configure both the ssh client and the ssh server. On the ssh client, <tt>ForwardX11</tt> should be set to <tt>yes</tt> in <file>/etc/ssh/ssh_config</file>. On the ssh server, <tt>X11Forwarding</tt> should be set to <tt>yes</tt> in <file>/etc/ssh/sshd_config</file> and the package <package>xbase-clients</package> should be installed because the ssh server uses <file>/usr/X11R6/bin/xauth</file> (<file>/usr/bin/xauth</file> on Debian unstable) when setting up the pseudo X display. In times of SSH, you should drop the xhost based access control completely.
fr: Une solution encore meilleure serait d'utiliser un tunnel SSH pour X et de chiffrer toute la session. C'est fait automatiquement lors de l'utilisation de SSH pour se connecter sur une autre machine. Pour que cela fonctionne, vous devez configurer à la fois le client SSH et le serveur SSH. Sur le client SSH, <tt>ForwardX11</tt> doit être positionné à <tt>yes</tt> dans <file>/etc/ssh/ssh_config</file>. Sur le serveur SSH, <tt>X11Forwarding</tt> doit être positionné à <tt>yes</tt> dans <file>/etc/ssh/sshd_config</file> et le paquet <package>xbase-clients</package> doit être installé car le serveur SSH utilise <file>/usr/X11R6/bin/xauth</file> (<file>/usr/bin/xauth</file> sur Debian unstable) pour mettre en place le pseudoaffichage X. À l'heure de SSH, vous devriez abandonner complètement le contrôle d'accès basé sur xhost.

note: type: <p><example>
en: For best security, if you do not need X access from other machines, switch off the binding on TCP port 6000 simply by typing:
fr: Pour une sécurité accrue, si vous n'avez pas besoin d'accéder à X depuis d'autres machines, désactivez l'écoute sur le port TCP 6000 en tapant simplement&nbsp;:

note: type: <p><example>
en: This is the default behavior in Xfree 4.1.0 (the Xserver provided in Debian 3.0 and 3.1). If you are running Xfree 3.3.6 (i.e. you have Debian 2.2 installed) you can edit <file>/etc/X11/xinit/xserverrc</file> to have it something along the lines of:
fr: C'est le comportement par défaut dans XFree&nbsp;4.1.0 (le serveur X fourni dans Debian&nbsp;3.0 et 3.1). Si vous utilisez XFree&nbsp;3.3.6 (vous avez donc Debian&nbsp;2.2 installée), vous pouvez éditer <file>/etc/X11/xinit/xserverrc</file> afin d'avoir quelque chose ressemblant à ceci&nbsp;:

note: type: <p></p>
en: If you are using XDM set <file>/etc/X11/xdm/Xservers</file> to: <tt>:0 local /usr/bin/X11/X vt7 -dpi 100 -nolisten tcp</tt>. If you are using Gdm make sure that the <tt>DisallowTCP=true</tt> option is set in the <file>/etc/gdm/gdm.conf</file> (which is the default in Debian). This will basically append <tt>-nolisten tcp</tt> to every X command line <footnote><p>Gdm will <em>not</em> append <tt>-nolisten tcp</tt> if it finds a <tt>-query</tt> or <tt>-indirect</tt> on the command line since the query wouldn't work.</p></footnote>.
fr: Si vous utilisez XDM, mettez <file>/etc/X11/xdm/Xservers</file> à&nbsp;: <tt>:0 local /usr/bin/X11/X vt7 -dpi 100 -nolisten tcp</tt>. Si vous utilisez GDM, assurez-vous que l'option <tt>DisallowTCP=true</tt> est positionnée dans <file>/etc/gdm/gdm.conf</file> (qui est par défaut dans Debian). Cela va basiquement ajouter <tt>-nolisten tcp</tt> à chaque ligne de commande X <footnote><p>GDM <em>n'ajoutera pas</em> <tt>-nolisten tcp</tt> s'il trouve <tt>-query</tt> ou <tt>-indirect</tt> sur la ligne de commande car cela ne pourrait pas fonctionner.</p></footnote>.

note: type: <p><example>
en: You can also set the default's system timeout for <prgn>xscreensaver</prgn> locks. Even if the user can override it, you should edit the <file>/etc/X11/app-defaults/XScreenSaver</file> configuration file and change the lock line:
fr: Vous pouvez également positionner l'expiration de délai système par défaut pour les blocages <prgn>xscreensaver</prgn>. Même si l'utilisateur peut annuler cela, vous devriez éditer le fichier de configuration <file>/etc/X11/app-defaults/XScreenSaver</file> et changer la ligne de blocage&nbsp;:

note: type: <p><example>
en: (which is the default in Debian) to:
fr: (qui est par défaut dans Debian) à&nbsp;:

note: type: <p></p>
en: FIXME: Add information on how to disable the screensavers which show the user desktop (which might have sensitive information).
fr: FIXME : Ajouter des informations sur comment désactiver les économiseurs d'écran qui affichent l'écran de l'utilisateur (qui peuvent avoir des informations sensibles).

note: type: <p></p>
en: Read more on X Window security in <url id="http://www.tldp.org/HOWTO/XWindow-User-HOWTO.html" name="XWindow-User-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</file>).
fr: Plus de renseignements sur la sécurité X Window dans <url id="http://www.linuxdoc.org/HOWTO/XWindow-User-HOWTO.html" name="XWindow-User-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</file>).

note: type: <p></p>
en: FIXME: Add info on thread of debian-security on how to change config files of XFree 3.3.6 to do this.
fr: FIXME : Ajouter des informations d'une discussion de debian-security pour avoir les modifications des fichiers de configuration de XFree 3.3.6 pour faire cela.

note: type: <heading></heading>
en: Check your display manager
fr: Vérifiez le gestionnaire d'affichage

note: type: <p><example>
en: If you only want to have a display manager installed for local usage (having a nice graphical login, that is), make sure the XDMCP (X Display Manager Control Protocol) stuff is disabled. In XDM you can do this with this line in <tt>/etc/X11/xdm/xdm-config</tt>:
fr: Si vous ne voulez un gestionnaire d'affichage installé que pour une utilisation locale (avec une jolie connexion graphique, tout de même), assurez-vous que le XDMCP (X Display Manager Control Protocol) est désactivé. Dans XDM, vous pouvez faire cela avec cette ligne dans <tt>/etc/X11/xdm/xdm-config</tt>&nbsp;:

note: type: <p><example>
en: For GDM there should be in your gdm.conf:
fr: Pour GDM, il devrait y avoir dans le fichier gdm.conf&nbsp;:

note: type: <p></p>
en: Normally, all display managers are configured not to start XDMCP services per default in Debian.
fr: Normalement, tous les gestionnaires d'affichages sont configurés par défaut pour ne pas démarrer les services XDMCP dans Debian.

note: type: <heading></heading>
en: Securing printing access (the lpd and lprng issue)
fr: Sécurisation de l'accès à l'impression (le problème lpd et lprng)

note: type: <p></p>
en: Imagine, you arrive at work, and the printer is spitting out endless amounts of paper because someone is DoSing your line printer daemon. Nasty, isn't it?
fr: Imaginez, vous arrivez au travail et l'imprimante crache une quantité infinie de papier car quelqu'un est en train de provoquer un déni de service sur le démon d'impression. Méchant, n'est ce pas ?

note: type: <p></p>
en: In any UNIX printing architecture, there has to be a way to get the client's data to the host's print server. In traditional <prgn>lpr</prgn> and <prgn>lp</prgn>, the client command copies or symlinks the data into the spool directory (which is why these programs are usually SUID or SGID).
fr: Dans toute architecture d'impression UNIX, il y a un moyen de fournir les données du client vers le serveur d'impression de l'hôte. Dans les traditionnels <prgn>lpr</prgn> et <prgn>lp</prgn>, la commande du client copie ou crée un lien symbolique pour les données dans le répertoire de spool (c'est pour cela que ces programmes sont habituellement SUID ou SGID).

note: type: <p></p>
en: In order to avoid any issues you should keep your printer servers especially secure. This means you need to configure your printer service so it will only allow connections from a set of trusted servers. In order to do this, add the servers you want to allow printing to your <file>/etc/hosts.lpd</file>.
fr: Pour éviter tout problème, vous devriez garder vos serveurs d'impression particulièrement sûrs. Cela veut dire qu'il est nécessaire de configurer le service d'impression pour qu'il autorise seulement les connexions d'un ensemble de serveurs de confiance. Pour ce faire, ajoutez les serveurs auxquels vous voulez autoriser l'impression à <file>/etc/hosts.lpd</file>.

note: type: <p></p>
en: However, even if you do this, the <prgn>lpr</prgn> daemon accepts incoming connections on port 515 of any interface. You should consider firewalling connections from networks/hosts which are not allowed printing (the <prgn>lpr</prgn> daemon cannot be limited to listen only on a given IP address).
fr: Cependant, même si vous faites cela, le démon <prgn>lpr</prgn> accepte les connexions entrantes sur le port 515 de n'importe quelle interface. Vous devriez réfléchir au filtrage par un pare-feu des connexions provenant de réseaux ou hôtes qui ne sont pas autorisés à imprimer (le démon <prgn>lpr</prgn> ne peut être limité que pour écouter sur une adresse IP donnée).

note: type: <p></p>
en: <prgn>Lprng</prgn> should be preferred over <prgn>lpr</prgn> since it can be configured to do IP access control. And you can specify which interface to bind to (although somewhat weirdly).
fr: <prgn>lprng</prgn> doit être préféré à <prgn>lpr</prgn> car il peut être configuré pour faire du contrôle d'accès basé sur l'adresse IP. Vous pouvez indiquer l'interface sur laquelle se lier (cependant d'une manière un peu bizarre)

note: type: <p></p>
en: If you are using a printer in your system, but only locally, you will not want to share this service over a network. You can consider using other printing systems, like the one provided by <package>cups</package> or <url id="http://pdq.sourceforge.net/" name="PDQ"> which is based on user permissions of the <file>/dev/lp0</file> device.
fr: Si vous utilisez une imprimante sur le système, mais seulement localement, vous ne voulez pas partager ce service sur le réseau. Vous pouvez considérer l'utilisation d'autres systèmes d'impression, comme celui fourni par <package>cups</package> ou <url id="http://pdq.sourceforge.net/" name="PDQ"> qui est basé sur les permissions utilisateurs du périphérique <file>/dev/lp0</file>.

note: type: <p></p>
en: In <package>cups</package>, the print data is transferred to the server via the HTTP protocol. This means the client program doesn't need any special privileges, but does require that the server is listening on a port somewhere.
fr: Dans <package>cups</package>, les données d'impression sont transférées vers le serveur par le protocole HTTP. Cela veut dire que le programme client n'a pas besoin de privilèges spéciaux, mais cela nécessite que le serveur écoute sur un port quelque part.

note: type: <p><example>
en: However, if you want to use <prgn>cups</prgn>, but only locally, you can configure it to bind to the loopback interface by changing <file>/etc/cups/cupsd.conf</file>:
fr: Cependant, si vous voulez utiliser <prgn>cups</prgn>, mais seulement localement, vous pouvez le configurer pour se lier à l'interface de bouclage (loopback) en modifiant <file>/etc/cups/cupsd.conf</file>&nbsp;:

note: type: <p><example>
en: There are many other security options like allowing or denying networks and hosts in this config file. However, if you do not need them you might be better off just limiting the listening port. <prgn>Cups</prgn> also serves documentation through the HTTP port, if you do not want to disclose potential useful information to outside attackers (and the port is open) add also:
fr: Il y a plusieurs autres options de sécurité comme autoriser ou interdire des réseaux et hôtes dans le fichier de configuration. Cependant, si vous n'en avez pas besoin, il peut être préférable de simplement limiter le port d'écoute. <prgn>cups</prgn> fournit également la documentation par le port HTTP, si vous ne voulez pas dévoiler des informations potentiellement utiles aux attaquants extérieurs (et que le port est ouvert), ajoutez également&nbsp;:

note: type: <p></p>
en: This configuration file can be modified to add some more features including SSL/TLS certificates and crypto. The manuals are available at http://localhost:631/ or at <url id="cups.org">.
fr: Ce fichier de configuration peut être modifié pour ajouter plus de fonctionnalités y compris des certificats SSL/TLS et du chiffrement. Les manuels sont disponibles sur http://localhost:631/ ou à <url id="cups.org">.

note: type: <p></p>
en: FIXME: Add more content (the article on <url id="http://www.rootprompt.org" name="Amateur Fortress Building"> provides some very interesting views).
fr: FIXME : Ajouter plus de contenu (l'article sur <url id="http://www.rootprompt.org" name="Amateur Fortress Building"> fournit certains points de vues très intéressants).

note: type: <p></p>
en: FIXME: Check if PDG is available in Debian, and if so, suggest this as the preferred printing system.
fr: FIXME : Vérifier la disponibilité de PDG dans Debian, et s'il l'est, le suggérer comme le système d'impression préféré.

note: type: <p></p>
en: FIXME: Check if Farmer/Wietse has a replacement for printer daemon and if it's available in Debian.
fr: FIXME : Vérifier si Farmer/Wietse a une alternative pour le démon d'imprimante et si il est disponible dans Debian.

note: type: <heading></heading>
en: Securing the mail service
fr: Sécurisation du service de courrier

note: type: <p></p>
en: If your server is not a mailing system, you do not really need to have a mail daemon listening for incoming connections, but you might want local mail delivered in order, for example, to receive mail for the root user from any alert systems you have in place.
fr: Si le serveur n'est pas un système d'envoi de courrier, vous n'avez pas réellement besoin d'un démon de courrier écoutant les connexions entrantes, mais vous pourriez vouloir que le courrier local soit distribué pour, par exemple, recevoir le courrier du superutilisateur en provenance d'un des systèmes d'alerte en place.

note: type: <p></p>
en: If you have <prgn>exim</prgn> you do not need the daemon to be working in order to do this since the standard <prgn>cron</prgn> job flushes the mail queue. See <ref id="disableserv"> on how to do this.
fr: Si vous avez <prgn>exim</prgn>, vous n'avez pas besoin que le démon tourne pour le faire car la tâche standard <prgn>cron</prgn> vide la file des messages. Consultez <ref id="disableserv"> pour le façon de faire cela.

note: type: <heading></heading>
en: Configuring a Nullmailer
fr: Configurer un Nullmailer

note: type: <p></p>
en: You might want to have a local mailer daemon so that it can relay the mails sent locally to another system. This is common when you have to administer a number of systems and do not want to connect to each of them to read the mail sent locally. Just as all logging of each individual system can be centralized by using a central syslog server, mail can be sent to a central mailserver.
fr: Vous pouvez vouloir avoir un démon local de courrier pour qu'il puisse relayer les courriers envoyés localement à un autre système. C'est courant quand vous devez administrer un certain nombre de systèmes et que vous ne voulez pas vous connecter à chacun d'entre eux pour lire le courrier envoyé localement. Comme toute la journalisation de chaque système individuel peut être centralisée en utilisant un serveur de journalisation système centralisé, les courriers peuvent être envoyés à un serveur de courriers central.

note: type: <p></p>
en: Such a <em>relay-only</em> system should be configured properly for this. The daemon could, as well, be configured to only listen on the loopback address.
fr: Un tel système <em>relais seulement</em> devrait être configuré correctement pour cela. Le démon pourrait également être configuré pour n'écouter que sur l'adresse de bouclage.

note: type: <p></p>
en: The following configuration steps only need to be taken to configure the <package>exim</package> package in the Debian 3.0 release. If you are using a later release (such as 3.1 which uses <package>exim4</package>) the installation system has been improved so that if the mail transport agent is configured to only deliver local mail it will automatically only allow connections from the local host and will not permit remote connections.
fr: Les étapes de configuration suivantes ne doivent être suivies que si vous configurez le paquet <package>exim</package> dans la version&nbsp;3.0 de Debian. Si vous utilisez une version ultérieure (comme la version&nbsp;3.1 qui utilise <package>exim4</package>), le système d'installation a été amélioré afin, si le MTA est configuré pour ne délivrer que des messages locaux, de n'autoriser des connexions que depuis l'hôte local et interdire toute connexion distante.

note: type: <p><example>
en: In a Debian 3.0 system using <package>exim</package>, you will have to remove the SMTP daemon from <prgn>inetd</prgn>:
fr: Sur un système Debian&nbsp;3.0 utilisant <package>exim</package>, vous devrez retirer le démon SMTP d'inetd&nbsp;:

note: type: <p><example>
en: and configure the mailer daemon to only listen on the loopback interface. In <prgn>exim</prgn> (the default MTA) you can do this by editing the file <file>/etc/exim.conf</file> and adding the following line:
fr: et configurer le démon de courrier pour écouter seulement sur l'interface de bouclage. Dans <prgn>exim</prgn> (le MTA par défaut) vous pouvez faire ça en éditant le fichier <file>/etc/exim.conf</file> et en ajoutant la ligne suivante&nbsp;:

note: type: <p></p>
en: Restart both daemons (inetd and exim) and you will have exim listening on the 127.0.0.1:25 socket only. Be careful, and first disable inetd, otherwise, exim will not start since the inetd daemon is already handling incoming connections.
fr: Redémarrez les deux démons (inetd et exim) et Exim n'écoutera que sur la socket 127.0.0.1:25. Faites attention, et avant tout désactivez inetd, sinon Exim ne démarrera pas étant donné que le démon inetd est déjà en attente de connexions entrantes.

note: type: <p><example>
en: For <prgn>postfix</prgn> edit <file>/etc/postfix/main.conf</file>:
fr: Pour <prgn>postfix</prgn> éditez <file>/etc/postfix/main.conf</file>&nbsp;:

note: type: <p></p>
en: If you only want local mail, this approach is better than tcp-wrapping the mailer daemon or adding firewalling rules to limit anybody accessing it. However, if you do need it to listen on other interfaces, you might consider launching it from inetd and adding a tcp wrapper so incoming connections are checked against <file>/etc/hosts.allow</file> and <file>/etc/hosts.deny</file>. Also, you will be aware of when an unauthorized access is attempted against your mailer daemon, if you set up proper logging for any of the methods above.
fr: Si vous voulez seulement le courrier local, cette approche est meilleure que l'encapsulation TCP du démon de courrier ou l'ajout de règles de pare-feu pour limiter les personnes qui y accèdent. Cependant, si vous n'avez pas besoin d'écouter sur d'autres interfaces, vous pourriez envisager de le lancer à partir d'inetd et ajouter une encapsulation TCP pour que les connexions entrantes soient vérifiées par rapport à <file>/etc/hosts.allow</file> et <file>/etc/hosts.deny</file>. De plus, vous serez au courant quand un accès non autorisé est tenté sur le démon de courrier, si vous mettez en place correctement la journalisation pour n'importe laquelle des méthodes décrites plus haut.

note: type: <p><example>
en: In any case, to reject mail relay attempts at the SMTP level, you can change <file>/etc/exim/exim.conf</file> to include:
fr: En tout cas, pour rejeter les tentatives de relais de courrier au niveau SMTP, vous pouvez modifier <file>/etc/exim/exim.conf</file> pour inclure&nbsp;:

note: type: <p></p>
en: Even if your mail server will not relay the message, this kind of configuration is needed for the relay tester at <url id="http://www.abuse.net/relay.html"> to determine that your server is <em>not</em> relay capable.
fr: Même si le serveur de courrier ne relaiera pas le message, ce genre de configuration est nécessaire au testeur de relais à <url id="http://www.abuse.net/relay.html"> pour déterminer que le serveur ne peut <em>pas</em> faire de relais.

note: type: <p></p>
en: If you want a relay-only setup, however, you can consider changing the mailer daemon to programs that can <em>only</em> be configured to forward the mail to a remote mail server. Debian provides currently both <package>ssmtp</package> and <package>nullmailer</package> for this purpose. In any case, you can evaluate for yourself any of the mail transport agents <footnote><p>To retrieve the list of mailer daemons available in Debian try: <example>$ apt-cache search mail-transport-agent</example></p><p>The list will not include <prgn>qmail</prgn>, which is distributed only as source code in the <package>qmail-src</package> package.</p></footnote> provided by Debian and see which one suits best to the system's purposes.
fr: Si vous voulez une configuration relais seulement, cependant, vous pouvez vouloir changer le démon de courrier pour des programmes qui ne peuvent être configurés <em>que</em> pour faire suivre le courrier à un serveur de courrier distant. Debian fournit actuellement les paquets <package>ssmtp</package> et <package>nullmailer</package> dans ce but. En tout cas, vous pouvez évaluer pour vous-même l'un de ces deux agents de transport de courrier <footnote><p>Pour récupérer la liste des démons de courrier disponibles dans Debian, essayez&nbsp;: <example>$ apt-cache search mail-transport-agent</example></p><p>La liste n'inclura pas <prgn>qmail</prgn>, qui est distribué seulement comme code source dans le paquet <package>qmail-src</package>.</p></footnote> fournis par Debian et voir lequel correspond le mieux aux buts du système.

note: type: <heading></heading>
en: Providing secure access to mailboxes
fr: Fournir un accès sécurisé aux boîtes à lettres

note: type: <p></p>
en: If you want to give remote access to mailboxes there are a number of POP3 and IMAP daemons available.<footnote><p>A list of servers/daemons which support these protocols in Debian can be retrieved with: <example>$ apt-cache search pop3-server $ apt-cache search imap-server</example></p></footnote> However, if you provide IMAP access note that it is a general file access protocol, it can become the equivalent of a shell access because users might be able to retrieve any file that they can through it.
fr: Si vous désirez donner un accès à distance aux boîtes à lettres, il y a un certain nombre de démons POP3 et IMAP disponibles<footnote><p>Une liste des serveurs et démons prenant ces protocoles en charge dans Debian peut être récupérée avec&nbsp;: <example>$ apt-cache search pop3-server $ apt-cache search imap-server</example></p></footnote> Cependant, si vous fournissez un accès IMAP, notez qu'il s'agit d'un protocole générique d'accès aux fichiers, il peut devenir l'équivalent d'un accès à l'interpréteur de commandes car les utilisateurs peuvent être capables de récupérer n'importe quel fichier par celle-ci.

note: type: <p></p>
en: Try, for example, to configure as your inbox path <tt>{server.com}/etc/passwd</tt> if it succeeds your IMAP daemon is not properly configured to prevent this kind of access.
fr: Essayez, par exemple, de configurer comme chemin de votre boîte de réception <tt>{server.com}/etc/passwd</tt>, si cela réussit, votre démon IMAP n'est pas configuré correctement pour empêcher ce genre d'accès.

note: type: <p></p>
en: Of the IMAP servers in Debian the <prgn>cyrus</prgn> server (in the <package>cyrus-imapd</package> package) gets around this by having all access to a database in a restricted part of the file system. Also, <prgn>uw-imapd</prgn> (either install the <package>uw-imapd</package> or better, if your IMAP clients support it, <package>uw-imapd-ssl</package>) can be configured to chroot the users mail directory but this is not enabled by default. The documentation provided gives more information on how to configure it.
fr: Parmi les serveurs IMAP dans Debian, le serveur <prgn>cyrus</prgn> (dans le paquet <package>cyrus-imapd</package>) contourne cela en ayant tous les accès sur une base de données dans une partie restreinte du système de fichiers. Également, <prgn>uw-imapd</prgn> (installez soit <package>uw-imapd</package> ou mieux, si votre client IMAP le gère, <package>uw-imapd-ssl</package>) peut être configuré pour «&nbsp;chrooter&nbsp;» les répertoires de courrier des utilisateurs, mais cela n'est pas activé par défaut. La documentation fournie donne plus d'informations sur la façon de le configurer.

note: type: <p></p>
en: Also, you might want to run an IMAP server that does not need valid users to be created on the local system (which would grant shell access too), <package>courier-imap</package> (for IMAP) and <package>courier-pop</package>, <package>teapop</package> (for POP3) and <package>cyrus-imapd</package> (for both POP3 and IMAP) provide servers with authentication methods beside the local user accounts. <prgn>cyrus</prgn> can use any authentication method that can be configured through PAM while <prgn>teapop</prgn> might use databases (such as <package>postgresql</package> and <package>mysql</package>) for user authentication.
fr: Vous pouvez également vouloir faire fonctionner un serveur IMAP qui n'ait pas besoin que des utilisateurs valables soient créés sur le système local (ce qui donnerait également un accès à l'interpréteur de commande), les paquets <package>courier-imap</package> (pour IMAP), <package>courier-pop</package> <package>teapop</package> (pour POP3) et <package>cyrus-imapd</package> (pour POP3 et IMAP) fournissent des serveurs avec des méthodes d'authentification en plus des comptes utilisateur locaux. <prgn>cyrus</prgn> peut utiliser toute méthode d'authentification qui peut être configurée par PAM tandis que <prgn>teapop</prgn> peut utiliser des bases de données (comme <package>postgresql</package> et <package>mysql</package>) pour l'authentification des utilisateurs.

note: type: <p></p>
en: FIXME: Check: <package>uw-imapd</package> might be configured with user authentication through PAM too.
fr: FIXME : Vérifier : <package>uw-imapd</package> peut être configuré avec l'authentification utilisateur grâce à PAM également.

note: type: <heading></heading>
en: Receiving mail securely
fr: Réception du courrier de manière sûre

note: type: <p><example>
en: Reading/receiving mail is the most common clear-text protocol. If you use either POP3 or IMAP to get your mail, you send your clear-text password across the net, so almost anyone can read your mail from now on. Instead, use SSL (Secure Sockets Layer) to receive your mail. The other alternative is SSH, if you have a shell account on the box which acts as your POP or IMAP server. Here is a basic <file>fetchmailrc</file> to demonstrate this:
fr: La lecture et réception du courrier sont des protocoles en texte clair parmi les plus courants. Si vous utilisez POP3 ou IMAP pour récupérer le courrier, vous envoyez votre mot de passe en clair à travers le réseau, et donc presque tout le monde peut lire votre courrier à partir de maintenant. À la place, utilisez SSL (Secure Sockets Layer) pour recevoir votre courrier. L'autre alternative est SSH, si vous avez un compte avec interpréteur de commandes sur la machine qui sert de serveur POP ou IMAP. Voici un <file>fetchmailrc</file> simple décrivant cela&nbsp;:

note: type: <example></example>
en: poll my-imap-mailserver.org via "localhost"
      with proto IMAP port 1236
          user "ref" there with password "hackme" is alex here warnings 3600
        folders
          .Mail/debian
        preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
         my-imap-mailserver.org sleep 15 &lt;/dev/null &gt; /dev/null'
fr: poll mon-serveur-imap.org via "localhost"
      with proto IMAP port 1236
          user "ref" there with password "hackme" is alex here warnings 3600
        folders
          .Mail/debian
        preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
         mon-serveur-imap.org sleep 15 &lt;/dev/null &gt; /dev/null'

note: type: <p></p>
en: The preconnect is the important line. It fires up an ssh session and creates the necessary tunnel, which automatically forwards connections to localhost port 1236 to the IMAP mail server, but encrypted. Another possibility would be to use <prgn>fetchmail</prgn> with the SSL feature.
fr: Le preconnect est la ligne importante. Il lance une session SSH et crée le tunnel nécessaire, qui relaie automatiquement les connexions au port local 1236 vers le port IMAP du serveur de mail, mais chiffrées. Une autre possibilité serait d'utiliser <prgn>fetchmail</prgn> avec la fonctionnalité SSL.

note: type: <p><example>
en: If you want to provide encrypted mail services like POP and IMAP, <tt>apt-get install stunnel</tt> and start your daemons this way:
fr: Si vous désirez fournir des services de courrier comme POP et IMAP chiffrés, <tt>apt-get install stunnel</tt> et démarrez vos démons ainsi&nbsp;:

note: type: <p></p>
en: This command wraps the provided daemon (-l) to the port (-d) and uses the specified SSL certificate (-p).
fr: Cette commande encapsule le démon fourni (-l) au port (-d) et utilise le certificat SSL indiqué (-p).

note: type: <heading></heading>
en: Securing BIND
fr: Sécurisation de BIND

note: type: <p><list>
en: There are different issues that can be tackled in order to secure the Domain server daemon, which are similar to the ones considered when securing any given service:
fr: Il y a différents problèmes qui peuvent être traités pour sécuriser le démon de serveur de domaine; problèmes similaires à ceux étudiés quand on sécurise n'importe quel service donné&nbsp;:

note: type: <p></p>
en: configuring the daemon itself properly so it cannot be misused from the outside (see <ref id="configure-bind">). This includes limiting possible queries from clients: zone transfers and recursive queries.
fr: configurer le démon lui-même pour qu'il ne puisse pas être mal utilisé de l'extérieur (consultez <ref id="configure-bind">). Cela inclut limiter les requêtes possibles pour les clients&nbsp;: transferts de zones et requêtes récursives ;

note: type: <p></p>
en: limit the access of the daemon to the server itself so if it is used to break in, the damage to the system is limited. This includes running the daemon as a non-privileged user (see <ref id="user-bind">) and chrooting it (see <ref id="chroot-bind">).
fr: limiter l'accès du démon au serveur lui-même, ainsi s'il est utilisé pour s'introduire, les dommages au système sont limités. Cela inclut d'exécuter le démon en tant qu'utilisateur non privilégié (consultez <ref id="user-bind">) et le chrooter (consultez <ref id="chroot-bind">).

note: type: <heading></heading>
en: Bind configuration to avoid misuse
fr: Configuration de BIND pour éviter de mauvaises utilisations

note: type: <p></p>
en: You should restrict some of the information that is served from the DNS server to outside clients so that it cannot be used to retrieve valuable information from your organization that you do not want to give away. This includes adding the following options: <em>allow-transfer</em>, <em>allow-query</em>, <em>allow-recursion</em> and <em>version</em>. You can either limit this on the global section (so it applies to all the zones served) or on a per-zone basis. This information is documented in the <package>bind-doc</package> package, read more on this on <file>/usr/share/doc/bind/html/index.html</file> once the package is installed.
fr: Vous devriez restreindre certains renseignements donnés par le serveur DNS aux clients extérieurs pour l'empêcher d'être utilisé pour obtenir des informations de valeur sur votre organisation que vous ne voudriez pas divulguer. Cela inclut l'ajout des options suivantes&nbsp;: <em>allow-transfer</em>, <em>allow-query</em>, <em>allow-recursive</em> et <em>version</em>. Vous pouvez soit limiter cela dans la section globale (pour que cela s'applique à toutes les zones servies) ou individuellement par zone. Cette information est documentée dans le paquet <package>bind-doc</package>, consultez <file>/usr/share/doc/bind/html/index.html</file> en plus à ce sujet une fois que le paquet est installé.

note: type: <p><example>
en: Imagine that your server is connected to the Internet and to your internal (your internal IP is 192.168.1.2) network (a basic multi-homed server), you do not want to give any service to the Internet and you just want to enable DNS lookups from your internal hosts. You could restrict it by including in <file>/etc/bind/named.conf</file>:
fr: Imaginez que votre serveur (un serveur avec plusieurs adresses de base) est connecté à Internet et à votre réseau interne (votre adresse IP interne est 192.168.1.2), vous ne voulez fournir aucun service à Internet et vous voulez juste autoriser les consultations DNS à partir de vos hôtes internes. Vous pourriez le restreindre en incluant dans <file>/etc/bind/named.conf</file>:

note: type: <p></p>
en: The <em>listen-on</em> option makes the DNS bind to only the interface that has the internal address, but, even if this interface is the same as the interface that connects to the Internet (if you are using NAT, for example), queries will only be accepted if coming from your internal hosts. If the system has multiple interfaces and the <em>listen-on</em> is not present, only internal users could query, but, since the port would be accessible to outside attackers, they could try to crash (or exploit buffer overflow attacks) on the DNS server. You could even make it listen only on 127.0.0.1 if you are not giving DNS service for any other systems than yourself.
fr: L'option <em>listen-on</em> lie uniquement le DNS à l'interface ayant une adresse interne, mais, même si cette interface est la même que l'interface qui permet la connexion à Internet (par l'utilisation de NAT, par exemple), les requêtes ne seront acceptées que si celles-ci proviennent d'hôtes internes. Si le système est constitué de plusieurs interfaces et que le <em>listen-on</em> n'est pas présent, seuls les utilisateurs internes pourront émettre des requêtes, mais, puisque le port restera accessible à des attaquants externes, ils pourront essayer de faire tomber (ou exploiter une attaque de débordement de tampon sur) le serveur DNS. Vous pouvez même le mettre uniquement en écoute sur l'adresse 127.0.0.1 si vous ne désirez offrir le service à personne d'autre que vous même.

note: type: <p><example>
en: The version.bind record in the chaos class contains the version of the currently running bind process. This information is often used by automated scanners and malicious individuals who wish to determine if one's <prgn>bind</prgn> is vulnerable to a specific attack. By providing false or no information in the version.bind record, one limits the probability that one's server will be attacked based on its published version. To provide your own version, use the <em>version</em> directive in the following manner:
fr: L'enregistrement version.bind dans la classe chaos contient la version du processus bind actuellement en cours d'exécution. Cette information est souvent utilisée par des scanners automatisés et des individus malveillants qui souhaitent déterminer si un <prgn>bind</prgn> est vulnérable à une attaque spécifique. En fournissant des informations fausses ou pas d'informations du tout, on limite la probabilité qu'un serveur soit attaqué sur la base de la version qu'il publie. Pour fournir votre propre version, utilisez la directive <em>version</em> de la manière suivante&nbsp;:

note: type: <example></example>
en:  options { ... various options here ...
    version "Not available."; };
fr: options {
            ... diverses options ici ...
            version "Not available.";
     };

note: type: <p></p>
en: Changing the version.bind record does not provide actual protection against attacks, but it might be considered a useful safeguard.
fr: Changer l'enregistrement version.bind ne fournit pas actuellement de protection contre les attaques, mais cela devrait être considéré comme une protection utile.

note: type: <p><example>
en: A sample <file>named.conf</file> configuration file might be the following:
fr: Un fichier de configuration <file>named.conf</file> d'exemple pourrait être me suivant&nbsp;:

note: type: <example></example>
en: acl internal {
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // internal
            aa.bb.cc.dd;            // eth0 IP
    };
    
    acl friendly {
            ee.ff.gg.hh;            // slave DNS
            aa.bb.cc.dd;            // eth0 IP
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // internal
    };
    
    options {
            directory "/var/cache/bind";
            allow-query { internal; };
            allow-recursion { internal; };
            allow-transfer { none; };
    };
    // From here to the mysite.bogus zone 
    // is basically unmodified from the debian default
    logging {
            category lame-servers { null; };
            category cname { null; };   
    };
    
    zone "." {
            type hint;
            file "/etc/bind/db.root";
    };
    
    zone "localhost" {
            type master;
            file "/etc/bind/db.local";
    };
    
    zone "127.in-addr.arpa" {
            type master;
            file "/etc/bind/db.127";
    };
    
    zone "0.in-addr.arpa" {
            type master;
            file "/etc/bind/db.0";
    };
    
    zone "255.in-addr.arpa" {
            type master;
            file "/etc/bind/db.255";
    };
    
    // zones I added myself
    zone "mysite.bogus" {
            type master;
            file "/etc/bind/named.mysite";
            allow-query { any; };
            allow-transfer { friendly; };
    };
fr: acl internal {
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // interne
            aa.bb.cc.dd;            // IP eth0
    };
    
    acl friendly {
            ee.ff.gg.hh;            // DNS escalve
            aa.bb.cc.dd;            // IP eth0
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // interne
    };
    
    options {
            directory "/var/cache/bind";
            allow-query { internal; };
            allow-recursion { internal; };
            allow-transfer { none; };
    };
    // À partir d'ici jusqu'à la zone mysite.bogus
    // est dans l'ensemble non modifié des valeurs par défaut Debian
    logging {
            category lame-servers { null; };
            category cname { null; };   
    };
    
    zone "." {
            type hint;
            file "/etc/bind/db.root";
    };
    
    zone "localhost" {
            type master;
            file "/etc/bind/db.local";
    };
    
    zone "127.in-addr.arpa" {
            type master;
            file "/etc/bind/db.127";
    };
    
    zone "0.in-addr.arpa" {
            type master;
            file "/etc/bind/db.0";
    };
    
    zone "255.in-addr.arpa" {
            type master;
            file "/etc/bind/db.255";
    };
    
    // Zones ajoutées moi-même
    zone "mysite.bogus" {
            type master;
            file "/etc/bind/named.mysite";
            allow-query { any; };
            allow-transfer { friendly; };
    };

note: type: <p></p>
en: Please (again) check the Bug Tracking System regarding Bind, specifically <url id="http://bugs.debian.org/94760" name="Bug #94760 (regarding ACLs on zone transfers)">. Feel free to contribute to the bug report if you think you can add useful information.
fr: Veuillez vérifier (de nouveau) le système de suivi des bogues (BTS) à propos de BIND, en particulier le <url id="http://bugs.debian.org/94760" name="bogue nº 94760 (à propos des ACL sur les transferts de zone)">. Vous pouvez contribuer si vous le désirez au rapport de bogue si vous pensez pouvoir ajouter des informations utiles.

note: type: <heading></heading>
en: Changing BIND's user
fr: Changer l'utilisateur de BIND

note: type: <p></p>
en: Regarding limiting BIND's privileges you must be aware that if a non-root user runs BIND, then BIND cannot detect new interfaces automatically, for example when you put a PCMCIA card into your laptop. Check the <file>README.Debian</file> file in your named documentation (<file>/usr/share/doc/bind/README.Debian</file>) directory for more information about this issue. There have been many recent security problems concerning BIND, so switching the user is useful when possible. We will detail here the steps needed in order to do this, however, if you want to do this in an automatic way you might try the script provided in <ref id="bind-chuser">.
fr: Concernant la limitation des privilèges de BIND vous devez être conscient que si un utilisateur différent du superutilisateur exécute BIND, alors BIND ne peut pas détecter de nouvelles interfaces automatiquement, par exemple, quand vous insérez une carte PCMCIA dans un portable. Consultez le fichier <file>README.Debian</file> du répertoire de documentation de named (<file>/usr/share/doc/bind/README.Debian</file>) pour plus d'informations sur ce problème. De nombreux problèmes de sécurité concernant BIND ont été récemment découverts, donc le changement d'utilisateur est utile si possible, cependant si vous désirez le faire de façon automatique, vous pouvez essayer le script fourni dans <ref id="bind-chuser">.

note: type: <p></p>
en: Notice, in any case, that this only applies to BIND version 8. In the Debian packages for BIND version 9 (since the 9.2.1-5 version, available since <em>sarge</em>) the <em>bind</em> user is created and used by setting the OPTIONS variable in <file>/etc/default/bind9</file>. If you are using BIND version 9 and your name server daemon is not running as the <em>bind</em> user verify the settings on that file.
fr: Remarquez, de toute façon, que cela ne concerne que la version 8 de BIND. Dans les paquets Debian de la version 9 (depuis la version 9.2.1-5, disponible avec Sarge), l'utilisateur <em>bind</em> est créé et utilisé en configurant la variable OPTIONS de <file>/etc/default/bind9</file>. Si vous utilisez BIND version 9 et que le démon de serveur de noms ne fonctionne pas avec l'utilisateur <em>bind</em>, vérifiez les configurations de ce fichier.

note: type: <p><example>
en: To run BIND under a different user, first create a separate user and group for it (it is <em>not</em> a good idea to use nobody or nogroup for every service not running as root). In this example, the user and group <tt>named</tt> will be used. You can do this by entering:
fr: Pour démarrer BIND sous un autre utilisateur, tout d'abord créez un utilisateur et un groupe séparé (ce n'est <em>pas</em> une bonne idée d'utiliser nobody ou nogroup pour chaque service ne devant pas tourner en tant que superutilisateur). Dans cet exemple, l'utilisateur et le groupe <tt>named</tt> seront utilisés. Vous pouvez faire cela en tapant&nbsp;:

note: type: <p><example>
en: Notice that the user <tt>named</tt> will be quite restricted. If you want, for whatever reason, to have a less restrictive setup use:
fr: Notez que l'utilisateur <tt>named</tt> sera très restreint. Si vous désirez, pout toute raison, avoir une configuration moins restrictive, utilisez&nbsp;:

note: type: <example></example>
en: adduser --system --ingroup named named
fr: addgroup named
    adduser --system --ingroup named named

note: type: <p><example>
en: Now you can either edit <file>/etc/init.d/bind</file> with your favorite editor and change the line beginning with
fr: Maintenant vous pouvez soit éditer, à l'aide de votre éditeur favori, <file>/etc/init.d/bind</file> et modifiez les lignes commençant par

note: type: </example><example>
en: to<footnote><p>Note that depending on your bind version you might not have the <tt>-g</tt> option, most notably if you are using bind9 in sarge (9.2.4 version).</p></footnote>
fr: en<footnote><p>Notez que selon la version de BIND, l'option <tt>-g</tt> risque de ne pas être disponible, en particulier si vous utilisez bind9 avec <em>Sarge</em> (version 9.2.4).</p></footnote>

note: type: <p><example>
en: Or you can change (create it if it does not exit) the default configuration file (<file>/etc/default/bind</file> for BIND version 8) and introduce the following:
fr: soit modifier (créez-le s'il n'existe pas) le fichier de configuration par défaut (<file>/etc/default/bind</file> pour BIND en version 8) et introduisez ceci :

note: type: <p><example>
en: Change the permissions of files that are used by Bind, including <file>/etc/bind/rndc.key</file>:
fr: Modifiez les permissions des fichiers utilisés par BIND, y compris <file>/etc/bind/rndc.key</file>&nbsp;:

note: type: </example><example>
en: and where bind creates its pidfile, using, for example, <file>/var/run/named</file> instead of <file>/var/run</file>:
fr: et l'endroit où BIND crée son fichier pid en utilisant, par exemple <file>/var/run/named</file> au lieu de <file>/var/run</file>&nbsp;:

note: type: <example></example>
en: $ mkdir /var/run/named
    $ chown named.named /var/run/named
    $ vi /etc/named.conf
    [ ... update the configuration file to use this new location ...]
    options { ...
            pid-file "/var/run/named/named.pid";
    };
    [ ... ]
fr: $ mkdir /var/run/named
    $ chown named.named /var/run/named
    $ vi /etc/named.conf
    [ ... mettez le fichier de configuration à jour en utilisant ce nouvel
    emplacement ...]
    options { ...
            pid-file "/var/run/named/named.pid";
    };
    [ ... ]

note: type: <p><example>
en: Also, in order to avoid running anything as root, change the <tt>reload</tt> line in the init.d script by substituting:
fr: Pour éviter également d'exécuter quoi que ce soit en tant que superutilisateur, modifiez la ligne <tt>reload</tt> du script init.d en substituant :

note: type: <p><example>
en: to:
fr: par :

note: type: <p></p>
en: Note: Depending on your Debian version you might have to change the <tt>restart</tt> line too. This was fixed in Debian's bind version <tt>1:8.3.1-2</tt>.
fr: Remarque : selon la version de Debian, vous pouvez devoir changer la ligne <tt>restart</tt> également. Cela a été corrigé dans la version <tt>1:8.3.1-2</tt> de BIND pour Debian.

note: type: <p></p>
en: All you need to do now is to restart bind via <tt>/etc/init.d/bind restart</tt>, and then check your syslog for two entries like this:
fr: Il ne reste plus qu'à redémarrer BIND à l'aide de <tt>/etc/init.d/bind restart</tt>, puis rechercher dans le journal système les deux entrées suivantes&nbsp;:

note: type: <p></p>
en: Voilà! Your named now <em>does not</em> run as root. If you want to read more information on why BIND does not run as non-root user on Debian systems, please check the Bug Tracking System regarding Bind, specifically <url id="http://bugs.debian.org/50013" name="Bug #50013: bind should not run as root"> and <url id="http://bugs.debian.org/132582" name="Bug #132582: Default install is potentially insecure">, <url id="http://bugs.debian.org/53550" name="Bug #53550">, <url id="http://bugs.debian.org/52745" name="Bug #52745">, and <url id="http://bugs.debian.org/128129" name="Bug #128129">. Feel free to contribute to the bug reports if you think you can add useful information.
fr: Voilà&nbsp;! Maintenant named ne s'exécute <em>plus</em> en tant que superutilisateur. Si vous voulez lire plus d'informations sur pourquoi BIND ne fonctionne pas en tant qu'utilisateur non superutilisateur sur les systèmes Debian, veuillez vérifier le système de suivi des bogues concernant BIND, en particulier les bogues <url id="http://bugs.debian.org/50013" name="nº 50013 : bind ne devrait pas fonctionner en tant que superutilisateur">, <url id="http://bugs.debian.org/132582" name="nº 132582 : l'installation par défaut est potentiellement non sécurisée">, <url id="http://bugs.debian.org/53550" name="nº 53550">, <url id="http://bugs.debian.org/52745" name="nº 52745"> et <url id="http://bugs.debian.org/128129" name="nº 128129">. Vous pouvez contribuer à ces rapports de bogue si vous le désirez si vous pensez pouvoir ajouter des informations utiles.

note: type: <heading></heading>
en: Chrooting the name server
fr: Chrooter le serveur de domaine

note: type: <p><example>
en: To achieve maximum BIND security, now build a chroot jail (see <ref id="chroot">) around your daemon. There is an easy way to do this: the <tt>-t</tt> option (see the <manref name="named" section="8"> manpage or page 100 of <url id="http://www.nominum.com/content/documents/bind9arm.pdf" name="Bind's 9 documentation (PDF)">). This will make Bind chroot itself into the given directory without you needing to set up a chroot jail and worry about dynamic libraries. The only files that need to be in the chroot jail are:
fr: Pour atteindre une sécurité de BIND maximale, construisez maintenant une prison chroot (consultez <ref id="chroot">) autour du démon. Il y a un moyen facile de faire cela&nbsp;: l'option <tt>-t</tt> (consultez la page de manuel <manref section="8" name="named"> ou la page 100 de la <url id="http://www.nominum.com/content/documents/bind9arm.pdf" name="documentation de BIND 9 (PDF)">). Cela fera que BIND se chrootera lui-même dans le répertoire donné sans que vous ayez besoin de configurer une prison chroot et de vous inquiéter au sujet des bibliothèques dynamiques. Les seuls fichiers qui doivent être dans cette prison chroot&nbsp;:

note: type: <example></example>
en: dev/null
    etc/bind/       - should hold named.conf and all the server zones
    sbin/named-xfer - if you do name transfers
    var/run/named/  - should hold the PID and the name server cache (if
                      any) this directory needs to be writable by named user
    var/log/named   - if you set up logging to a file, needs to be writable
                      for the named user
    dev/log         - syslogd should be listening here if named is configured to
                      log through it
fr: dev/null
    etc/bind/       - doit contenir named.conf et toutes les zones du serveur
    sbin/named-xfer - si vous faites du transfert de nom
    var/run/named/  - devrait contenir le PID et le cache du serveur de nom
                      (s'il existe), ce répertoire doit être accessible en
                      écriture à l'utilisateur named
    var/log/named   - si vous configurez le journal vers un fichier, doit
                      être accessible en écriture à l'utilisateur named
    dev/log         - syslogd devrait écouter ici si named est configuré
                      pour journaliser en l'utilisant

note: type: <p></p>
en: In order for your Bind daemon to work properly it needs permission in the named files. This is an easy task since the configuration files are always at <tt>/etc/named/</tt>. Take into account that it only needs read-only access to the zone files, unless it is a secondary or cache name server. If this is your case you will have to give read-write permissions to the necessary zones (so that zone transfers from the primary server work).
fr: Pour que le démon BIND fonctionne correctement il a besoin de permissions dans les fichiers named. C'est une tâche facile car les fichiers de configuration sont toujours dans <tt>/etc/named</tt>. Prenez en compte qu'il n'a besoin que d'un accès en lecture seule aux fichiers de zone, sauf s'il s'agit un serveur de nom secondaire ou serveur cache. Si c'est le cas vous devrez permettre la lecture et l'écriture aux zones nécessaires (pour que les transferts de zone à partir du serveur primaire fonctionnent).

note: type: <p></p>
en: Also, you can find more information regarding Bind chrooting in the <url id="http://www.tldp.org/HOWTO/Chroot-BIND-HOWTO.html" name="Chroot-BIND-HOWTO"> (regarding Bind 9) and <url id="http://www.tldp.org/HOWTO/Chroot-BIND8-HOWTO.html" name="Chroot-BIND8-HOWTO"> (regarding Bind 8). This same documents should be available through the installation of the <package>doc-linux-text</package> (text version) or <package>doc-linux-html</package> (HTML version). Another useful document is <url id="http://web.archive.org/web/20011024064030/http://www.psionic.com/papers/dns/dns-linux">.
fr: De plus, vous pouvez trouver plus d'informations concernant le chrootage de BIND dans le <url id="http://www.linuxdoc.org/HOWTO/Chroot-BIND-HOWTO.html" name="Chroot-BIND-HOWTO"> (au sujet de BIND 9) et <url id="http://www.linuxdoc.org/HOWTO/Chroot-BIND8-HOWTO.html" name="Chroot-BIND8-HOWTO"> (au sujet de BIND 8). Ces mêmes documents devraient être disponibles par l'installation de <package>doc-linux-text</package> (version texte) ou <package>doc-linux-html</package> (version HTML). Un autre document utile est <url id="http://web.archive.org/web/20011024064030/http://www.psionic.com/papers/dns/dns-linux">.

note: type: <p><example>
en: If you are setting up a full chroot jail (i.e. not just <tt>-t</tt>) for Bind in Debian, make sure you have the following files in it<footnote><p>This setup has not been tested for new release of Bind yet.</p></footnote>:
fr: Si vous configurez une véritable prison chroot (c'est-à-dire pas seulement l'option <tt>-t</tt>) pour BIND dans Debian, assurez-vous qu'elle contient les fichiers suivants<footnote><p>Cette configuration n'a pas encore été essayée pour les nouvelles versions de BIND.</p></footnote> :

note: type: <example></example>
en: dev/log - syslogd should be listening here
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group - with only a single line: "named:x:GID:"
    etc/ld.so.cache - generated with ldconfig 
    lib/ld-2.3.6.so
    lib/libc-2.3.6.so
    lib/ld-linux.so.2 - symlinked to ld-2.3.6.so
    lib/libc.so.6 - symlinked to libc-2.3.6.so
    sbin/ldconfig - may be deleted after setting up the chroot
    sbin/named-xfer - if you do name transfers
    var/run/
fr: dev/log - syslogd devrait écouter ici
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group - avec une seule ligne: "named:x:GID:"
    etc/ld.so.cache - généré avec ldconfig
    lib/ld-2.3.6.so
    lib/libc-2.3.6.so
    lib/ld-linux.so.2 - lié symboliquement à ld-2.3.6.so  
    lib/libc.so.6 - lié symboliquement à libc-2.3.6.so
    sbin/ldconfig - pourra être effacé après la configuration du chroot
    sbin/named-xfer - si vous faites des transferts de nom
    var/run/

note: type: <p></p>
en: And modify also <prgn>syslogd</prgn> listen on <tt>$CHROOT/dev/log</tt> so the named server can write syslog entries into the local system log.
fr: Modifiez aussi l'écoute de <prgn>syslogd</prgn> sur <tt>$CHROOT/dev/log</tt> pour que le serveur de nom puisse écrire des entrées de journalisation système dans le journal du système local.

note: type: <p><example>
en: If you want to avoid problems with dynamic libraries, you can compile bind statically. You can use <prgn>apt-get</prgn> for this, with the <tt>source</tt> option. It can even download the packages you need to properly compile it. You would need to do something similar to:
fr: Pour éviter des problèmes avec les bibliothèques dynamiques, vous pouvez compiler BIND statiquement. Vous pouvez utiliser <prgn>apt-get</prgn> pour cela avec l'option <tt>source</tt>. Il peut même récupérer les paquets dont vous avez besoin pour le compiler correctement. Il vous faudrait faire quelque chose comme&nbsp;:

note: type: <example></example>
en: $ apt-get source bind
    # apt-get build-dep bind
    $ cd bind-8.2.5-2
      (edit src/port/linux/Makefile so CFLAGS includes the '-static'
       option)
    $ dpkg-buildpackage -rfakeroot -uc -us
    $ cd ..
    # dpkg -i bind-8.2.5-2*deb
fr: $ apt-get source bind
    # apt-get build-dep bind
    $ cd bind-8.2.5-2
      (modifier src/port/linux/Makefile pour que CFLAGS contienne
       l'option « -static »)
    $ dpkg-buildpackage -rfakeroot -uc -us
    $ cd ..
    # dpkg -i bind-8.2.5-2*deb

note: type: <p></p>
en: After installation, you will need to move around the files to the chroot jail<footnote><p>Unless you use the <tt>instdir</tt> option when calling <prgn>dpkg</prgn> but then the chroot jail might be a little more complex.</p></footnote> you can keep the <tt>init.d</tt> scripts in <file>/etc/init.d</file> so that the system will automatically start the name server, but edit them to add <tt>--chroot /location_of_chroot</tt> in the calls to <prgn>start-stop-daemon</prgn> in those scripts or use the <em>-t</em> option for BIND by setting it in the OPTIONS argument at the <file>/etc/default/bind</file> (for version 8) or <file>/etc/default/bind9</file> (for version 9) configuration file.
fr: Après l'installation, vous devrez déplacer des fichiers dans la prison chroot<footnote><p>Sauf si vous utilisez l'option <tt>instdir</tt> lors de l'appel à <prgn>dpkg</prgn> mais alors la prison chroot peut être un petit peu plus complexe.</p></footnote> vous pouvez conserver les scripts <tt>init.d</tt> dans <file>/etc/init.d</file> pour que le système lance automatiquement le serveur de domaine, mais éditez les pour ajouter <tt>--chroot /location_of_chroot</tt> dans les appels à <prgn>start-stop-daemon</prgn> dans ces scripts ou utilisez l'option <em>-t</em> de BIND en la configurant dans l'argument OPTIONS du fichier de configuration <file>/etc/default/bind</file> (pour la version 8) ou <file>/etc/default/bind9</file> (pour la version 9).

note: type: <p></p>
en: For more information on how to set up chroots see <ref id="chroot">.
fr: Pour plus d'informations sur la mise en place de chroots, consultez <ref id="chroot">.

note: type: <p></p>
en: FIXME: Merge info from <url id="http://people.debian.org/~pzn/howto/chroot-bind.sh.txt">, <url id="http://www.cryptio.net/~ferlatte/config/"> (Debian-specific), <url id="http://web.archive.org/web/20021216104548/http://www.psionic.com/papers/whitep01.html"> and <url id="http://csrc.nist.gov/fasp/FASPDocs/NISTSecuringDNS.htm">.
fr: FIXME : Inclure les informations provenant de <url id="http://people.debian.org/~pzn/howto/chroot-bind.sh.txt">, <url id="http://www.cryptio.net/~ferlatte/config/"> (spécifique Debian), <url id="http://web.archive.org/web/20021216104548/http://www.psionic.com/papers/whitep01.html">, <url id="http://csrc.nist.gov/fasp/FASPDocs/NISTSecuringDNS.htm">.

note: type: <heading></heading>
en: Securing Apache
fr: Sécurisation d'Apache

note: type: <p></p>
en: FIXME: Add content: modules provided with the normal Apache installation (under /usr/lib/apache/X.X/mod_*) and modules that can be installed separately in libapache-mod-XXX packages.
fr: FIXME : Ajout de contenu&nbsp;: modules fournis par l'installation normale d'Apache (sous /usr/lib/apache/X.X/mod_*) et modules qui peuvent être installés séparément dans les paquets libapache-mod-XXX.

note: type: <p></p>
en: You can limit access to the Apache server if you only want to use it internally (for testing purposes, to access the <package>doc-central</package> archive, etc.) and do not want outsiders to access it. To do this use the <tt>Listen</tt> or <tt>BindAddress</tt> directives in <file>/etc/apache/http.conf</file>.
fr: Vous pouvez limiter l'accès au serveur Apache si vous voulez uniquement l'utiliser en interne (dans un but d'essai, pour accéder à l'archive <package>doc-central</package>, etc.) et si vous ne voulez pas que des intrus y accèdent. Pour réaliser cela, utilisez les directives <tt>Listen</tt> ou <tt>BindAddress</tt> dans <file>/etc/apache/http.conf</file>.

note: type: <p><example>
en: Using Listen:
fr: En utilisant Listen&nbsp;:

note: type: <p><example>
en: Using BindAddress:
fr: En utilisant BindAddress&nbsp;:

note: type: <p></p>
en: Then restart apache with <tt>/etc/init.d/apache restart</tt> and you will see that it is only listening on the loopback interface.
fr: Ensuite, redémarrez apache avec <tt>/etc/init.d/apache restart</tt> et vous observerez qu'il écoute uniquement l'interface loopback.

note: type: <p></p>
en: In any case, if you are not using all the functionality provided by Apache, you might want to take a look at other web servers provided in Debian like <package>dhttpd</package>.
fr: Dans tous les cas, si vous n'utilisez pas toutes les fonctionnalités fournies par Apache, vous pouvez jeter un &oelig;il aux autres serveurs web fournis dans Debian comme <package>dhttpd</package>.

note: type: <p></p>
en: The <url id="http://httpd.apache.org/docs/misc/security_tips.html" name="Apache Documentation"> provides information regarding security measures to be taken on Apache web server (this same information is provided in Debian by the <package>apache-doc</package> package).
fr: La <url id="http://httpd.apache.org/docs/misc/security_tips.html" name="documentation d'Apache"> fournit des informations concernant les mesures de sécurité à prendre pour les serveurs web Apache (ces mêmes informations sont fournies dans Debian par le paquet <package>apache-doc</package>).

note: type: <p></p>
en: More information on further restricting Apache by setting up a chroot jail is provided in <ref id="chroot-apache-env">.
fr: Plus d'informations sur des restrictions supplémentaires d'Apache en mettant en place une prison chrooté sont disponibles en <ref id="chroot-apache-env">.

note: type: <heading></heading>
en: Disabling users from publishing web contents
fr: Désactiver la publication de contenu sur le web par les utilisateurs

note: type: <p></p>
en: The default Apache installation in Debian permits users to publish content under the <file>$HOME/public_html</file>. This content can be retrieved remotely using an URL such as: http://your_apache_server/~user.
fr: L'installation par défaut d'Apache dans Debian permet aux utilisateurs de publier du contenu dans leur répertoire <file>$HOME/public_html</file>. Ce contenu peut être récupéré à distance en utilisant une URL comme&nbsp;: http://serveur_apache/~utilisateur.

note: type: <p><example>
en: If you do not want to permit this you must change the <file>/etc/apache/http.conf</file> configuration file commenting out (in Apache 1.3) the following module:
fr: Pour empêcher cela, veuillez modifier le fichier de configuration <file>/etc/apache/http.conf</file> en commentant (pour Apache 1.3) le module suivant :

note: type: <p></p>
en: If you are using Apache 2.0 you must remove the file <file>/etc/apache2/mods-enabled/userdir.load</file> or restrict the default configuration by modifying <file>/etc/apache2/mods-enabled/userdir.conf</file>.
fr: Avec Apache 2.0, il faut supprimer le fichier <file>/etc/apache2/mods-enabled/userdir.load</file> ou restreindre la configuration par défaut en modifiant <file>/etc/apache2/mods-enabled/userdir.conf</file>.

note: type: <p><example>
en: However, if the module was linked statically (you can list the modules that are compiled in running <tt>apache -l</tt>) you must add the following to the Apache configuration file:
fr: Cependant, si le module a été lié statiquement (vous pouvez obtenir la liste des modules compilés en exécutant <tt>apache -l</tt>), vous devez ajouter la ligne suivante au fichier de configuration d'Apache :

note: type: <p></p>
en: An attacker might still do user enumeration, since the answer of the web server will be a <em>403 Permission Denied</em> and not a <em>404 Not available</em>. You can avoid this if you use the Rewrite module.
fr: Un attaquant peut encore faire de l'énumération d'utilisateur, car la réponse du serveur web sera un <em>403 Permission Denied</em> et non un <em>404 Not available</em>. Vous pouvez éviter cela en utilisant le module Rewrite.

note: type: <heading></heading>
en: Logfiles permissions
fr: Permissions des fichiers de journalisation

note: type: <p></p>
en: Apache logfiles, since 1.3.22-1, are owned by user 'root' and group 'adm' with permissions 640. These permissions are changed after rotation. An intruder that accessed the system through the web server would not be able (without privilege escalation) to remove old log file entries.
fr: Les fichiers de journalisation d'Apache, depuis la version&nbsp;1.3.22-1, ont pour propriétaire l'utilisateur «&nbsp;root&nbsp;» et pour groupe «&nbsp;adm&nbsp;» avec les permissions 640. Ces permissions sont changées après la rotation. Un intrus qui peut accéder au système par le serveur web ne pourra pas (sans augmentation de droits) enlever d'anciennes entrées de fichiers de log.

note: type: <heading></heading>
en: Published web files
fr: Fichiers web publiés

note: type: <p></p>
en: Apache files are located under <file>/var/www</file>. Just after installation the default file provides some information on the system (mainly that it's a Debian system running Apache). The default webpages are owned by user root and group root by default, while the Apache process runs as user www-data and group www-data. This should make attackers that compromise the system through the web server harder to deface the site. You should, of course, substitute the default web pages (which might provide information you do not want to show to outsiders) with your own.
fr: Les fichiers d'Apache sont situés sous <file>/var/www</file>. Juste après l'installation, le fichier par défaut fournit quelques informations sur le système (principalement qu'il s'agit d'un système Debian exécutant Apache). Les pages web par défaut appartiennent à l'utilisateur root et au groupe root par défaut alors que le processus Apache s'exécute avec l'utilisateur www-data et le groupe www-data. Cela devrait rendre plus difficile aux attaquants qui compromettent le système par le site web de le défigurer. Vous devriez, bien sûr, remplacer les pages web par défaut (qui peuvent fournir des informations que vous ne voulez pas donner aux visiteurs) avec les vôtres.

note: type: <heading></heading>
en: Securing finger
fr: Sécurisation de finger

note: type: <p><list>
en: If you want to run the finger service first ask yourself if you need to do so. If you do, you will find out that Debian provides many finger daemons (output from <prgn>apt-cache search fingerd</prgn>):
fr: Si vous désirez utiliser le service finger, demandez-vous si vous en avez réellement besoin. Si oui, vous découvrirez que Debian fournit de nombreux démons finger (sortie d'un <prgn>apt-cache search fingerd</prgn>):

note: type: <p></p>
en: cfingerd - Configurable finger daemon
fr: cfingerd - démon finger configurable

note: type: <p></p>
en: efingerd - Another finger daemon for unix, capable of fine-tuning your output.
fr: efingerd - autre démon finger pour UNIX capable de syntoniser précisément la sortie

note: type: <p></p>
en: ffingerd - a secure finger daemon
fr: ffingerd - démon finger sécurisé

note: type: <p></p>
en: fingerd - Remote user information server.
fr: fingerd - serveur distant pour informations d'utilisateurs

note: type: <p></p>
en: xfingerd - BSD-like finger daemon with qmail support.
fr: xfingerd - démon finger de type BSD avec la prise en charge de qmail

note: type: <p></p>
en: <package>ffingerd</package> is the recommended finger daemon if you are going to use it for a public service. In any case, you are encouraged to, when setting it up through inetd, xinetd or tcpserver to: limit the number of processes that will be running at the same time, limit access to the finger daemon from a given number of hosts (using tcp wrappers) and having it only listening to the interface you need it to be in.
fr: <package>ffingerd</package> est le démon finger recommandé si vous comptez l'utiliser pour un service public. Dans tous les cas, vous devriez, lors de la mise en place par inetd, xinetd ou tcpserver, limiter le nombre de processus qui seront lancés en même temps, limiter les accès au démon finger depuis un nombre d'hôtes donné (en utilisant l'encapsulation TCP) et l'avoir en écoute uniquement sur une interface bien définie.

note: type: <heading></heading>
en: General chroot and suid paranoia
fr: Paranoïa généralisée du suid et du chroot

note: type: <p></p>
en: <prgn>chroot</prgn> is one of the most powerful possibilities to restrict a daemon or a user or another service. Just imagine a jail around your target, which the target cannot escape from (normally, but there are still a lot of conditions that allow one to escape out of such a jail). If you do not trust a user or a service, you can create a modified root environment for him. This can use quite a bit of disk space as you need to copy all needed executables, as well as libraries, into the jail. But then, even if the user does something malicious, the scope of the damage is limited to the jail.
fr: <prgn>chroot</prgn> est l'une des plus puissantes possibilités pour restreindre un démon, un utilisateur ou un autre service. Imaginez simplement une prison autour de votre cible, de laquelle votre cible ne peut s'échapper (normalement, mais il y a encore beaucoup de conditions qui peuvent permettre de s'échapper d'une telle prison). Si vous ne faites pas confiance à l'utilisateur ou au service, vous pouvez créer un environnement racine modifié pour lui. Cela peut utiliser pas mal d'espace disque car vous devez copier tous les exécutables nécessaires, ainsi que des bibliothèques, dans la prison. Mais alors, même si l'utilisateur fait quelque chose de malveillant, l'étendue des dommages est limitée à la prison.

note: type: <p></p>
en: Many services running as daemons could benefit from this sort of arrangement. The daemons that you install with your Debian distribution will not come, however, chrooted<footnote><p>It does try to run them under <em>minimum priviledge</em> which includes running daemons with their own users instead of having them run as root.</p></footnote> per default.
fr: Un grand nombre de services fonctionnant en démons pourraient bénéficier de ce type d'arrangement. Les démons que vous installez dans votre distribution Debian ne seront cependant pas fournis chrootés<footnote><p>Elle essaie de les faire fonctionner avec le <em>minimum de droits</em>, y compris exécuter les démons avec leur propre utilisateur au lieu de les exécuter en tant que superutilisateur.</p></footnote> par défaut.

note: type: <p></p>
en: This includes: name servers (such as <prgn>bind</prgn>), web servers (such as <prgn>apache</prgn>), mail servers (such as <prgn>sendmail</prgn>) and ftp servers (such as <prgn>wu-ftpd</prgn>). It is probably fair to say that the complexity of BIND is the reason why it has been exposed to a lot of attacks in recent years (see <ref id="sec-bind">).
fr: Exemples : serveurs de noms de domaine (comme <prgn>bind</prgn>), serveurs web (comme <prgn>apache</prgn>), serveurs de courrier (comme <prgn>sendmail</prgn>) et serveurs FTP (comme <prgn>wu-ftpd</prgn>). La complexité de BIND est probablement la raison pour laquelle il a été exposé à de nombreuses attaques ces dernières années (consultez <ref id="sec-bind">).

note: type: <p></p>
en: However, Debian does provide some software that can help set up <prgn>chroot</prgn> environments. See <ref id="auto-chroot">.
fr: Cependant, Debian fournit des logiciels qui peuvent vous aider à mettre en place des environnements <prgn>chroot</prgn>. Consultez <ref id="auto-chroot">.

note: type: <p></p>
en: Anyway, if you run any service on your system, you should consider running them as secure as possible. This includes: revoking root privileges, running in a restricted environment (such as a chroot jail) or replacing them with a more secure equivalent.
fr: De toute façon, si vous exécutez un quelconque service sur votre système, vous devriez considérer de le faire fonctionner de la façon la plus sécurisée possible. Cela comprend&nbsp;: révoquer les droits du superutilisateur, le faire fonctionner dans un environnement restreint (comme une prison chroot) ou le remplacer par un équivalent plus sécurisé.

note: type: <p></p>
en: However, be forewarned that a <prgn>chroot</prgn> jail can be broken if the user running in it is the superuser. So, you need to make the service run as a non-privileged user. By limiting its environment you are limiting the world readable/executable files the service can access, thus, you limit the possibilities of a privilege escalation by use of local system security vulnerabilities. Even in this situation you cannot be completely sure that there is no way for a clever attacker to somehow break out of the jail. Using only server programs which have a reputation for being secure is a good additional safety measure. Even minuscule holes like open file handles can be used by a skilled attacker for breaking into the system. After all, <prgn>chroot</prgn> was not designed as a security tool but as a testing tool.
fr: Cependant, soyez prévenu qu'une prison <prgn>chroot</prgn> peut être cassée si l'utilisateur fonctionnant dedans est le superutilisateur. Vous devez donc faire fonctionner le service avec un utilisateur sans droits élevés. En limitant son environnement, vous limitez les fichiers lisibles et exécutables par tout le monde auxquels le service peut accéder, vous limitez donc aussi les possibilités d'une augmentation de droits en utilisant des failles de sécurité sur le système local. Même dans une situation où vous ne pouvez pas être complètement certain qu'il n'y a pas de moyen pour un attaquant intelligent de sortir de la prison d'une manière ou d'une autre. Utiliser seulement des programmes serveur ayant une réputation de sécurité est une bonne mesure de sécurité additionnelle. Même des trous minuscules comme des descripteurs de fichier peuvent être utilisés par un attaquant doué pour s'introduire dans le système. Après tout, <prgn>chroot</prgn> n'a pas été conçu pour être un outil de sécurité, mais un outil de test.

note: type: <heading></heading>
en: Making chrooted environments automatically
fr: Créer des environnements chrooté automatiquement

note: type: <p></p>
en: There are several programs to chroot automatically servers and services. Debian currently (accepted in May 2002) provides Wietse Venema's <prgn>chrootuid</prgn> in the <package>chrootuid</package> package, as well as <package>compartment</package> and <package>makejail</package>. These programs can be used to set up a restricted environment for executing any program (<prgn>chrootuid</prgn> enables you to even run it as a restricted user).
fr: Plusieurs programmes permettent de chrooter automatiquement des serveurs et services. Debian fournit actuellement (accepté en mai 2002) <prgn>chrootuid</prgn> de Wietse Venema dans le paquet <package>chrootuid</package>, ainsi que <package>compartment</package> et <package>makejail</package>. Ces programmes peuvent être utilisés pour mettre en place un environnement restreint pour exécuter tout programme (<prgn>chrootuid</prgn> vous permet même de l'exécuter avec un utilisateur restreint).

note: type: <p></p>
en: Some of these tools can be used to set up the chroot environment easily. The <prgn>makejail</prgn> program for example, can create and update a chroot jail with short configuration files (it provides sample configuration files for <prgn>bind</prgn>, <prgn>apache</prgn>, <prgn>postgresql</prgn> and <prgn>mysql</prgn>). It attempts to guess and install into the jail all files required by the daemon using <prgn>strace</prgn>, <prgn>stat</prgn> and Debian's package dependencies. More information at <url id="http://www.floc.net/makejail/">. <prgn>Jailer</prgn> is a similar tool which can be retrieved from <url id="http://www.balabit.hu/downloads/jailer/"> and is also available as a Debian package.
fr: Certains de ces outils peuvent être utilisés pour mettre en place l'environnement chrooté facilement. Le programme <prgn>makejail</prgn>, par exemple, peut créer et mettre à jour une prison chroot avec de petits fichiers de configuration (il fournit des fichiers de configuration exemple pour <prgn>bind</prgn>, <prgn>apache</prgn>, <prgn>postgresql</prgn> et <prgn>mysql</prgn>). Il tente de deviner et d'installer dans la prison tous les fichiers nécessaires au démon en utilisant <prgn>strace</prgn>, <prgn>stat</prgn> et les dépendances du paquet Debian. De plus amples renseignements sont disponibles à <url id="http://www.floc.net/makejail/">. <prgn>Jailer</prgn> est un outil semblable disponible à <url id="http://www.balabit.hu/downloads/jailer/"> et en paquet Debian.

note: type: <heading></heading>
en: General cleartext password paranoia
fr: Paranoïa généralisée du mot de passe en texte clair

note: type: <p></p>
en: You should try to avoid any network service which sends and receives passwords in cleartext over a net like FTP/Telnet/NIS/RPC. The author recommends the use of ssh instead of telnet and ftp to everybody.
fr: Vous devriez essayer d'éviter tout service réseau qui envoie et reçoit des mots de passe en texte clair par le net comme FTP/TELNET/NIS/RPC. L'auteur recommande l'utilisation de SSH à la place de TELNET et FTP pour tout le monde.

note: type: <p></p>
en: Keep in mind that migrating from telnet to ssh, but using other cleartext protocols does not increase your security in ANY way! Best would be to remove ftp, telnet, pop, imap, http and to supersede them with their respective encrypted services. You should consider moving from these services to their SSL versions, ftp-ssl, telnet-ssl, pop-ssl, https ...
fr: Gardez à l'esprit que la migration de TELNET vers SSH, en conservant l'utilisation d'autres protocoles à texte non chiffrés n'augmente votre sécurité en AUCUNE manière&nbsp;! Le mieux serait de retirer FTP, TELNET, POP, IMAP, HTTP et de les remplacer par leurs services chiffrés respectifs. Vous devriez considérer la migration de ces services vers leurs versions SSL, ftp-ssl, telnet-ssl, pop-ssl, HTTPS, etc.

note: type: <p></p>
en: Most of these above listed hints apply to every Unix system (you will find them if reading any other hardening-related document related to Linux and other Unices).
fr: La plupart des astuces ci-dessus s'appliquent à tout système UNIX (vous les trouverez dans des documents de durcissement liés à Linux et autres UNIX).

note: type: <heading></heading>
en: Disabling NIS
fr: Désactivation du NIS

note: type: <p></p>
en: You should not use NIS, the Network Information Service, if possible, because it allows password sharing. This can be highly insecure if your setup is broken.
fr: Si possible, évitez d'utiliser NIS, le service d'informations réseau (« Network Information Service »), car il autorise le partage de mot de passe. Cela peut être fortement dangereux si votre installation est cassée.

note: type: <p></p>
en: If you need password sharing between machines, you might want to consider using other alternatives. For example, you can setup an LDAP server and configure PAM on your system in order to contact the LDAP server for user authentication. You can find a detailed setup in the <url id="http://www.tldp.org/HOWTO/LDAP-HOWTO.html" name="LDAP-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</file>).
fr: Si vous avez besoin de partager les mots de passe entre machines, pensez à d'autres alternatives. Par exemple, mettre en place un serveur LDAP et configurer PAM sur votre système afin de contacter le serveur LDAP pour l'authentification des utilisateurs. Une installation détaillée est disponible dans le <url id="http://www.linuxdoc.org/HOWTO/LDAP-HOWTO.html" name="LDAP-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</file>).

note: type: <p></p>
en: You can read more about NIS security in the <url id="http://www.tldp.org/HOWTO/NIS-HOWTO.html" name="NIS-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/NIS-HOWTO.txt.gz</file>).
fr: Des informations supplémentaires sur la sécurité de NIS sont disponibles à l'adresse <url id="http://www.linuxdoc.org/HOWTO/NIS-HOWTO.html" name="NIS-HOWTO"> (<file>/usr/share/doc/HOWTO/fr-txt/NIS-HOWTO.txt.gz</file>).

note: type: <p></p>
en: FIXME (jfs): Add info on how to set this up in Debian.
fr: FIXME (jfs)&nbsp;: Ajouter des renseignements sur la façon de configurer cela dans Debian.

note: type: <heading></heading>
en: Securing RPC services
fr: Sécurisation des services RPC

note: type: <p></p>
en: You should disable RPC if you do not need it.
fr: Vous devriez désactiver RPC si vous n'en avez pas besoin.

note: type: <p></p>
en: Remote Procedure Call (RPC) is a protocol that programs can use to request services from other programs located on different computers. The <prgn>portmap</prgn> service controls RPC services by mapping RPC program numbers into DARPA protocol port numbers; it must be running in order to make RPC calls.
fr: Les appels de procédure à distance («&nbsp;Remote Procedure Call&nbsp;» ou RPC) sont un protocole que les programmes peuvent utiliser pour demander des services de la part d'autres programmes liées sur différents ordinateurs. Le service <prgn>portmap</prgn> contrôle les services RPC en convertissant les numéros de programme RPC en numéros de port du protocole DARPA&nbsp;; il doit fonctionner pour pouvoir faire des appels RPC.

note: type: <p></p>
en: RPC-based services have had a bad record of security holes, although the portmapper itself hasn't (but still provides information to a remote attacker). Notice that some of the DDoS (distributed denial of service) attacks use RPC exploits to get into the system and act as a so called agent/handler.
fr: Les services basés sur RPC ont eu un mauvaise historique de trous de sécurité, bien que le portmapper lui-même n'en a pas (mais il fournit des informations à un attaquant distant). Notez que certaines des attaques DDoS (déni de service distribué) exploitent RPC pour entrer dans le système et agir en tant qu'agent ou gestionnaire.

note: type: <p></p>
en: You only need RPC if you are using an RPC-based service. The most common RPC-based services are NFS (Network File System) and NIS (Network Information System). See the previous section for more information about NIS. The File Alteration Monitor (FAM) provided by the package <package>fam</package> is also an RPC service, and thus depends on <package>portmap</package>.
fr: Vous n'avez besoin de RPC que si vous utilisez un service basé sur RPC. Les services basés sur RPC les plus communs sont NFS (Network File System) et NIS (Network Information System). Consultez la section précédente pour plus d'informations à propos de NIS. Le File Alteration Monitor (FAM) fourni par le paquet <package>fam</package> est également un service RPC et dépend donc de <package>portmap</package>.

note: type: <p></p>
en: NFS services are quite important in some networks. If that is the case for you, then you will need to find a balance of security and usability for your network (you can read more about NFS security in the <url id="http://www.tldp.org/HOWTO/NFS-HOWTO.html" name="NFS-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/NFS-HOWTO.txt.gz</file>)).
fr: Les services NFS sont assez importants dans certains réseaux. Si c'est le cas pour vous, vous aurez alors besoin de trouver un équilibre entre la sécurité et l'utilisabilité du réseau (plus de renseignements à propos de la sécurité NFS sont disponibles dans le <url id="http://www.tldp.org/HOWTO/NFS-HOWTO.html" name="NFS-HOWTO"> ou <file>/usr/share/doc/HOWTO/fr-txt/NFS-HOWTO.txt.gz</file>).

note: type: <heading></heading>
en: Disabling RPC services completely
fr: Désactivation des services RPC

note: type: <p></p>
en: Disabling portmap is quite simple. There are several different methods. The simplest one in a Debian 3.0 system and later releases is to uninstall the <package>portmap</package> package. If you are running an older Debian version you will have to disable the service as seen in <ref id="disableserv">, because the program is part of the <package>netbase</package> package (which cannot be de-installed without breaking the system).
fr: La désactivation de portmap est assez simple. Il y a différentes méthodes. La plus simple sur un système Debian 3.0 et versions supérieures est de désinstaller le paquet <package>portmap</package>. Si vous exécutez une version plus ancienne, vous devrez désactiver le service comme expliqué dans <ref id="disableserv">, cela est dû au fait que le programme fait partie du paquet <package>netbase</package> (qui ne peut être désinstallé sans endommager le système).

note: type: <p></p>
en: Notice that some desktop environments (notably, GNOME) use RPC services and need the portmapper for some of the file management features. If this is your case, you can limit the access to RPC services as described below.
fr: Notez que certains environnements de bureau (notamment, GNOME) utilisent des services RPC et ont besoin du portmapper pour certaines fonctionnalités de gestion de fichiers. Si c'est votre cas, vous pouvez limiter l'accès aux services RPC comme décrit ci-dessous.

note: type: <heading></heading>
en: Limiting access to RPC services
fr: Limiter l'accès aux services RPC

note: type: <p></p>
en: Unfortunately, in some cases removing RPC services from the system is not an option. Some local desktop services (notably SGI's <package>fam</package>) are RPC based and thus need a local portmapper. This means that under some situations, users installing a desktop environment (like GNOME) will install the portmapper too.
fr: Malheureusement, dans certains cas, supprimer les services RPC du système n'est pas une option. Certains services de bureau local (notamment <package>fam</package> de SGI) sont basés sur RPC et ont donc besoin d'un portmapper local. Cela veut dire que dans certains circonstances, des utilisateurs installant un environnement de bureau (comme GNOME) installera également le portmapper.

note: type: <p><list>
en: There are several ways to limit access to the portmapper and to RPC services:
fr: Il y a différentes façons de limiter l'accès au portmapper et aux services RPC&nbsp;:

note: type: <p></p>
en: Block access to the ports used by these services with a local firewall (see <ref id="firewall-setup">).
fr: bloquer l'accès aux ports utilisés par ces services avec un pare-feu local (consultez <ref id="firewall-setup">)&nbsp;;

note: type: <p></p>
en: Block access to these services using tcp wrappers, since the portmapper (and some RPC services) are compiled with <file>libwrap</file> (see <ref id="tcpwrappers">). This means that you can block access to them through the <file>hosts.allow</file> and <file>hosts.deny</file> tcp wrappers configuration.
fr: bloquer l'accès à ces services en utilisant l'encapsulation TCP, car le portmapper (et certains services RPC) sont compilés avec <file>libwrap</file> (consultez <ref id="tcpwrappers">). Cela veut dire que vous pouvez en bloquer l'accès par la configuration des fichiers <file>hosts.allow</file> et <file>hosts.deny</file> de l'encapsulation TCP ;

note: type: <p></p>
en: Since version 5-5, the <package>portmap</package> package can be configured to listen only on the loopback interface. To do this, modify <file>/etc/default/portmap</file>, uncomment the following line: <tt>#OPTIONS="-i 127.0.0.1"</tt> and restart the portmapper. This is sufficient to allow local RPC services to work while at the same time prevents remote systems from accessing them (see, however, <ref id="limit-bindaddr">).
fr: depuis la version 5-5, le paquet <package>portmap</package> peut être configuré pour n'écouter que sur l'interface loopback. Pour faire cela, modifiez <file>/etc/default/portmap</file>, décommentez la ligne suivante&nbsp;: <tt>#OPTIONS="-i 127.0.0.1"</tt> et redémarrez le portmapper. Cela est suffisant pour autorisez les services locaux et en même temps pour prévenir les systèmes distants à y accéder (consultez, cependant, <ref id="limit-bindaddr">).

note: type: <heading></heading>
en: Adding firewall capabilities
fr: Ajouter des capacités au pare-feu

note: type: <p></p>
en: The Debian GNU/Linux operating system has the built-in capabilities provided by the Linux kernel <footnote><p></p></footnote>. If you install a recent Debian release (default kernel installed is 2.6) you will have <prgn>iptables</prgn> (netfilter) firewalling available<footnote><p>Available since the kernel version 2.4 (which was the default kernel in Debian 3.0). Previous kernel versions (2.2, available in even older Debian releases) used <prgn>ipchains</prgn>. The main difference between <prgn>ipchains</prgn> and <prgn>iptables</prgn> is that the latter is based on <em>stateful packet inspection</em> which provides for more secure (and easier to build) filtering configurations. Older (and now unsupported) Debian distributions using the 2.0 kernel series needed the appropriate kernel patch.</p></footnote>.
fr: Le système d'exploitation Debian GNU/Linux possède les capacités intégrées fournies par le noyau Linux <footnote><p></p></footnote>. Si vous installez une version récente de Debian (le noyau installé par défaut est le 2.6) vous aurez la fonctionnalité pare-feu <prgn>iptables</prgn> (netfilter) disponible<footnote><p>Disponible depuis le noyau 2.4 (qui était le noyau par défaut de Debian 3.0). Les versions de noyau précédentes (2.2, disponibles dans les versions encore plus anciennes de Debian) utilisaient <prgn>ipchains</prgn>. La principale différence entre <prgn>ipchains</prgn> et <prgn>iptables</prgn> est que ce dernier est basé sur une <em>inspection des paquets en fonction de l'état</em> (stateful packet inspection) qui fournit des configurations de filtrage plus sécurisées (et plus faciles à construire). Les distributions Debian plus anciennes (qui ne sont plus prises en charge) utilisant un noyau 2.0 ont besoin du correctif de noyau correspondant.</p></footnote>.

note: type: <heading></heading>
en: Firewalling the local system
fr: Protéger le système local avec un pare-feu

note: type: <p></p>
en: You can use firewall rules as a way to secure the access to your local system and, even, to limit the outbound communications made by it. Firewall rules can also be used to protect processes that cannot be properly configured <em>not</em> to provide services to some networks, IP addresses, etc.
fr: Vous pouvez utiliser des règles de pare-feu comme façon de sécuriser l'accès à votre système local et, même, de limiter les connexions sortantes effectuées par celui-ci. Des règles de pare-feu peuvent être également utilisées pour protéger des processus qui ne peuvent être proprement configurés pour <em>ne pas</em> fournir certains services à certains réseaux, certaines adresses IP, etc.

note: type: <p></p>
en: However, this step is presented last in this manual basically because it is <em>much</em> better not to depend solely on firewalling capabilities in order to protect a given system. Security in a system is made up of layers, firewalling should be the last to include, once all services have been hardened. You can easily imagine a setup in which the system is solely protected by a built-in firewall and an administrator blissfully removes the firewall rules for whatever reason (problems with the setup, annoyance, human error...), this system would be wide open to an attack if there were no other hardening in the system to protect from it.
fr: Toutefois, cette étape est présentée en dernier dans ce manuel car il est <em>largement</em> préférable de ne pas dépendre exclusivement des capacités d'un pare-feu pour protéger un système donné. La sécurité dans un système est réalisée par couches, le filtrage devrait être la dernière, une fois que tous les services ont été renforcés. Vous pouvez facilement imaginer une installation dans laquelle le système est uniquement protégé par le pare-feu et que l'administrateur enlève bêtement les règles pour n'importe quelle raison (problèmes avec l'installation, exaspération, erreur humaine, etc.), ce système pourrait être grand ouvert à une attaque s'il n'y avait aucun autre renforcement dans le système pour le protéger.

note: type: <p></p>
en: On the other hand, having firewall rules on the local system also prevents some bad things from happening. Even if the services provided are configured securely, a firewall can protect from misconfigurations or from fresh installed services that have not yet been properly configured. Also, a tight configuration will prevent trojans <em>calling home</em> from working unless the firewalling code is removed. Note that an intruder does <em>not</em> need superuser access to install a trojan locally that could be remotely controlled (since binding on ports is allowed if they are not priviledged ports and capabilities have not been removed).
fr: D'un autre côté, avoir des règles de pare-feu sur le système local prévient également quelques mauvaises choses de se produire. Même si les services fournis sont configurés avec sécurité, un pare-feu peut protéger des erreurs de configuration ou des services fraîchement installés qui n'ont pas encore été configurés correctement. Une configuration serrée préviendra également un cheval de Troie <em>appelant à la maison</em> de fonctionner sauf si le code de pare-feu est enlevé. Notez qu'un intrus n'a <em>pas</em> besoin de l'accès superutilisateur pour installer un cheval de Troie qui pourrait être contrôlé à distance (car l'ouverture sur des ports est autorisée si le port n'est pas privilégié et si des capacités n'ont pas été supprimées).

note: type: <p><list>
en: Thus, a proper firewall setup would be one with a default deny policy, that is:
fr: Une configuration correcte de pare-feu serait donc une règle de refus par défaut, c'est-à-dire&nbsp;:

note: type: <p></p>
en: incoming connections are allowed only to local services by allowed machines.
fr: les connexions entrantes ne sont autorisés que pour des services locaux par des machines autorisées&nbsp;;

note: type: <p></p>
en: outgoing connections are only allowed to services used by your system (DNS, web browsing, POP, email...).<footnote><p>Unlike personal firewalls in other operating systems, Debian GNU/Linux does not (yet) provide firewall generation interfaces that can make rules limiting them per process or user. However, the iptables code can be configured to do this (see the owner module in the <manref name="iptables" section="8"> manpage).</p></footnote>
fr: les connexions sortantes ne sont autorisés que pour les services utilisés par votre système (DNS, navigation web, POP, courrier, etc.)<footnote><p>À la différence des pare-feu personnels d'autres systèmes d'exploitation, Debian&nbsp;GNU/Linux ne fournit pas (encore) d'interface de génération de pare-feu qui puisse créer des règles les limitant par processus ou par utilisateur. Cependant, le code iptables peut être configuré pour faire cela (consultez le module propriétaire (owner) dans la page de manuel <manref section="8" name="iptables">).</p></footnote>&nbsp;;

note: type: <p></p>
en: the forward rule denies everything (unless you are protecting other systems, see below).
fr: la règle forward interdit tout (à moins que vous ne protégiez d'autres systèmes, voir ci-dessous)&nbsp;;

note: type: <p></p>
en: all other incoming or outgoing connections are denied.
fr: toutes les autres connexions entrantes et sortantes sont interdites.

note: type: <heading></heading>
en: Using a firewall to protect other systems
fr: Utiliser un pare-feu pour protéger d'autres systèmes

note: type: <p></p>
en: A Debian firewall can also be installed in order to protect, with filtering rules, access to systems <em>behind</em> it, limiting their exposure to the Internet. A firewall can be configured to prevent access from systems outside of the local network to internal services (ports) that are not public. For example, on a mail server, only port 25 (where the mail service is being given) needs to be accessible from the outside. A firewall can be configured to, even if there are other network services besides the public ones running in the mail server, throw away packets (this is known as <em>filtering</em>) directed towards them.
fr: Un pare-feu Debian peut aussi être installé de façon à protéger, selon des règles de filtrage, l'accès aux systèmes <em>derrière</em> lui, limitant leur exposition à Internet. Un pare-feu peut être configuré pour interdire l'accès de systèmes en dehors de votre réseau local à des services internes (ports) qui ne sont pas publics. Par exemple, sur un serveur de messagerie, seul le port 25 (où le service de courrier est fourni) doit être accessible depuis l'extérieur. Un pare-feu peut être configuré pour, même s'il y a d'autres services en plus des services publics, rejeter les paquets (c'est connu sous le nom de<em>filtrage</em>) dirigés vers eux.

note: type: <p></p>
en: You can even set up a Debian GNU/Linux box as a bridge firewall, i.e. a filtering firewall completely transparent to the network that lacks an IP address and thus cannot be attacked directly. Depending on the kernel you have installed, you might need to install the bridge firewall patch and then go to <em>802.1d Ethernet Bridging</em> when configuring the kernel and a new option <em>netfilter ( firewalling ) support</em>. See the <ref id="bridge-fw"> for more information on how to set this up in a Debian GNU/Linux system.
fr: Vous pouvez même installer une machine Debian GNU/Linux en tant que pont pare-feu, c'est-à-dire un pare-feu filtrant complètement transparent pour le réseau qui est dépourvu d'adresse IP et donc ne peut pas être attaqué directement. Selon le noyau que vous avez installé, vous pouvez avoir besoin d'installer le correctif pare-feu pour pont, puis aller à <em>802.1d Ethernet Bridging</em> lors de la configuration du noyau et une nouvelle option <em>netfilter (firewalling) support</em>. Consultez <ref id="bridge-fw"> pour plus d'informations sur la façon de faire cela dans un système Debian&nbsp;GNU/Linux.

note: type: <heading></heading>
en: Setting up a firewall
fr: Mettre en place un pare-feu

note: type: <p></p>
en: The default Debian installation, unlike other Linux distributions, does not yet provide a way for the administrator to setup a firewall configuration throughout the default installation but you can install a number of firewall configuration packages (see <ref id="firewall-pack">).
fr: L'installation Debian par défaut, à la différence d'autres distributions Linux, ne fournit pas encore de moyen pour l'administrateur de mettre une configuration de pare-feu lors de l'installation, mais vous pouvez installer un certain nombre de paquets de configuration de pare-feu (consultez <ref id="firewall-pack">).

note: type: <p></p>
en: Of course, the configuration of the firewall is always system and network dependant. An administrator must know beforehand what is the network layout and the systems he wants to protect, the services that need to be accessed, and whether or not other network considerations (like NAT or routing) need to be taken into account. Be careful when configuring your firewall, as Laurence J. Lane says in the <package>iptables</package> package:
fr: Bien sûr, la configuration du pare-feu dépend toujours du système et du réseau. Un administrateur doit connaître auparavant quelle est la disposition du réseau, les systèmes qu'il désire protéger et si d'autres considérations réseau (comme le NAT ou le routage) doivent être prises en compte ou non. Soyez prudent quand vous configurez votre pare-feu, comme le dit Laurence J. Lane dans son paquet <package>iptables</package>&nbsp;:

note: type: <p></p>
en: <em>The tools can easily be misused, causing enormous amounts of grief by completely crippling network access to a system. It is not terribly uncommon for a remote system administrator to accidentally lock himself out of a system hundreds or thousands of miles away. One can even manage to lock himself out of a computer who's keyboard is under his fingers. Please, use due caution.</em>
fr: <em>Les outils peuvent facilement être mal utilisés, entraînant d'énormes quantités de maux en paralysant complètement l'accès au réseau pour un système d'ordinateur. Il n'est pas très inhabituel pour un administrateur système de se bloquer lui-même en dehors du système situé à quelques centaines ou milliers de kilomètres de là. Il est même possible de se bloquer en dehors d'un ordinateur dont le clavier est sous ses doigts. Veuillez s'il vous plaît l'utiliser avec précaution.</em>

note: type: <p></p>
en: Remember this: just installing the <package>iptables</package> (or the older firewalling code) does not give you any protection, just provides the software. In order to have a firewall you need to <em>configure</em> it!
fr: Rappelez-vous de cela&nbsp;: installer simplement le paquet <package>iptables</package> (ou l'ancien code de pare-feu) ne vous fournit pas de protection, mais seulement les logiciels. Pour avoir un pare-feu, vous devez le <em>configurer</em>&nbsp;!

note: type: <p></p>
en: If you do not have a clue on how to set up your firewall rules manually consult the <em>Packet Filtering HOWTO</em> and <em>NAT HOWTO</em> provided by <package>iptables</package> for offline reading at <file>/usr/share/doc/iptables/html/</file>.
fr: Si vous ne savez pas comment configurer les règles de votre pare-feu manuellement, veuillez consulter le <em>Packet Filtering HOWTO</em> et le <em>NAT HOWTO</em> fournis par <package>iptables</package> pour une lecture hors ligne à <file>/usr/share/doc/iptables/html/</file>.

note: type: <p></p>
en: If you do not know much about firewalling you should start by reading the <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewalling and Proxy Server HOWTO">, install the <package>doc-linux-text</package> package if you want to read it offline. If you want to ask questions or need help setting up a firewall you can use the debian-firewall mailing list, see <url id="http://lists.debian.org/debian-firewall">. Also see <ref id="references"> for more (general) pointers on firewalls. Another good iptables tutorial is <url id="http://iptables-tutorial.frozentux.net/iptables-tutorial.html">.
fr: Si vous ne connaissez pas grand chose sur les pare-feu, vous devriez commencer par lire le <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewalling and Proxy Server HOWTO">, installez le paquet <package>doc-linux-text</package> si vous voulez le lire hors ligne. Si vous désirez poser des questions ou demander de l'aide pour configurer un pare-feu, vous pouvez utiliser la liste de diffusion debian-firewall, consultez <url id="http://lists.debian.org/debian-firewall">. Consultez également <ref id="references"> pour plus de pointeurs (généraux) sur les pare-feu. Un autre bon tutoriel d'iptables est <url id="http://iptables-tutorial.frozentux.net/iptables-tutorial.html">.

note: type: <heading></heading>
en: Using firewall packages
fr: Paquets pare-feu

note: type: <p></p>
en: Setting up manually a firewall can be complicated for novice (and sometimes even expert) administrators. However, the free software community has created a number of tools that can be used to easily configure a local firewall. Be forewarned that some of these tools are oriented more towards local-only protection (also known as <em>personal firewall</em>) and some are more versatile and can be used to configure complex rules to protect whole networks.
fr: Configurer manuellement un pare-feu peut être compliqué pour un administrateur débutant (et même parfois pour un expert). Cependant, la communauté des logiciels libres a créé un certain nombre d'outils pouvant être utilisés pour configurer facilement un pare-feu local. Soyez prévenu que certains de ces outils sont plus orientés vers de la protection locale seulement (également connu sous le nom de <em>pare-feu personnel</em>) et d'autres sont plus versatiles et peuvent être utilisés pour configurer des règles complexes pour protéger des réseaux entiers.

note: type: <p><list>
en: Some software that can be used to set up firewall rules in a Debian system is:
fr: Plusieurs logiciels peuvent être utilisés pour configurer des règles de pare-feu dans un système Debian.

note: type: <p><list>
en: For desktop systems:
fr: Pour les systèmes de bureau :

note: type: <p></p>
en: <package>firestarter</package>, a GNOME application oriented towards end-users that includes a wizard useful to quickly setup firewall rules. The application includes a GUI to be able to monitor when a firewall rule blocks traffic.
fr: <package>firestarter</package>, une application GNOME orientée vers les utilisateurs finaux et incluant un assistant utile pour définir rapidement des règles de pare-feu. L'application inclut une interface utilisateur pour pouvoir surveiller quand une règle de pare-feu bloque le trafic ;

note: type: <p></p>
en: <package>guarddog</package>, a KDE based firewall configuration package oriented both to novice and advanced users.
fr: <package>guarddog</package>, un paquet de configuration de pare-feu basé sur KDE orienté à la fois vers les utilisateurs novices et avancés ;

note: type: <p></p>
en: <package>knetfilter</package>, a KDE GUI to manage firewall and NAT rules for iptables (alternative/competitor to the guarddog tool although slightly oriented towards advanced users).
fr: <package>knetfilter</package>, une interface graphique KDE pour gérer un pare-feu et des règles NAT pour iptables (alternative ou concurrent à l'outil guarddog bien que légèrement plus orienté vers les utilisateurs avancés) ;

note: type: <p></p>
en: fireflier, an interactive tool to create iptables rules based on traffic seen on the system and applications. It has a server-client model so you have to install both the server (<package>fireflier-server</package>) and one of the available clients, with one client available for different desktop environments: <package>fireflier-client-gtk</package> (Gtk+ client), <package>fireflier-client-kde</package> (KDE client) and <package>fireflier-client-qt</package> (QT client).
fr: fireflier, un outil interactif pour créer des règles iptables à partir du trafic vu sur le système et les applications. Il possède un modèle client serveur donc vous devez installer à la fois le serveur (<package>fireflier-server</package>) et un des clients disponibles, avec un client disponible pour chaque environnement de bureau : <package>fireflier-client-gtk</package> (client GTK+), <package>fireflier-client-kde</package> (client KDE) et <package>fireflier-client-qt</package> (client QT).

note: type: <p><list>
en: For servers (headless) systems:
fr: Pour les systèmes serveurs (sans interface graphique) :

note: type: <p></p>
en: <package>fwbuilder</package>, an object oriented GUI which includes policy compilers for various firewall platforms including Linux' netfilter, BSD's pf (used in OpenBSD, NetBSD, FreeBSD and MacOS X) as well as router's access-lists. It is similar to enterprise firewall management software. Complete fwbuilder's functionality is also available from the command line.
fr: <package>fwbuilder</package>, une interface graphique orientée objet qui inclut des compilateurs de règles pour diverses plates-formes de pare-feu incluant netfilter de Linux, pf de BSD (utilisé dans OpenBSD, NetBSD, FreeBSD et Mac OS X) ainsi que des listes d'accès du routeur. La fonctionnalité de fwbuilder complète est également disponible depuis la ligne de commande ;

note: type: <p></p>
en: <package>shorewall</package>, a firewall configuration tool which provides support for IPsec as well as limited support for traffic shaping as well as the definition of the firewall rules. Configuration is done through a simple set of files that are used to generate the iptables rules.
fr: <package>shorewall</package>, un outil de configuration de pare-feu qui fournit une prise en charge IPsec ainsi qu'une prise en charge limitée pour le dimensionnement du trafic (« traffic shaping ») et la définition des règles du pare-feu. La configuration est effectuée par un simple jeu de fichiers qui sont utilisés pour générer les règles iptables ;

note: type: <p></p>
en: <package>bastille</package>, this hardening application is described in <ref id="automatic-harden">. One of the hardening steps that the administrator can configure is a definition of the allowed and disallowed network traffic that is used to generate a set of firewall rules that the system will execute on startup.
fr: <package>bastille</package>, l'application de durcissement est décrit dans <ref id="automatic-harden">. L'une des étapes de durcissement que l'administrateur peut configurer est une définition du trafic autorisé et interdit qui est utilisée pour générer un ensemble de règles de pare-feu que le système exécutera au démarrage.

note: type: <p></p>
en: Lots of other iptables frontends come with Debian; an extensive list comparing the different packages in Debian is maintained at the <url id="http://wiki.debian.org/Firewalls" name="Firewalls page on the Debian wiki">.
fr: De nombreuses autres interfaces à iptables sont disponibles dans Debian ; une liste exhaustive de comparaison des différents paquets dans Debian est tenue à jour sur la <url id="http://wiki.debian.org/Firewalls" name="page du wiki Debian sur les pare-feu">.

note: type: <p></p>
en: Notice that some of the packages outlined previously will introduce firewalling scripts to be run when the system boots. Test them extensively before rebooting or you might find yourself locked from the box. If you mix different firewalling packages you can have undesired effects, usually, the firewalling script that runs last will be the one that configures the system (which might not be what you intend). Consult the package documentation and use either one of these setups.
fr: Remarquez que certains des paquets cités ci-dessus introduiront probablement des scripts de pare-feu à exécuter lors de l'amorçage du système. Testez-les de manière exhaustive avant de redémarrer le système ou vous pourriez vous retrouver bloqué en dehors de la machine. Si vous mélangez différents paquets de pare-feu, vous pouvez obtenir des effets indésirables. Habituellement, le script de pare-feu qui s'exécute en dernier sera celui qui configurera le système (qui peut ne pas être ce que vous voulez). Consultez la documentation du paquet et utilisez l'un d'entre eux pour ces configurations.

note: type: <p></p>
en: As mentioned before, some programs, like <package>firestarter</package>, <package>guarddog</package> and <package>knetfilter</package>, are administration GUIs using either GNOME or KDE (last two). These applications are much more user-oriented (i.e. for home users) than some of the other packages in the list which might be more administrator-oriented. Some of the programs mentioned before (like <prgn>bastille</prgn>) are focused at setting up firewall rules to protect the host they run in but are not necessarily designed to setup firewall rules for firewall hosts that protect a network (like <prgn>shorewall</prgn> or <prgn>fwbuilder</prgn>).
fr: Comme mentionné précédemment, certains programmes comme <package>firestarter</package>, <package>guarddog</package> ou <package>knetfilter</package> sont des interfaces graphiques pour l'administration qui utilisent soit GNOME, soit KDE (les deux derniers). Ces applications sont plus orientées utilisateur (c'est-à-dire utilisation «&nbsp;familiale&nbsp;») tandis que certains des autres paquets de la liste sont plus orientés administrateur. Certains des programmes mentionnés auparavant (comme <prgn>bastille</prgn>) sont ciblés sur la mise en place de règles de pare-feu qui protègent l'hôte sur lequel ils fonctionnent, mais ils ne sont pas nécessairement conçus pour mettre en place des règles de pare-feu pour des hôtes de pare-feu qui protègent un réseau (comme <prgn>shorewall</prgn> ou <prgn>fwbuilder</prgn>).

note: type: <p></p>
en: There is yet another type of firewall application: application proxies. If you are looking into setting up an enterprise-level firewall that does packet filtering and provides a number of transparent proxies that can do fine-grain traffic analysis you should consider using <package>zorp</package>, which provides this in a single program. You can also manually setup this type of firewall host using the proxies available in Debian for different services like for DNS using <package>bind</package> (properly configured), <package>dnsmasq</package>, <package>pdnsd</package> or <package>totd</package> for FTP using <package>frox</package> or <package>ftp-proxy</package>, for X11 using <package>xfwp</package>, for IMAP using <package>imapproxy</package>, for mail using <package>smtpd</package>, or for POP3 using <package>p3scan</package>. For other protocols you can either use a generic TCP proxy like <package>simpleproxy</package> or a generic SOCKS proxy like <package>dante-server</package>, <package>tsocks</package> or <package>socks4-server</package>. Typically, you will also use a web caching system (like <package>squid</package>) and a web filtering system (like <package>squidguard</package> or <package>dansguardian</package>).
fr: Il existe encore un autre type d'application de pare-feu&nbsp;: les serveurs mandataires (<em>proxy</em>) applicatifs. Si vous cherchez à mettre en place un tel pare-feu de niveau d'entreprise qui effectue du filtrage de paquets et fournit un certain nombre de serveurs mandataires transparents qui peuvent faire une analyse fine du trafic, vous devriez considérer l'utilisation de <package>zorp</package>, qui fournit cela dans un seul programme. Vous pouvez également mettre en place ce type de pare-feu manuellement en utilisant les serveurs mandataires disponibles dans Debian pour différents services comme pour le DNS en utilisant <package>bind</package> (correctement configuré), <package>dnsmasq</package>, <package>pdnsd</package> ou <package>totd</package> pour le FTP en utilisant <package>frox</package> ou <package>ftp-proxy</package>, pour X11 en utilisant <package>xfwp</package>, pour IMAP en utilisant <package>imapproxy</package>, pour le courrier en utilisant <package>smtpd</package>, ou pour POP3 en utilisant <package>p3scan</package>. Pour d'autres protocoles, vous devriez soit utiliser un serveur mandataire TCP générique comme <package>simpleproxy</package>, soit un serveur mandataire SOCKS comme <package>dante-server</package>, <package>tsocks</package> ou <package>socks4-server</package>. Vous devrez également typiquement utiliser un système de cache web (comme <package>squid</package>) et un système de filtrage web (comme <package>squidguard</package> ou <package>dansguardian</package>).

note: type: <heading></heading>
en: Manual init.d configuration
fr: Configuration manuelle init.d

note: type: <p><list>
en: Another possibility is to manually configure your firewall rules through an init.d script that will run all the <prgn>iptables</prgn> commands. Take the following steps:
fr: Une autre possibilité est de configurer manuellement vos règles de pare-feu par un script init.d qui exécutera toutes les commandes <prgn>iptables</prgn>. Suivez les étapes ci-dessous.

note: type: <p></p>
en: Review the script below and adapt it to your needs.
fr: Consultez le script ci-dessous et adaptez-le à vos besoins.

note: type: <p></p>
en: Test the script and review the syslog messages to see which traffic is being dropped. If you are testing from the network you will want to either run the sample shell snippet to remove the firewall (if you don't type anything in 20 seconds) or you might want to comment out the <em>default deny</em> policy definitions (<em>-P INPUT DROP</em> and <em>-P OUTPUT DROP</em>) and check that the system will not drop any legitimate traffic.
fr: Testez le script et vérifiez les messages du journal système pour voir le trafic qui est rejeté. Si vous testez depuis le réseau, vous voudrez soit exécuter le script shell en exemple qui enlève le pare-feu (si vous ne tapez rien pendant 20 secondes), soit commenter les définitions de règle <em>default deny</em> (<em>-P INPUT DROP</em> et <em>-P OUTPUT DROP</em>) et vérifier que le système ne rejette pas de trafic légitime.

note: type: <p></p>
en: Move the script to <file>/etc/init.d/myfirewall</file>
fr: Déplacez le script dans <file>/etc/init.d/parefeu</file>.

note: type: <p><example>
en: Configure the system to run the script before any network is configured:
fr: Configurez le système pour exécuter le script avant que le réseau ne soit configuré&nbsp;:

note: type: <example></example>
en: #update-rc.d myfirewall start 40 S . stop 89 0 6 .
fr: #update-rc.d parefeu start 40 S . stop 89 0 6 .

note: type: <p><example>
en: This is the sample firewall script:
fr: Voici l'exemple de script de pare-feu&nbsp;:

note: type: <example></example>
en: #!/bin/sh
    # Simple example firewall configuration.
    #
    # Caveats:
    # - This configuration applies to all network interfaces
    #   if you want to restrict this to only a given interface use
    #   '-i INTERFACE' in the iptables calls.
    # - Remote access for TCP/UDP services is granted to any host, 
    #   you probably will want to restrict this using '--source'.
    #
    # chkconfig: 2345 9 91
    # description: Activates/Deactivates the firewall at boot time
    #
    # You can test this script before applying with the following shell
    # snippet, if you do not type anything in 10 seconds the firewall
    # rules will be cleared.
    #---------------------------------------------------------------
    #  while true; do test=""; read  -t 20 -p "OK? " test ; \
    #  [ -z "$test" ] && /etc/init.d/myfirewall clear ; done
    #---------------------------------------------------------------
    
    PATH=/bin:/sbin:/usr/bin:/usr/sbin
    
    # Services that the system will offer to the network
    TCP_SERVICES="22" # SSH only
    UDP_SERVICES=""
    # Services the system will use from the network
    REMOTE_TCP_SERVICES="80" # web browsing
    REMOTE_UDP_SERVICES="53" # DNS
    # Network that will be used for remote mgmt
    # (if undefined, no rules will be setup)
    # NETWORK_MGMT=192.168.0.0/24
    # Port used for the SSH service, define this is you have setup a
    # management network but remove it from TCP_SERVICES
    # SSH_PORT="22"
    
    if ! [ -x /sbin/iptables ]; then  
        exit 0
    fi
    
    fw_start () {
    
      # Input traffic:
      /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # Services
      if [ -n "$TCP_SERVICES" ] ; then
      for PORT in $TCP_SERVICES; do
        /sbin/iptables -A INPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$UDP_SERVICES" ] ; then
      for PORT in $UDP_SERVICES; do
        /sbin/iptables -A INPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Remote management
      if [ -n "$NETWORK_MGMT" ] ; then
        /sbin/iptables -A INPUT -p tcp --src ${NETWORK_MGMT} --dport ${SSH_PORT} -j ACCEPT
      else 
        /sbin/iptables -A INPUT -p tcp --dport ${SSH_PORT}  -j ACCEPT
      fi
      # Remote testing
      /sbin/iptables -A INPUT -p icmp -j ACCEPT
      /sbin/iptables -A INPUT -i lo -j ACCEPT
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -A INPUT -j LOG
    
      # Output:
      /sbin/iptables -A OUTPUT -j ACCEPT -o lo 
      /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # ICMP is permitted:
      /sbin/iptables -A OUTPUT -p icmp -j ACCEPT
      # So are security package updates:
      # Note: You can hardcode the IP address here to prevent DNS spoofing
      # and to setup the rules even if DNS does not work but then you 
      # will not "see" IP changes for this service:
      /sbin/iptables -A OUTPUT -p tcp -d security.debian.org --dport 80 -j ACCEPT 
      # As well as the services we have defined:
      if [ -n "$REMOTE_TCP_SERVICES" ] ; then
      for PORT in $REMOTE_TCP_SERVICES; do
        /sbin/iptables -A OUTPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$REMOTE_UDP_SERVICES" ] ; then
      for PORT in $REMOTE_UDP_SERVICES; do
        /sbin/iptables -A OUTPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # All other connections are registered in syslog
      /sbin/iptables -A OUTPUT -j LOG
      /sbin/iptables -A OUTPUT -j REJECT 
      /sbin/iptables -P OUTPUT DROP
      # Other network protections
      # (some will only work with some kernel versions)
      echo 1 > /proc/sys/net/ipv4/tcp_syncookies
      echo 0 > /proc/sys/net/ipv4/ip_forward 
      echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
      echo 1 > /proc/sys/net/ipv4/conf/all/log_martians 
      echo 1 > /proc/sys/net/ipv4/ip_always_defrag
      echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
      echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
      echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
      echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    }
    
    fw_stop () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -P FORWARD DROP
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    fw_clear () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT ACCEPT
      /sbin/iptables -P FORWARD ACCEPT
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    
    case "$1" in
      start|restart)
        echo -n "Starting firewall.."
        fw_stop 
        fw_start
        echo "done."
        ;;
      stop)
        echo -n "Stopping firewall.."
        fw_stop
        echo "done."
        ;;
      clear)
        echo -n "Clearing firewall rules.."
        fw_clear
        echo "done."
        ;;
      *)
        echo "Usage: $0 {start|stop|restart|clear}"
        exit 1
        ;;
      esac
    exit 0
fr: #!/bin/sh
    # Exemple de configuration de pare-feu.
    #
    # Mises en garde
    # - Cette configuration s'applique à toutes les interfaces réseau.
    #   Si vous voulez ne restreindre cela qu'à une interface donnée,
    #   utilisez « -i INTERFACE » dans les appels iptables ;
    # - L'accès à distance pour les services TCP/UDP est accordé à tout
    #   hôte, vous voudrez probablement restreindre cela en utilisant
    #   « --source ».
    #
    # chkconfig : 2345 9 91
    # description : activer ou désactiver le pare-feu au démarrage
    #
    # Vous pouvez tester ce script avant de l'appliquer avec l'extrait
    # de script shell suivant, si vous ne tapez rien pendant
    # 20 secondes, les règles de pare-feu seront effacées.
    #---------------------------------------------------------------
    #  while true; do test=""; read  -t 20 -p "OK ? " test ; \
    #  [ -z "$test" ] && /etc/init.d/parefeu clear ; done
    #---------------------------------------------------------------
    
    PATH=/bin:/sbin:/usr/bin:/usr/sbin
    
    # Services que le système offrira au réseau
    TCP_SERVICES="22" # seulement SSH
    UDP_SERVICES=""
    # Services que le système utilisera du réseau
    REMOTE_TCP_SERVICES="80" # navigation web
    REMOTE_UDP_SERVICES="53" # DNS
    # Réseau qui sera utilisé pour la gestion à distance
    # (si non défini, aucune règle ne sera mise en place)
    # NETWORK_MGMT=192.168.0.0/24
    # Port utilisé pour le service SSH, à définir si vous avez configuré
    # une gestion de réseau mais l'avez enlevé de TCP_SERVICES
    # SSH_PORT="22"
    
    if ! [ -x /sbin/iptables ]; then  
        exit 0
    fi
    
    fw_start () {
    
      # Trafic d'entrée :
      /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # Services
      if [ -n "$TCP_SERVICES" ] ; then
      for PORT in $TCP_SERVICES; do
        /sbin/iptables -A INPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$UDP_SERVICES" ] ; then
      for PORT in $UDP_SERVICES; do
        /sbin/iptables -A INPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Gestion à distance
      if [ -n "$NETWORK_MGMT" ] ; then
        /sbin/iptables -A INPUT -p tcp --src ${NETWORK_MGMT} --dport ${SSH_PORT} -j ACCEPT
      else 
        /sbin/iptables -A INPUT -p tcp --dport ${SSH_PORT}  -j ACCEPT
      fi
      # Test à distance
      /sbin/iptables -A INPUT -p icmp -j ACCEPT
      /sbin/iptables -A INPUT -i lo -j ACCEPT
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -A INPUT -j LOG
    
      # Sortie :
      /sbin/iptables -A OUTPUT -j ACCEPT -o lo 
      /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # ICMP est permis :
      /sbin/iptables -A OUTPUT -p icmp -j ACCEPT
      # Ainsi que les mises à jour de sécurité :
      # Remarque : vous pouvez indiquer en dur l'adresse IP ici afin de prévenir une
      # usurpation DNS et configurer les règles même si le DNS ne fonctionne pas mais
      # dans ce cas vous ne « verrez » pas les modifications d'IP pour ce service :
      /sbin/iptables -A OUTPUT -p tcp -d security.debian.org --dport 80 -j ACCEPT 
      # Ainsi que pour tous les services définis :
      if [ -n "$REMOTE_TCP_SERVICES" ] ; then
      for PORT in $REMOTE_TCP_SERVICES; do
        /sbin/iptables -A OUTPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$REMOTE_UDP_SERVICES" ] ; then
      for PORT in $REMOTE_UDP_SERVICES; do
        /sbin/iptables -A OUTPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Toutes les autres connexions sont enregistrées dans syslog
      /sbin/iptables -A OUTPUT -j LOG
      /sbin/iptables -A OUTPUT -j REJECT 
      /sbin/iptables -P OUTPUT DROP
      # Autres protections réseau
      # (certaines ne fonctionneront que pour certaines versions de noyau)
      echo 1 > /proc/sys/net/ipv4/tcp_syncookies
      echo 0 > /proc/sys/net/ipv4/ip_forward 
      echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
      echo 1 > /proc/sys/net/ipv4/conf/all/log_martians 
      echo 1 > /proc/sys/net/ipv4/ip_always_defrag
      echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
      echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
      echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
      echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    }
    
    fw_stop () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -P FORWARD DROP
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    fw_clear () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT ACCEPT
      /sbin/iptables -P FORWARD ACCEPT
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    
    case "$1" in
      start|restart)
        echo -n "Démarrage du pare-feu…"
        fw_stop 
        fw_start
        echo "done."
        ;;
      stop)
        echo -n "Arrêt du pare-feu…"
        fw_stop
        echo "done."
        ;;
      clear)
        echo -n "Effacement des règles de pare-feu…"
        fw_clear
        echo "done."
        ;;
      *)
        echo "Utilisation : $0 {start|stop|restart|clear}"
        exit 1
        ;;
      esac
    exit 0

note: type: <p></p>
en: Instead of including all of the iptables rules in the init.d script you can use the <prgn>iptables-restore</prgn> program to restore the rules saved using <prgn>iptables-save</prgn>. In order to do this you need to setup your rules, save the ruleset under a static location (such as <file>/etc/default/firewall</file>)
fr: Au lieu d'intégrer toutes les règles iptables dans un script init.d, vous pouvez utiliser le programme <prgn>iptables-restore</prgn> pour restaurer les règles sauvées avec <prgn>iptables-save</prgn>. Pour faire cela, vous devez configurer les règles et sauver le jeu de règles dans un endroit statique (comme <file>/etc/default/firewall</file>).

note: type: <heading></heading>
en: Configuring firewall rules through <prgn>ifup</prgn>
fr: Configurer les règles du réseau par ifup

note: type: <p><list>
en: You can use also the network configuration in <file>/etc/network/interfaces</file> to setup your firewall rules. For this you will need to:
fr: Vous pouvez également utiliser la configuration du réseau dans <file>/etc/network/interfaces</file> pour mettre en place les règles de pare-feu. Pour cela, vous devez&nbsp;:

note: type: <p></p>
en: Create your firewalling ruleset for when the interface is active.
fr: créer le jeu de règles de pare-feu à appliquer quand l'interface sera active ;

note: type: <p></p>
en: Save your ruleset with <prgn>iptables-save</prgn> to a file in <file>/etc</file>, for example <file>/etc/iptables.up.rules</file>
fr: sauver le jeu de règles avec <prgn>iptables-save</prgn> dans un fichier de <file>/etc</file>, par exemple <file>/etc/iptables.up.rules</file> ;

note: type: <p><example>
en: Configure <file>/etc/network/interfaces</file> to use the configured ruleset:
fr: configurer <file>/etc/network/interfaces</file> pour utiliser le jeu de règles configurées&nbsp;:

note: type: <example></example>
en: iface eth0 inet static
            address x.x.x.x
            [.. interface configuration ..]
            pre-up iptables-restore < /etc/iptables.up.rules
fr: iface eth0 inet static
            address x.x.x.x
            [… configuration de l'interface …]
            pre-up iptables-restore < /etc/iptables.up.rules

note: type: <p><example>
en: You can optionally also setup a set of rules to be applied when the network interface is <em>down</em> creating a set of rules, saving it in <file>/etc/iptables.down.rules</file> and adding this directive to the interface configuration:
fr: Optionnellement, vous pouvez mettre en place un jeu de règles à appliquer quand l'interface est <em>inactivée</em> en créant un jeu de règles, en le sauvant dans <file>/etc/iptables.down.rules</file> et en ajoutant la directive suivante à la configuration de l'interface&nbsp;:

note: type: <p></p>
en: For more advanced firewall configuration scripts through <package>ifupdown</package> you can use the hooks available to each interface as in the <file>*.d/</file> directories called with <prgn>run-parts</prgn> (see <manref name="run-parts" section="8">).
fr: Pour des scripts de configuration de pare-feu plus avancés avec <package>ifupdown</package>, vous pouvez utiliser les accroches (<em>hooks</em>) disponibles pour chaque interface dans les répertoires <file>*.d/</file> appelés avec <prgn>run-parts</prgn> (consultez <manref section="8" name="run-parts">).

note: type: <heading></heading>
en: Testing your firewall configuration
fr: Tester la configuration de pare-feu

note: type: <p></p>
en: Testing your firewall configuration is as easy, and as dangerous, as just running your firewall script (or enabling the configuration you defined in your firewall configuration application). However, if you are not careful enough and you are configuring your firewall remotely (like through an SSH connection) you could lock yourself out.
fr: Tester la configuration de pare-feu est aussi facile et aussi dangereux que d'exécuter simplement le script de pare-feu (ou d'activer la configuration que vous avez définie dans l'application de configuration de pare-feu). Cependant, si vous n'êtes pas assez prudent et que vous configurez le pare-feu à distance (comme à travers une connexion SSH), vous pourriez vous enfermer dehors.

note: type: <p><example>
en: There are several ways to prevent this. One is running a script in a separate terminal that will remove the firewall configuration if you don't feed it input. An example of this is:
fr: Plusieurs moyens permettent d'empêcher cela. L'un est d'exécuter un script dans un terminal séparé qui va enlever la configuration de pare-feu si vous ne faites pas d'entrée clavier. Un exemple de cela est&nbsp;:

note: type: <p></p>
en: Another one is to introduce a backdoor in your system through an alternate mechanism that allows you to either clear the firewall system or punch a hole in it if something goes awry. For this you can use <package>knockd</package> and configure it so that a certain port connection attempt sequence will clear the firewall (or add a temporary rule). Even though the packets will be dropped by the firewall, since <prgn>knockd</prgn> binds to the interface and <em>sees</em> you will be able to work around the problem.
fr: Un autre moyen est d'introduire une porte dérobée dans le système par un mécanisme alternatif qui vous permet soit d'enlever le système de pare-feu, soit de percer un trou dedans si quelque chose déraille. Pour cela, vous pouvez utiliser <package>knockd</package> et le configurer pour qu'une tentative de connexion sur un certain port enlève le pare-feu (ou ajoute une règle temporaire). Bien que les paquets soient rejetés par le pare-feu, comme <prgn>knockd</prgn> se lie à l'interface et les <em>voit</em>, vous pourrez contourner le problème.

note: type: <p></p>
en: Testing a firewall that is protecting an internal network is a different issue, you will want to look at some of the tools used for remote vulnerability assessment (see <ref id="vuln-asses">) to probe the network from the outside in (or from any other direction) to test the effectiveness of the firewall configuation.
fr: Tester un pare-feu qui protège un réseau interne est un problème différent, vous voudrez étudier certains des outils utilisés pour le test de failles à distance (consultez <ref id="vuln-asses">) pour sonder le réseau depuis l'extérieur (ou dans toute autre direction) pour tester l'efficacité de la configuration du pare-feu.

note: type: <heading></heading>
en: Automatic hardening of Debian systems
fr: Sécurisation automatique d'un système Debian

note: type: <p></p>
en: After reading through all the information in the previous chapters you might be wondering "I have to do quite a lot of things in order to harden my system, couldn't these things be automated?". The answer is yes, but be careful with automated tools. Some people believe, that a hardening tool does not eliminate the need for good administration. So do not be fooled to think that you can automate the whole process and will fix all the related issues. Security is an ever-ongoing process in which the administrator must participate and cannot just stand away and let the tools do all the work since no single tool can cope with all the possible security policy implementations, all the attacks and all the environments.
fr: Après la lecture de toutes les informations des précédents chapitres, vous vous demanderez probablement&nbsp;: «&nbsp;Il y a de nombreuses choses à faire afin de sécuriser mon système, mais tout cela ne peut-il pas être automatisé&nbsp;?&nbsp;» La réponse est oui, mais soyez prudent avec les outils automatisés. Certaines personnes pensent qu'un outil de renforcement n'élimine pas la nécessité d'une bonne administration. Donc, ne pensez pas que vous pouvez automatiser toutes les procédures et que vous arriverez à résoudre tous les problèmes. La sécurité est un processus évoluant constamment dans lequel l'administrateur doit participer et ne peut pas rester à l'écart et laisser les outils se débrouiller tout seul avec toutes les implémentations des politiques de sécurité, toutes les attaques et tous les environnements.

note: type: <p></p>
en: Since woody (Debian 3.0) there are two specific packages that are useful for security hardening. The <package>harden</package> package which takes an approach based on the package dependencies to quickly install valuable security packages and remove those with flaws, configuration of the packages must be done by the administrator. The <package>bastille</package> package that implements a given security policy on the local system based on previous configuration by the administrator (the building of the configuration can be a guided process done with simple yes/no questions).
fr: Depuis Woody (Debian&nbsp;3.0), il existe deux paquets spécifiques qui sont utiles pour le durcissement de la sécurité. Le paquet <package>harden</package> qui base son approche sur les dépendances des paquets pour installer rapidement des paquets sûrs et retirer ceux avec des imperfections, la configuration devant être faite par l'administrateur. Le paquet <package>bastille</package> implémente une politique de sécurité donnée pour le système basée sur une configuration antérieure de l'administrateur (la configuration peut être faite à l'aide de simples questions à répondre par oui ou non).

note: type: <p><list>
en: The <package>harden</package> package tries to make it more easy to install and administer hosts that need good security. This package should be used by people that want some quick help to enhance the security of the system. It automatically installs some tools that should enhance security in some way: intrusion detection tools, security analysis tools, etc. Harden installs the following <em>virtual</em> packages (i.e. no contents, just dependencies or recommendations on others):
fr: Le paquet <package>harden</package> essaie de rendre plus facile l'installation et l'administration d'hôtes qui ont besoin d'une bonne sécurité. Ce paquet devrait être utilisé par ceux qui veulent une aide rapide afin d'améliorer la sécurité de leur système. Il installe automatiquement des outils pour accroître la sécurité&nbsp;: outils de détection d'intrusions, outils d'analyse de sécurité, etc. Harden installe les paquets <em>virtuels</em> suivants (c'est-à-dire, pas de contenu, juste des dépendances ou des recommandations vers d'autres paquets)&nbsp;:

note: type: <p></p>
en: <package>harden-tools</package>: tools to enhance system security (integrity checkers, intrusion detection, kernel patches...)
fr: <package>harden-tools</package>&nbsp;: outils pour améliorer la sécurité du système (vérificateur d'intégrité, détection d'intrusions, correctifs pour noyau, etc.) ;

note: type: <p></p>
en: <package>harden-environment</package>: helps configure a hardened environment (currently empty).
fr: <package>harden-environment</package>&nbsp;: aide à configurer un durcissement d'environnement (actuellement vide) ;

note: type: <p></p>
en: <package>harden-servers</package>: removes servers considered insecure for some reason.
fr: <package>harden-servers</package>&nbsp;: retire les serveurs considérés comme douteux pour certaines raisons ;

note: type: <p></p>
en: <package>harden-clients</package>: removes clients considered insecure for some reason.
fr: <package>harden-clients</package>&nbsp;: retire les clients considérés comme douteux pour certaines raisons ;

note: type: <p></p>
en: <package>harden-remoteaudit</package>: tools to remotely audit a system.
fr: <package>harden-remoteaudit</package>&nbsp;: outils pour auditer un système à distance ;

note: type: <p></p>
en: <package>harden-nids</package>: helps to install a network intrusion detection system.
fr: <package>harden-nids</package>&nbsp;: outils pour installer un système de détection d'intrusions ;

note: type: <p></p>
en: <package>harden-surveillance</package>: helps to install tools for monitoring of networks and services.
fr: <package>harden-surveillance</package>&nbsp;: outils pour surveiller les réseaux et les services.

note: type: </list><list>
en: Useful packages which are not a dependence:
fr: Paquets utiles qui ne sont pas une dépendance&nbsp;:

note: type: <p></p>
en: <package>harden-doc</package>: provides this same manual and other security-related documentation packages.
fr: <package>harden-doc</package>&nbsp;: fournit ce même manuel et d'autres paquets de documentation liés à la sécurité ;

note: type: <p></p>
en: <package>harden-development</package>: development tools for creating more secure programs.
fr: <package>harden-development</package>&nbsp;: outils de développement pour créer des programmes plus sécurisés.

note: type: <p><example>
en: Be careful because if you have software you need (and which you do not wish to uninstall for some reason) and it conflicts with some of the packages above you might not be able to fully use <package>harden</package>. The harden packages do not (directly) do a thing. They do have, however, intentional package conflicts with known non-secure packages. This way, the Debian packaging system will not approve the installation of these packages. For example, when you try to install a telnet daemon with <package>harden-servers</package>, <package>apt</package> will say:
fr: Prenez garde dans le cas où vous avez besoin d'un logiciel (et que vous ne voulez pas désinstaller) et qu'il soit en contradiction avec certains paquets ci-dessus, vous ne serez peut-être pas capable d'utiliser pleinement <package>harden</package>. Les paquets <em>harden</em> ne font rien directement. Cependant, ils entrent en conflit avec des paquets reconnus comme étant risqués. De cette façon, le système de paquets de Debian n'approuvera pas automatiquement l'installation de ces paquets. Par exemple, si vous tentez d'installer un serveur TELNET alors que <package>harden-servers</package> est installé, <package>apt</package> vous dira&nbsp;:

note: type: <example></example>
en: # apt-get install telnetd 
    The following packages will be REMOVED:
      harden-servers
    The following NEW packages will be installed:
      telnetd 
    Do you want to continue? [Y/n]
fr: # apt-get install telnetd
    Les paquets suivants seront ENLEVÉS :
      harden-servers
    Les NOUVEAUX paquets suivants seront installés :
      telnetd
    Souhaitez-vous continuer ? [O/n]

note: type: <p></p>
en: This should set off some warnings in the administrator head, who should reconsider his actions.
fr: Cela devrait alerter l'administrateur, qui devrait reconsidérer ses actions.

note: type: <p></p>
en: <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux"> is an automatic hardening tool originally oriented towards the Red Hat and Mandrake Linux distributions. However, the <package>bastille</package> package provided in Debian (since woody) is patched in order to provide the same functionality for Debian GNU/Linux systems.
fr: <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux"> est un outil de durcissement automatique originellement orienté vers les distributions Linux Red Hat et Mandrake. Toutefois, le paquet <package>bastille</package> fourni dans Debian (depuis Woody) a été modifié de façon à fournir les mêmes fonctionnalités pour les systèmes Debian GNU/Linux.

note: type: <p><list>
en: Bastille can be used with different frontends (all are documented in their own manpage in the Debian package) which enables the administrator to:
fr: Bastille peut être utilisé avec différentes interfaces (toutes sont documentées dans leur propre page de manuel dans le paquet Debian) qui permettent à l'administrateur de&nbsp;:

note: type: <p></p>
en: Answer questions step by step regarding the desired security of your system (using <manref name="InteractiveBastille" section="8">).
fr: répondre aux questions, étape par étape, concernant le niveau de sécurité désiré de votre système (en utilisant <manref section="8" name="InteractiveBastille">) ;

note: type: <p></p>
en: Use a default setting for security (amongst three: Lax, Moderate or Paranoia) in a given setup (server or workstation) and let Bastille decide which security policy to implement (using <manref name="BastilleChooser" section="8">).
fr: utiliser un paramétrage par défaut pour la sécurité (parmi trois&nbsp;: relachée, modérée ou paranoïaque) dans une installation définie (serveur ou poste de travail) et laisser Bastille décider quelle politique de sécurité appliquer (en utilisant <manref section="8" name="BastilleChooser">) ;

note: type: <p></p>
en: Take a predefined configuration file (could be provided by Bastille or made by the administrator) and implement a given security policy (using <manref name="AutomatedBastille" section="8">).
fr: prendre un fichier de configuration prédéfini (qui peut être fourni par Bastille ou créé par l'administrateur) et implémenter une politique de sécurité donnée (en utilisant <manref section="8" name="AutomatedBastille">).

note: type: <heading></heading>
en: Debian Security Infrastructure
fr: Infrastructure de sécurité Debian

note: type: <heading></heading>
en: The Debian Security Team
fr: L'équipe de sécurité Debian

note: type: <p></p>
en: Debian has a Security Team, that handles security in the <em>stable</em> distribution. Handling security means they keep track of vulnerabilities that arise in software (watching forums such as Bugtraq, or vuln-dev) and determine if the <em>stable</em> distribution is affected by it.
fr: Debian possède une équipe de sécurité, qui assure la sécurité dans la distribution <em>stable</em>. Assurer la sécurité veut dire suivre les failles qui surviennent dans les logiciels (en surveillant des forums comme Bugtraq ou vuln-dev) et déterminer si la distribution <em>stable</em> est concernée par ces failles.

note: type: <p></p>
en: Also, the Debian Security Team is the contact point for problems that are coordinated by upstream developers or organizations such as <url id="http://www.cert.org" name="CERT"> which might affect multiple vendors. That is, when problems are not Debian-specific. The contact point of the Security Team is <url id="mailto:team@security.debian.org" name="team@security.debian.org"> which only the members of the security team read.
fr: L'équipe de sécurité Debian est également le point de contact pour les problèmes qui sont coordonnés par les développeurs amont ou des organisations comme le <url id="http://www.cert.org" name="CERT">, qui peuvent toucher de multiples distributeurs, c'est-à-dire quand les problèmes ne sont pas spécifiques à Debian. Le point de contact avec l'équipe de sécurité est <url id="mailto:team@security.debian.org" name="team@security.debian.org"> qui n'est lu que par les membres de l'équipe de sécurité.

note: type: <p></p>
en: Sensitive information should be sent to the first address and, in some cases, should be encrypted with the Debian Security Contact key (as found in the Debian keyring).
fr: Les informations secrètes devraient être envoyées à la première adresse et, dans certains cas, devraient être chiffrées avec la clef du contact de l'équipe de sécurité (disponible dans le trousseau Debian).

note: type: <p></p>
en: Once a probable problem is received by the Security Team it will investigate if the <em>stable</em> distribution is affected and if it is, a fix is made for the source code base. This fix will sometimes include backporting the patch made upstream (which usually is some versions ahead of the one distributed by Debian). After testing of the fix is done, new packages are prepared and published in the <url id="http://security.debian.org"> site so they can be retrieved through <prgn>apt</prgn> (see <ref id="security-update">). At the same time a <em>Debian Security Advisory</em> (DSA) is published on the web site and sent to public mailing lists including <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce"> and Bugtraq.
fr: Dès qu'un problème probable est reçu par l'équipe de sécurité, elle recherchera si la distribution <em>stable</em> est affectée et si c'est le cas, un correctif sera créé pour la base de code source. Ce correctif contiendra parfois un rétroportage du correctif effectué en amont (qui est habituellement en avance de plusieurs versions par rapport à la version distribuée par Debian). Après qu'un test du correctif ait été effectué, les nouveaux paquets sont préparés et publiés sur le site <url id="http://security.debian.org"> pour pouvoir être récupérés par <prgn>apt</prgn> (consultez <ref id="security-update">). En même temps, une <em>alerte de sécurité Debian</em> (Debian Security Advisory ou DSA) est publiée sur le site web et envoyée aux listes de diffusion publiques y compris <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce"> et Bugtraq.

note: type: <p></p>
en: Some other frequently asked questions on the Debian Security Team can be found at <ref id="debian-sec-team-faq">.
fr: D'autres questions souvent posées sur l'équipe de sécurité Debian peuvent être trouvées en <ref id="debian-sec-team-faq">.

note: type: <heading></heading>
en: Debian Security Advisories
fr: Alertes de sécurité Debian

note: type: <p><list>
en: Debian Security Advisories (DSAs) are made whenever a security vulnerability is discovered that affects a Debian package. These advisories, signed by one of the Security Team members, include information of the versions affected as well as the location of the updates. This information is:
fr: Les alertes de sécurité Debian (DSA) sont effectuées à chaque fois qu'une faille affectant un paquet Debian est découverte. Ces alertes, signées par l'un des membres de l'équipe de sécurité, contiennent des renseignements sur les versions touchées ainsi que l'emplacement des mises à jour. Ces informations sont&nbsp;:

note: type: <p></p>
en: version number for the fix.
fr: numéro de version pour le correctif ;

note: type: <p></p>
en: problem type.
fr: type de problème ;

note: type: <p></p>
en: whether it is remote or locally exploitable.
fr: s'il est exploitable à distance ou localement ;

note: type: <p></p>
en: short description of the package.
fr: description courte du paquet ;

note: type: <p></p>
en: description of the problem.
fr: description du problème ;

note: type: <p></p>
en: description of the exploit.
fr: description du stratagème ;

note: type: <p></p>
en: description of the fix.
fr: description du correctif.

note: type: <p></p>
en: DSAs are published both on <url id="http://www.debian.org/" name="Debian's frontpage"> and in the <url id="http://www.debian.org/security/" name="Debian security pages">. Usually this does not happen until the website is rebuilt (every four hours) so they might not be present immediately. The preferred channel is the debian-security-announce mailing list.
fr: Les DSA sont publiées sur <url id="http://www.debian.org/" name="la page principale de Debian"> et dans les <url id="http://www.debian.org/security/" name="pages de sécurité Debian">. Cela ne se produit habituellement pas avant que le site web ne soit reconstruit (toutes les quatre heures), elles peuvent donc ne pas être immédiatement présentes. Le canal préféré est la liste de diffusion debian-security-announce.

note: type: <p></p>
en: Interested users can, however (and this is done in some Debian-related portals) use the RDF channel to download automatically the DSAs to their desktop. Some applications, such as <prgn>Evolution</prgn> (an email client and personal information assistant) and <prgn>Multiticker</prgn> (a GNOME applet), can be used to retrieve the advisories automatically. The RDF channel is available at <url id="http://www.debian.org/security/dsa.rdf">.
fr: Les utilisateurs intéressés peuvent, cependant (et c'est fait sur quelques portails relatifs à Debian) utiliser le flux RDF pour télécharger automatiquement les DSA sur leur bureau. Certaines applications, comme <prgn>Evolution</prgn> (un client de messagerie et assistant d'informations personnelles) et <prgn>Multiticker</prgn> (une applette GNOME) peuvent être utilisées pour récupérer les alertes automatiquement. Le flux RDF est disponible à <url id="http://www.debian.org/security/dsa.rdf">.

note: type: <p></p>
en: DSAs published on the website might be updated after being sent to the public-mailing lists. A common update is adding cross references to security vulnerability databases. Also, translations<footnote><p>Translations are available in up to ten different languages.</p></footnote> of DSAs are not sent to the security mailing lists but are directly included in the website.
fr: Les DSA publiées sur le site web peuvent être mises à jour après avoir été envoyées sur les listes de diffusion publiques. Une mise à jour courante est d'ajouter des références croisées vers les bases de données des failles de sécurité. Les traductions<footnote><p>Des traductions sont disponibles jusqu'en dix langues.</p></footnote> des DSA ne sont pas envoyées aux listes de diffusion de sécurité, mais elles sont directement intégrées au site web.

note: type: <heading></heading>
en: Vulnerability cross references
fr: Références croisées des failles

note: type: <p></p>
en: Debian provides a fully <url id="http://www.debian.org/security/crossreferences" name="crossreferenced table"> including all the references available for all the advisories published since 1998. This table is provided to complement the <url id="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" name="reference map available at CVE">.
fr: Debian fournit une <url id="http://www.debian.org/security/crossreferences" name="table de références croisées"> complète comprenant toutes les références disponibles pour toutes les alertes publiées depuis&nbsp;1998. Cette table est fournie en complément de la <url id="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" name="carte des références disponible pour le CVE">.

note: type: <p></p>
en: You will notice that this table provides references to security databases such as <url id="http://www.securityfocus.com/bid" name="Bugtraq">, <url id="http://www.cert.org/advisories/" name="CERT/CC Advisories"> and <url id="http://www.kb.cert.org/vuls" name="US-CERT Vulnerability Notes Database"> as well as CVE names (see below). These references are provided for convenience use, but only CVE references are periodically reviewed and included.
fr: Vous remarquerez que cette table fournit des références vers des bases de données de sécurité comme <url id="http://www.securityfocus.com/bid" name="Bugtraq">, les <url id="http://www.cert.org/advisories/" name="alertes CERT/CC"> et la <url id="http://www.kb.cert.org/vuls" name="base de données des notes de failles US-CERT"> ainsi que les noms CVE (voir ci-dessous). Ces références sont fournies pour faciliter l'utilisation, mais seules les références CVE sont périodiquement vérifiées et intégrées.

note: type: <p><list>
en: Advantages of adding cross references to these vulnerability databases are:
fr: Les avantages d'ajouter les références croisées vers ces bases de données de failles sont que&nbsp;:

note: type: <p></p>
en: it makes it easier for Debian users to see and track which general (published) advisories have already been covered by Debian.
fr: cela permet plus facilement aux utilisateurs de Debian de voir et de suivre quelles alertes générales (publiées) ont déjà été couvertes par Debian ;

note: type: <p></p>
en: system administrators can learn more about the vulnerability and its impact by following the cross references.
fr: les administrateurs système peuvent en apprendre plus sur la faille et ses impacts en suivant les références croisées ;

note: type: <p></p>
en: this information can be used to cross-check output from vulnerability scanners that include references to CVE to remove false positives (see <ref id="vulnasses-false-positive">).
fr: ces renseignements peuvent être utilisés pour vérifier les sorties de scanneurs de failles qui contiennent des références à CVE pour supprimer des faux positifs (consultez <ref id="vulnasses-false-positive">).

note: type: <heading></heading>
en: CVE compatibility
fr: Compatibilité CVE

note: type: <p></p>
en: Debian Security Advisories were <url id="http://www.debian.org/security/CVE-certificate.jpg" name="declared CVE-Compatible"><footnote><p>The full <url id="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" name="capability questionnaire"> is available at CVE</p></footnote> in February 24, 2004.
fr: Les alertes de sécurité Debian ont été <url id="http://www.debian.org/security/CVE-certificate.jpg" name="déclarées comme étant compatibles CVE"><footnote><p>Le <url id="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" name="questionnaire de compétence"> complet est disponible au CVE.</p></footnote> le 24&nbsp;février&nbsp;2004.

note: type: <p></p>
en: Debian developers understand the need to provide accurate and up to date information of the security status of the Debian distribution, allowing users to manage the risk associated with new security vulnerabilities. CVE enables us to provide standardized references that allow users to develop a <url id="http://www.cve.mitre.org/compatible/enterprise.html" name="CVE-enabled security management process">.
fr: Les développeurs Debian comprennent la nécessité de fournir une information précise et à jour de l'état de sécurité de la distribution Debian, permettant aux utilisateurs de gérer le risque associé aux nouvelles failles de sécurité. CVE nous permet de fournir des références standardisées qui permettent aux utilisateurs de développer un <url id="http://www.cve.mitre.org/compatible/enterprise.html" name="processus de gestion de sécurité avec CVE">.

note: type: <p></p>
en: The <url id="http://cve.mitre.org" name="Common Vulnerabilities and Exposures (CVE)"> project is maintained by the MITRE Corporation and provides a list of standardized names for vulnerabilities and security exposures.
fr: Le projet <url id="http://cve.mitre.org" name="Common Vulnerabilities and Exposures (CVE)"> est maintenu par la société MITRE et fournit une liste des noms standardisés pour les failles et expositions de sécurité.

note: type: <p></p>
en: Debian believes that providing users with additional information related to security issues that affect the Debian distribution is extremely important. The inclusion of CVE names in advisories help users associate generic vulnerabilities with specific Debian updates, which reduces the time spent handling vulnerabilities that affect our users. Also, it eases the management of security in an environment where CVE-enabled security tools -such as network or host intrusion detection systems, or vulnerability assessment tools- are already deployed regardless of whether or not they are based on the Debian distribution.
fr: Debian estime que fournir aux utilisateurs des informations supplémentaires liées aux problèmes de sécurité qui touchent la distribution Debian est extrêmement important. L'inclusion des noms CVE dans les alertes aide les utilisateurs à associer des failles génériques avec les mises à jour spécifiques de Debian, ce qui réduit le temps passé à gérer les failles qui concernent nos utilisateurs. Cela facilite également la gestion du risque dans un environnement où sont déployés des outils de sécurité gérant CVE &mdash; comme des systèmes de détection d'intrusion d'hôte ou de réseau ou des outils de vérification de failles &mdash; qu'ils soient ou non basés sur la distribution Debian.

note: type: <p></p>
en: Debian provides CVE names for all DSAs released since September 1998. All of the advisories can be retrieved on the Debian web site, and announcements related to new vulnerabilities include CVE names if available at the time of their release. Advisories associated with a given CVE name can be searched directly through the Debian Security Tracker (see below).
fr: Debian fournit maintenant les noms CVE pour toutes les DSA publiées depuis septembre&nbsp;1998. Toutes les alertes peuvent être récupérées sur le site web Debian et les annonces liées aux nouvelles failles contiennent les noms CVS quand ils sont disponibles lors de leur publication. Les alertes liées à un nom CVE donné peuvent être cherchées directement avec le système de suivi en sécurité Debian (voir ci-après).

note: type: <p><list>
en: In some cases you might not find a given CVE name in published advisories, for example because:
fr: Dans certains cas, vous pouvez ne pas trouver un nom CVE donné dans les alertes publiées par exemple parce que&nbsp;:

note: type: <p></p>
en: No Debian products are affected by that vulnerability.
fr: aucun produit Debian n'est concerné par cette faille ;

note: type: <p></p>
en: There is not yet an advisory covering that vulnerability (the security issue might have been reported as a <url id="http://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" name="security bug"> but a fix has not been tested and uploaded).
fr: il n'y a pas encore eu d'alerte couvrant cette faille (le problème de sécurité peut avoir été signalé comme un <url id="http://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" name="bogue de sécurité">, mais aucune correction n'a encore été testée et envoyée) ;

note: type: <p></p>
en: An advisory was published before a CVE name was assigned to a given vulnerability (look for an update at the web site).
fr: une alerte a été publiée avant qu'un nom CVE ait été attribué à une faille donnée (chercher une mise à jour sur le site web).

note: type: <heading></heading>
en: Security Tracker
fr: Système de suivi en sécurité

note: type: <p></p>
en: The central database of what the Debian security teams know about vulnerabilities is the <url id="http://security-tracker.debian.net" name="Debian Security Tracker">. It cross references packages, vulnerable and fixed versions for different suites, CVE names, Debian bug numbers, DSA's and miscellaneous notes. It can be searched, e.g. by CVE name to see which Debian packages are affected or fixed, or by package to show unresolved security issues. The only information missing from the tracker is confidential information that the security team received under embargo.
fr: La base de donnée centralisée de ce que les équipes de sécurité Debian connaissent des vulnérabilités est le <url id="http://security-tracker.debian.net" name="système de suivi en sécurité Debian">. Elle rassemble les références de paquets, les versions vulnérables et corrigées pour chaque suite, les noms CVE, les numéros de bogue Debian, les notes de DSA et autres. Elle peut être consultée, par exemple, à l'aide du nom CVE pour voir les paquets Debian affectés ou corrigés, ou par paquet pour montrer les problèmes de sécurité non résolus. Les seuls renseignements manquants au système de suivi sont les informations confidentielles que l'équipe de sécurité reçoit sous embargo.

note: type: <p></p>
en: The package <prgn>debsecan</prgn> uses the information in the tracker to report to the administrator of a system which of the installed packages are vulnerable, and for which updates are available to fix security issues.
fr: Le paquet <prgn>debsecan</prgn> utilise les renseignements du système de suivi pour signaler à l'administrateur d'un système les paquets installés vulnérables, et ceux pour lesquels des mises à jour corrigeant les problèmes de sécurité sont disponibles.

note: type: <heading></heading>
en: Debian Security Build Infrastructure
fr: Infrastructure de construction de sécurité Debian

note: type: <p></p>
en: Since Debian is currently supported in a large number of architectures, administrators sometimes wonder if a given architecture might take more time to receive security updates than another. As a matter of fact, except for rare circumstances, updates are available to all architectures at the same time.
fr: Comme Debian prend actuellement en charge un grand nombre d'architectures, les administrateurs se demandent parfois si une architecture donnée pourrait prendre plus de temps pour recevoir des mises à jour de sécurité qu'une autre. En fait, à part dans de rares circonstances, les mises à jour sont disponibles pour toutes les architectures en même temps.

note: type: <p></p>
en: Packages in the security archive are autobuilt, just like the regular archive. However, security updates are a little more different than normal uploads sent by package maintainers since, in some cases, before being published they need to wait until they can be tested further, an advisory written, or need to wait for a week or more to avoid publicizing the flaw until all vendors have had a reasonable chance to fix it.
fr: Les paquets de l'archive de sécurité sont construits automatiquement, tout comme l'archive classique. Cependant, les mises à jour de sécurité sont un petit peu différentes des envois normaux par les responsables de paquets car, dans certains cas, avant d'être publiées, elles doivent attendre de pouvoir être plus testées, qu'une alerte soit rédigée ou attendre une semaine ou plus pour éviter de publier le défaut jusqu'à ce que tous les distributeurs aient eu une chance raisonnable de le corriger.

note: type: <p><list>
en: Thus, the security upload archive works with the following procedure:
fr: L'archive d'envoi de sécurité fonctionne donc de la façon suivante :

note: type: <p></p>
en: Someone finds a security problem.
fr: quelqu'un trouve un problème de sécurité ;

note: type: <p></p>
en: Someone fixes the problem, and makes an upload to security-master.debian.org's incoming (this <em>someone</em> is usually a Security Team member but can be also a package maintainer with an appropriate fix that has contacted the Security Team previously). The Changelog includes a <em>testing-security</em> or <em>stable-security</em> as target distribution.
fr: quelqu'un corrige le problème et fait un envoi vers <em>incoming</em> de security-master.debian.org (ce <em>quelqu'un</em> est habituellement un membre de l'équipe de sécurité, mais ce peut aussi être un responsable de paquet avec un correctif approprié qui a contacté l'équipe de sécurité auparavant). Le journal de modifications contient une cible de distribution <em>testing-security</em> ou <em>stable-security</em> ;

note: type: <p></p>
en: The upload gets checked and processed by a Debian system and moved into queue/accepted, and the buildds are notified. Files in here can be accessed by the security team and (somewhat indirectly) by the buildds.
fr: l'envoi est vérifié et traité par un système Debian et déplacé dans queue/accepted et le service d'empaquetage est prévenu. Les fichiers à cet endroit sont accessibles par l'équipe de sécurité et (de façon un peu indirecte) par les service d'empaquetage ;

note: type: <p></p>
en: Security-enabled buildds pick up the source package (prioritized over normal builds), build it, and send the logs to the security team.
fr: les serveurs d'empaquetage activés pour la sécurité récupèrent le paquet source (en priorité par rapport aux constructions courantes), le construisent et envoient les journaux à l'équipe de sécurité ;

note: type: <p></p>
en: The security team reply to the logs, and the newly built packages are uploaded to queue/unchecked, where they're processed by a Debian system, and moved into queue/accepted.
fr: l'équipe de sécurité répond aux journaux et les paquets nouvellement construits sont envoyés vers queue/unchecked, où ils sont traités par un système Debian et déplacés dans queue/accepted ;

note: type: <p><list>
en: When the security team find the source package acceptable (i.e., that it's been correctly built for all applicable architectures and that it fixes the security hole and doesn't introduce new problems of its own) they run a script which:
fr: quand l'équipe de sécurité trouve les paquets acceptables (c'est-à-dire qu'ils sont correctement construits pour toutes les architectures pertinentes et corrigent le trou de sécurité sans introduire de nouveau problème par eux-mêmes), un script est exécuté qui&nbsp;:

note: type: <p></p>
en: installs the package into the security archive.
fr: installe le paquet dans l'archive de sécurité ;

note: type: <p></p>
en: updates the <file>Packages</file>, <file>Sources</file> and <file>Release</file> files of security.debian.org in the usual way (<prgn>dpkg-scanpackages</prgn>, <prgn>dpkg-scansources</prgn>, ...).
fr: met à jour les fichiers <file>Packages</file>, <file>Sources</file> et <file>Release</file> de security.debian.org de la façon habituelle (<prgn>dpkg-scanpackages</prgn>, <prgn>dpkg-scansources</prgn>, etc.) ;

note: type: <p></p>
en: sets up a template advisory that the security team can finish off.
fr: met en place un modèle d'alerte que l'équipe de sécurité peut compléter ;

note: type: <p></p>
en: forwards the packages to the appropriate proposed-updates so that it can be included in the real archive as soon as possible.
fr: fait suivre les paquets vers le proposed-updates approprié pour qu'il soit intégré à l'archive réelle dès que possible.

note: type: <p></p>
en: This procedure, previously done by hand, was tested and put through during the freezing stage of Debian 3.0 woody (July 2002). Thanks to this infrastructure the Security Team was able to have updated packages ready for the apache and OpenSSH issues for all the supported (almost twenty) architectures in less than a day.
fr: Cette procédure, auparavant réalisée à la main, a été testée et mise en place pendant l'étape de gel de Debian 3.0 Woody (juillet 2002). Grâce à cette architecture, l'équipe de sécurité a pu avoir des paquets mis à jour pour les problèmes d'Apache et d'OpenSSH pour toutes les architectures prises en charge (presque vingt) en moins d'un jour.

note: type: <heading></heading>
en: Developer's guide to security updates
fr: Le guide du développeur pour les mises à jour de sécurité

note: type: <p></p>
en: Debian developers that need to coordinate with the security team on fixing in issue in their packages, can refer to the Developer's Reference section <url id="http://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" name="Handling security-related bugs">.
fr: Les développeurs Debian qui doivent se coordonner avec l'équipe en charge de la sécurité pour corriger un problème avec leurs paquets, peuvent consulter la référence du développeur section <url id="http://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" name="Gestion des bogues de sécurité">.

note: type: <heading></heading>
en: Package signing in Debian
fr: La signature de paquet dans Debian

note: type: <p></p>
en: This section could also be titled "how to upgrade/update safely your Debian GNU/Linux system" and it deserves its own section basically because it is an important part of the Security Infrastructure. Package signing is an important issue since it avoids tampering of packages distributed in mirrors and of downloads with man-in-the-middle attacks. Automatic software update is an important feature but it's also important to remove security threats that could help the distribution of trojans and the compromise of systems during updates<footnote><p>Some operating systems have already been plagued with automatic-updates problems such as the <url id="http://www.cunap.com/~hardingr/projects/osx/exploit.html" name="Mac OS X Software Update vulnerabity">.</p><p>FIXME: probably the Internet Explorer vulnerability handling certificate chains has an impact on security updates on Microsoft Windows.</p></footnote>.
fr: Ce chapitre pourrait également être intitulé «&nbsp;comment mettre à jour et à niveau un système Debian GNU/Linux en sécurité&nbsp;» et mérite d'avoir son propre chapitre car c'est une partie importante de l'infrastructure de sécurité. La signature des paquets est un point important car elle évite l'altération de paquets distribués sur les miroirs et des téléchargements avec des attaques en homme au milieu («&nbsp;man-in-the-middle&nbsp;»). Les mises à jour de logiciels automatiques sont une fonctionnalité importante, mais il est également important d'enlever les menaces de sécurité qui pourraient favoriser la propagation de chevaux de Troie et la compromission de systèmes lors des mises à jour<footnote><p>Certains systèmes d'exploitation ont déjà été touchés par des problèmes de mises à jour automatiques comme la <url id="http://www.cunap.com/~hardingr/projects/osx/exploit.html" name="faille de mises à jour de logiciels de Mac OS X">.</p><p>FIXME : la faille d'Internet Explorer sur la gestion des chaînes de certificat a probablement eu un impact sur les mises à jour de sécurité de Microsoft Windows.</p></footnote>.

note: type: <p></p>
en: Debian does not provide signed packages but provides a mechanism available since Debian 4.0 (codename <em>etch</em>) to check for downloaded package's integrity<footnote><p>Older releases, such as Debian 3.1 <em>sarge</em> can use this feature by using backported versions of this package management tool</p></footnote>. For more information, see <ref id="apt-0.6">.
fr: Debian ne fournit pas de paquets signés, mais fournit un mécanisme disponible depuis Debian 4.0 <em>Etch</em> pour vérifier l'intégrité des paquets téléchargés<footnote><p>Les versions plus anciennes, comme Debian 3.1 <em>Sarge</em> peuvent utiliser cette fonctionnalité en utilisant les versions rétroportées de cet outil de gestion de paquets.</p></footnote>. Pour obtenir plus de renseignements, consultez <ref id="apt-0.6">.

note: type: <p></p>
en: This issue is better described in the <url id="http://www.cryptnet.net/fdp/crypto/strong_distro.html" name="Strong Distribution HOWTO"> by V. Alex Brennen.
fr: Ce problème est mieux décrit dans le <url id="http://www.cryptnet.net/fdp/crypto/strong_distro.html" name="Strong Distribution HOWTO"> par V. Alex Brennen.

note: type: <heading></heading>
en: The current scheme for package signature checks
fr: Le schéma actuel pour la vérification de paquet

note: type: <p><list>
en: The current scheme for package signature checking using <prgn>apt</prgn> is:
fr: Le schéma actuel pour la vérification de signatures de paquet en utilisant <prgn>apt</prgn> est&nbsp;:

note: type: <p></p>
en: the <file>Release</file> file includes the MD5 sum of <file>Packages.gz</file> (which contains the MD5 sums of packages) and will be signed. The signature is one of a trusted source.
fr: le fichier <file>Release</file> contient la somme de contrôle MD5 de <file>Packages.gz</file> (qui contient les sommes de contrôle MD5 des paquets) et sera signé. La signature est celle d'une source sûre ;

note: type: <p></p>
en: This signed <file>Release</file> file is downloaded by 'apt-get update' and stored along with <file>Packages.gz</file>.
fr: ce fichier <file>Release</file> est téléchargé par «&nbsp;apt-get update&nbsp;» et stocké sur le disque dur avec <file>Packages.gz</file> ;

note: type: <p></p>
en: When a package is going to be installed, it is first downloaded, then the MD5 sum is generated.
fr: quand un paquet est sur le point d'être installé, il est d'abord téléchargé, puis la somme MD5 est calculée ;

note: type: <p></p>
en: The signed <file>Release</file> file is checked (signature ok) and it extracts from it the MD5 sum for the <file>Packages.gz</file> file, the <file>Packages.gz</file> checksum is generated and (if ok) the MD5 sum of the downloaded package is extracted from it.
fr: le fichier <file>Release</file> signé est vérifié (la signature est bonne) et la somme MD5 en est extraite pour le fichier <file>Packages.gz</file>, la somme de contrôle de <file>Packages.gz</file> est calculée et (si elle est bonne) la somme de contrôle MD5 du paquet téléchargé en est extraite ;

note: type: <p></p>
en: If the MD5 sum from the downloaded package is the same as the one in the <file>Packages.gz</file> file the package will be installed, otherwise the administrator will be alerted and the package will be left in the cache (so the administrator can decide whether to install it or not). If the package is not in the <file>Packages.gz</file> and the administrator has configured the system to only install checked packages it will not be installed either.
fr: si la somme de contrôle MD5 du paquet téléchargé est la même que celle contenue dans le fichier <file>Packages.gz</file>, le paquet sera installé sinon l'administrateur sera averti et le paquet sera laissé dans le cache (ainsi l'administrateur décidera de l'installer ou non). Si le paquet n'est pas dans <file>Packages.gz</file> et que l'administrateur a configuré le système pour installer uniquement les paquets vérifiés, il ne sera pas installé non plus.

note: type: <p></p>
en: By following the chain of MD5 sums <prgn>apt</prgn> is capable of verifying that a package originates from a a specific release. This is less flexible than signing each package one by one, but can be combined with that scheme too (see below).
fr: En suivant la chaîne des sommes MD5, <prgn>apt</prgn> est capable de vérifier qu'un paquet est originaire d'une version bien spécifique. C'est moins souple que de signer chaque paquet un par un, mais ce peut être combiné également avec ce schéma (voir ci-dessous).

note: type: <p></p>
en: This scheme is <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200312/msg01986.html " name="fully implemented"> in apt 0.6 and is available since the Debian 4.0 release. For more information see <ref id="apt-0.6">. Packages that provide a front-end to apt need to be modified to adapt to this new feature; this is the case of <prgn>aptitude</prgn> which was <url id="http://lists.debian.org/debian-devel/2005/03/msg02641.html" name="modified"> to adapt to this scheme. Front-ends currently known to work properly with this feature include <prgn>aptitude</prgn> and <prgn>synaptic</prgn>.
fr: Ce schéma est <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200312/msg01986.html" name="complètement implémenté"> dans apt&nbsp;0.6 et disponible depuis la publication de Debian 4.0. Pour obtenir plus de renseignements, consultez <ref id="apt-0.6">. Les paquets fournissant une interface à apt doivent être modifiés pour s'adapter à cette nouvelle fonctionnalité, c'est le cas d'<prgn>aptitude</prgn> qui a été <url id="http://lists.debian.org/debian-devel/2005/03/msg02641.html" name="modifié"> pour être adapté à ce schéma. <prgn>aptitude</prgn> et <prgn>synaptic</prgn> font partie des interfaces déjà connues pour fonctionner correctement avec cette fonctionnalité.

note: type: <p></p>
en: Package signing has been discussed in Debian for quite some time, for more information you can read: <url id="http://www.debian.org/News/weekly/2001/8/"> and <url id="http://www.debian.org/News/weekly/2000/11/">.
fr: La signature de paquets a été abordée dans Debian depuis pas mal de temps déjà, pour plus d'informations vous pouvez lire&nbsp;: <url id="http://www.debian.org/News/weekly/2001/8/"> et <url id="http://www.debian.org/News/weekly/2000/11/">.

note: type: <heading></heading>
en: Secure apt
fr: apt sécurisé

note: type: <p></p>
en: The apt 0.6 release, available since Debian 4.0 <em>etch</em> and later releases, includes <em>apt-secure</em> (also known as <em>secure apt</em>) which is a tool that will allow a system administrator to test the integrity of the packages downloaded through the above scheme. This release includes the tool <prgn>apt-key</prgn> for adding new keys to apt's keyring, which by default includes only the current Debian archive signing key.
fr: La version&nbsp;0.6 d'apt, disponible depuis Debian 4.0 <em>Etch</em>, et les versions plus récentes, intègrent <em>apt-secure</em> (aussi connu sous le nom d'<em>apt sécurisé</em>) qui est un outil permettant à l'administrateur système de tester l'intégrité des paquets téléchargés conformément au schéma ci-dessus. Cette version contient l'outil <prgn>apt-key</prgn> pour ajouter de nouvelles clefs au trousseau d'apt qui ne contient par défaut que la clef actuelle de signature de l'archive Debian.

note: type: <p></p>
en: These changes are based on the patch for <prgn>apt</prgn> (available in <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" name="Bug #203741">) which provides this implementation.
fr: Ces modifications sont basées sur un correctif pour <prgn>apt</prgn> (disponible dans le <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" name="bogue nº&nbsp;203741">) qui fournit cette implémentation.

note: type: <p></p>
en: Secure apt works by checking the distribution through the <file>Release</file> file, as discussed in <ref id="check-releases">. Typically, this process will be transparent to the administrator although you will need to intervene every year<footnote><p>Until an automatic mechanism is developed.</p></footnote> to add the new archive key when it is rotated, for more information on the steps an administrator needs to take a look at <ref id="secure-apt-add-key">.
fr: apt sécurisé fonctionne en vérifiant la distribution à l'aide du fichier <file>Release</file>, conformément à <ref id="check-releases">. Typiquement, ce processus sera transparent pour l'administrateur bien qu'il faudra intervenir chaque année <footnote><p>Jusqu'à ce qu'un mécanisme automatique ne soit développé.</p></footnote> pour ajouter la nouvelle clef de l'archive quand elle est modifiée. Pour obtenir plus de renseignements sur les étapes qu'un administrateur doit accomplir, consultez <ref id="secure-apt-add-key">.

note: type: <p></p>
en: This feature is still under development, if you believe you find bugs in it, please, make first sure you are using the latest version (as this package might change quite a bit before it is finally released) and, if running the latest version, submit a bug against the <package>apt</package> package.
fr: Cette fonctionnalité est encore en développement, donc si vous pensez avoir trouvé des bogues dans ce paquet, veuillez d'abord vérifier que vous utilisez la dernière version (car ce paquet peut évoluer beaucoup avant d'être diffusé) et si vous utilisez la dernière version, soumettez un rapport de bogue sur le paquet <package>apt</package>.

note: type: <p></p>
en: You can find more information at <url id="http://wiki.debian.org/SecureApt" name="the wiki pages"> and the official documentation: <url id="http://www.enyo.de/fw/software/apt-secure/" name="Migration to APT 0.6"> and <url id="http://www.syntaxpolice.org/apt-secure/" name="APT Signature Checking">.
fr: Plus de renseignements sont disponibles sur <url id="http://wiki.debian.org/SecureApt" name="les pages du wiki"> et dans la documentation officielle : <url id="http://www.enyo.de/fw/software/apt-secure/" name="Migration vers APT 0.6"> et <url id="http://www.syntaxpolice.org/apt-secure/" name="Vérification de signature APT">.

note: type: <heading></heading>
en: Per distribution release check
fr: Vérification par version de distribution

note: type: <p></p>
en: This section describes how the distribution release check mechanism works, it was written by Joey Hess and is also available at the <url id="http://wiki.debian.org/SecureApt" name="Debian Wiki">.
fr: Cette section décrit le mode de fonctionnement du mécanisme de vérification par version de distribution, elle a été écrite par Joey Hess et est également disponible dans le <url id="http://wiki.debian.org/SecureApt" name="wiki de Debian">.

note: type: <heading></heading>
en: Basic concepts
fr: Concepts de base

note: type: <p></p>
en: Here are a few basic concepts that you'll need to understand for the rest of this section.
fr: Voici quelque concepts de base que vous devrez comprendre pour la suite de cette section.

note: type: <p></p>
en: A checksum is a method of taking a file and boiling it down to a reasonably short number that uniquely identifies the content of the file. This is a lot harder to do well than it might seem, and the most commonly used type of checksum, the MD5 sum, is in the process of being broken.
fr: Une somme de contrôle est une méthode permettant de prendre un fichier et de le réduire en un nombre suffisamment petit qui identifie son contenu de façon unique. C'est beaucoup plus compliqué qu'il n'y parait de faire ça bien, et le type de sommes de contrôle le plus fréquemment utilisé, MD5, est en passe d'être cassé.

note: type: <p></p>
en: Public key cryptography is based on pairs of keys, a public key and a private key. The public key is given out to the world; the private key must be kept a secret. Anyone possessing the public key can encrypt a message so that it can only be read by someone possessing the private key. It's also possible to use a private key to sign a file, not encrypt it. If a private key is used to sign a file, then anyone who has the public key can check that the file was signed by that key. No one who doesn't have the private key can forge such a signature.
fr: La cryptographie à clef publique est basée sur une paire de clefs: une publique et une privée. La clef publique est distribuée partout ; la clef privée doit être gardée secrète. Tous ceux qui possèdent la clef publique peuvent chiffrer un message qui ne pourra être lu que par un possesseur de la clef privée. La clef privée permet elle de signer un fichier, pas de le chiffrer. Si une clef privée est utilisée pour signer un fichier, alors tous ceux qui ont la clef publique peuvent vérifier que le fichier était signé par cette clef. Une personne ne possédant pas la clef privée ne peut pas contrefaire une telle signature.

note: type: <p></p>
en: These keys are quite long numbers (1024 to 2048 digits or longer), and to make them easier to work with they have a key id, which is a shorter, 8 or 16 digit number that can be used to refer to them.
fr: Ces clefs sont des nombres assez grands (de 1024 à 2048 chiffres, ou plus) et pour les rendre plus facile à utiliser, ils ont un identifiant de clef, plus court (un nombre de 8 ou 16 chiffres), qui peut être utilisé pour y référer.

note: type: <p></p>
en: <prgn>gpg</prgn> is the tool used in secure apt to sign files and check their signatures.
fr: <prgn>gpg</prgn> est l'outil utilisé par apt sécurisé pour signer les fichiers et vérifier leurs signatures.

note: type: <p></p>
en: <prgn>apt-key</prgn> is a program that is used to manage a keyring of gpg keys for secure apt. The keyring is kept in the file <file>/etc/apt/trusted.gpg</file> (not to be confused with the related but not very interesting <file>/etc/apt/trustdb.gpg</file>). <prgn>apt-key</prgn> can be used to show the keys in the keyring, and to add or remove a key.
fr: <prgn>apt-key</prgn> est un programme qui permet de gérer un trousseau de clefs GPG pour apt sécurisé. Le trousseau est gardé dans le fichier <file>/etc/apt/trusted.gpg</file> (à ne pas confondre avec le fichier <file>/etc/apt/trustdb.gpg</file> relatif, mais pas très intéressant). <prgn>apt-key</prgn> permet de montrer les clefs du trousseau, et d'ajouter ou enlever une clef.

note: type: <heading></heading>
en: <file>Release</file> checksums
fr: Sommes de contrôle de Release

note: type: <p><example>
en: A Debian archive contains a <file>Release</file> file, which is updated each time any of the packages in the archive change. Among other things, the <file>Release</file> file contains some MD5 sums of other files in the archive. An excerpt of an example <file>Release</file> file:
fr: Une archive Debian contient un fichier <file>Release</file>, qui est mis à jour à chaque fois qu'un paquet de l'archive est modifié. Entre autres, le fichier <file>Release</file> contient les sommes MD5 d'autres fichiers de l'archives. Exemple d'extrait de fichier <file>Release</file> :

note: type: <p></p>
en: The <file>Release</file> files also include SHA-1 checksums, which will be useful once MD5 sums become fully broken, however apt doesn't use them yet.
fr: Les fichiers <file>Release</file> contiennent aussi des sommes de contrôle SHA-1, ce qui sera utile quand les sommes de contrôle MD5 seront complètement cassées, toutefois, apt ne les utilise pas encore.

note: type: <p><example>
en: Now if we look inside a <file>Packages</file> file, we'll find more MD5 sums, one for each package listed in it. For example:
fr: Maintenant, à l'intérieur d'un fichier <file>Packages</file>, d'autres sommes de contrôle MD5 sont disponibles : une pour chaque paquet de la liste. Par exemple :

note: type: <p></p>
en: These two checksums can be used to verify that you have downloaded a correct copy of the <file>Packages</file> file, with a md5sum that matches the one in the <file>Release</file> file. And when it downloads an individual package, it can also check its md5sum against the content of the <file>Packages</file> file. If apt fails at either of these steps, it will abort.
fr: Ces deux sommes de contrôle permettent de vérifier que la copie du fichier <file>Packages</file> téléchargé est correcte, avec une somme de contrôle MD5 qui correspond à celle du fichier <file>Release</file>. Lorsqu'un paquet est téléchargé individuellement, la vérification de la somme de contrôle MD5 avec le contenu du fichier <file>Packages</file> est aussi possible. Si apt échoue à l'une de ces étapes, il abandonnera.

note: type: <p></p>
en: None of this is new in secure apt, but it does provide the foundation. Notice that so far there is one file that apt doesn't have a way to check: The Release file. Secure apt is all about making apt verify the <file>Release</file> file before it does anything else with it, and plugging this hole, so that there is a chain of verification from the package that you are going to install all the way back to the provider of the package.
fr: Rien de nouveau pour apt sécurisé, mais cela fournit les bases. Remarquez qu'un seul fichier n'a pas pu être vérifié par apt : le fichier <file>Release</file>. apt sécurisé a justement pour but de faire vérifier <file>Release</file> par apt avant de faire quoi que ce soit d'autre avec, et de combler ce trou, afin de rendre la chaîne de vérification complète, du paquet qui va être installé jusqu'au fournisseur du paquet.

note: type: <heading></heading>
en: Verification of the <file>Release</file> file
fr: Vérification du fichier Release

note: type: <p><example>
en: To verify the <file>Release</file> file, a gpg signature is added for the <file>Release</file> file. This is put in a file named <file>Release.gpg</file> that is shipped alongside the <file>Release</file> file. It looks something like this <footnote><p>Technically speaking, this is an ASCII-armored detached gpg signature.</p></footnote> , although only gpg actually looks at its contents normally:
fr: Pour vérifier le fichier <file>Release</file>, une signature gpg est ajoutée dans le fichier <file>Release.gpg</file>, distribué à ses côtés. Il ressemble à ceci<footnote><p>D'un point de vue technique, c'est une signature ASCII-armored détachée.</p></footnote>, bien que seul gpg accède à son contenu normalement :

note: type: <heading></heading>
en: Check of <file>Release.gpg</file> by <prgn>apt</prgn>
fr: Vérification du fichier Release.gpg par apt

note: type: <p><example>
en: Secure apt always downloads <file>Release.gpg</file> files when it's downloading <file>Release</file> files, and if it cannot download the <file>Release.gpg</file>, or if the signature is bad, it will complain, and will make note that the <file>Packages</file> files that the <file>Release</file> file points to, and all the packages listed therein, are from an untrusted source. Here's how it looks during an <prgn>apt-get update</prgn>:
fr: apt sécurisé télécharge les fichiers <file>Release.gpg</file> en même temps que les fichiers <file>Release</file>, et s'il ne peut pas télécharger <file>Release.gpg</file>, ou si la signature n'est pas correcte, il se plaindra, et fera remarquer que les fichiers <file>Packages</file> pointés par le fichier <file>Release</file>, et tous les paquets contenus dedans, ne proviennent pas d'une source de confiance. Voici à quoi cela ressemble lors d'un <prgn>apt-get update</prgn> :

note: type: <example></example>
en: W: GPG error: http://ftp.us.debian.org testing Release: The following signatures
     couldn't be verified because the public key is not available: NO_PUBKEY 010908312D230C5F
fr: W: Erreur de GPG : http://ftp.us.debian.org testing Release :
    Les signatures suivantes n'ont pas pu être vérifiées car la
    clé publique n'est pas disponible : NO_PUBKEY 010908312D230C5F

note: type: <p></p>
en: Note that the second half of the long number is the key id of the key that apt doesn't know about, in this case that's 2D230C5F.
fr: Remarquez que la seconde partie du grand nombre est l'identifiant de la clef qu'apt ne connaît pas, c'est-à-dire 2D230C5F ici.

note: type: <p><example>
en: If you ignore that warning and try to install a package later, apt will warn again:
fr: Si vous ignorez cet avertissement et essayez d'installer un paquet ensuite, apt avertira de nouveau :

note: type: <example></example>
en: WARNING: The following packages cannot be authenticated!
      libglib-perl libgtk2-perl
    Install these packages without verification [y/N]?
fr: ATTENTION : les paquets suivants n'ont pas été authentifiés.
      libglib-perl libgtk2-perl
    Faut-il installer ces paquets sans vérification (o/N) ?

note: type: <p></p>
en: If you say Y here you have no way to know if the file you're getting is the package you're supposed to install, or if it's something else entirely that somebody that can intercept the communication against the server<footnote><p>Or has poisoned your DNS, or is spoofing the server, or has replaced the file in the mirror you are using, etc.</p></footnote> has arranged for you, containing a nasty suprise.
fr: Si vous acceptez ici, vous n'avez aucun moyen de savoir si le fichier que vous obtenez est le paquet que vous voulez installer, ou s'il s'agit d'autre chose que quelqu'un pouvant intercepter la communication avec le serveur<footnote><p>Ou ayant empoisonné le DNS, ou usurpant le serveur, ou ayant remplacé le fichier sur le miroir utilisé, etc.</p></footnote> a préparé pour vous, avec une mauvaise surprise.

note: type: <p></p>
en: Note that you can disable these checks by running apt with --allow-unauthenticated.
fr: Remarquez que vous pouvez désactiver ces vérifications en exécutant apt avec --allow-unauthenticated.

note: type: <p></p>
en: It's also worth noting that newer versions of the Debian installer use the same signed <file>Release</file> file mechanism during their debootstrap of the Debian base system, before apt is available, and that the installer even uses this system to verify pieces of itself that it downloads from the net. Also, Debian does not currently sign the <file>Release</file> files on its CDs; apt can be configured to always trust packages from CDs so this is not a large problem.
fr: Remarquez également que les nouvelles versions de l'installateur Debian utilisent le même mécanisme de fichier <file>Release</file> lors du debootstrap du système de base Debian, avant qu'apt ne soit disponible, et que l'installateur utilise même ce système pour vérifier ses morceaux qu'il télécharge. Enfin, Debian ne signe pour l'instant pas les fichiers <file>Release</file> de ses CD ; apt peut être configuré pour faire toujours confiance aux fichiers des CD de sorte que ce ne soit pas un gros problème.

note: type: <heading></heading>
en: How to tell apt what to trust
fr: Comment expliquer à apt en quoi avoir confiance

note: type: <p></p>
en: So the security of the whole system depends on there being a <file>Release.gpg</file> file, which signs a <file>Release</file> file, and of <prgn>apt</prgn> checking that signature using gpg. To check the signature, it has to know the public key of the person who signed the file. These keys are kept in apt's own keyring (<file>/etc/apt/trusted.gpg</file>), and managing the keys is where secure apt comes in.
fr: La sécurité de l'intégralité du système dépend de l'existence d'un fichier <file>Release.gpg</file>, qui signe un fichier <file>Release</file> et de la vérification d'<prgn>apt</prgn> à l'aide de gpg. Pour vérifier la signature, il doit connaître la clef publique de la personne qui a signé le fichier. Ces clefs sont gardées dans le trousseau spécifique à apt (<file>/etc/apt/trusted.gpg</file>) et apt sécurisé arrive avec la gestion des clefs.

note: type: <p><example>
en: By default, Debian systems come preconfigured with the Debian archive key in the keyring.
fr: Par défaut, les systèmes Debian sont fournis préconfigurés avec la clef d'archive Debian du trousseau.

note: type: <example></example>
en: # apt-key list
    /etc/apt/trusted.gpg
    --------------------
    pub   1024D/4F368D5D 2005-01-31 [expires: 2006-01-31]
    uid                  Debian Archive Automatic Signing Key (2005) &lt;ftpmaster@debian.org&gt;
fr: # apt-key list
    /etc/apt/trusted.gpg
    --------------------
    pub   1024D/4F368D5D 2005-01-31 [expire: 2006-01-31]
    uid                  Debian Archive Automatic Signing Key (2005) &lt;ftpmaster@debian.org&gt;

note: type: <p></p>
en: Here 4F368D5D is the key id, and notice that this key was only valid for a one year period. Debian rotates these keys as a last line of defense against some sort of security breach breaking a key.
fr: Ici 4F368D5D est l'identifiant de clef, et remarquez que la clef n'est valable que pour une période d'un an. Debian permute ces clefs comme dernière ligne de défense contre une quelconque brèche de sécurité de cassage de clef.

note: type: <p></p>
en: That will make <prgn>apt</prgn> trust the official Debian archive, but if you add some other apt repository to <file>/etc/apt/sources.list</file>, you'll also have to give <prgn>apt</prgn> its key if you want apt to trust it. Once you have the key and have verified it, it's a simple matter of running <prgn>apt-key add file</prgn> to add it. Getting the key and verifying it are the trickier parts.
fr: <prgn>apt</prgn> aura ainsi confiance en l'archive Debian officielle, mais si vous ajoutez d'autres dépôts apt à <file>/etc/apt/sources.list</file>, il vous faudra également donner à <prgn>apt</prgn> sa clef si vous voulez qu'il ait confiance en ce dépôt. Une fois que vous possédez la clef et que vous l'avez vérifiée, il suffit d'exécuter <prgn>apt-key add fichier</prgn> pour l'ajouter. Obtenir la clef et la vérifier sont les parties les plus délicates.

note: type: <heading></heading>
en: Finding the key for a repository
fr: Trouver la clef d'un dépôt

note: type: <p></p>
en: The debian-archive-keyring package is used to distribute keys to <prgn>apt</prgn>. Upgrades to this package can add (or remove) gpg keys for the main Debian archive.
fr: Le paquet debian-archive-keyring est utilisé pour distribuer les clefs à <prgn>apt</prgn>. Les mises à niveau de ce paquet peuvent ajouter (ou retirer) des clefs gpg pour l'archive Debian principale.

note: type: <p></p>
en: For other archives, there is not yet a standard location where you can find the key for a given apt repository. There's a rough standard of putting the key up on the web page for the repository or as a file in the repository itself, but no real standard, so you might have to hunt for it.
fr: Pour les autres archives, il n'y a pas encore d'endroit normalisé pour trouver la clef d'un dépôt apt donné. La clef est souvent liée depuis la page web du dépôt ou placée dans le dépôt directement, mais il vous faudra parfois la chercher.

note: type: <p></p>
en: The Debian archive signing key is available at <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> (replace 2006 with current year).<footnote><p>"ziyi" is the name of the tool used for signing on the Debian servers, the name is based on the name of a <url id="http://en.wikipedia.org/wiki/Zhang_Ziyi" name="Chinese actress">.</p></footnote>
fr: La clef de signature de l'archive Debian est disponible en <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> (remplacez 2006 par l'année en cours). <footnote><p>« ziyi » est le nom de l'outil utilisé pour signer sur les serveurs Debian, le nom vient du nom d'une <url id="http://fr.wikipedia.org/wiki/Zhang_Ziyi" name="actrice chinoise">.</p></footnote>

note: type: <p><example>
en: <prgn>gpg</prgn> itself has a standard way to distribute keys, using a keyserver that gpg can download a key from and add it to its keyring. For example:
fr: <prgn>gpg</prgn> a lui même un moyen normalisé de distribuer les clefs, utilisant un servent de clefs, d'où gpg peut télécharger une clef pour l'ajouter à son trousseau. Par exemple :

note: type: <example></example>
en: $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requesting key 2D230C5F from hkp server pgpkeys.mit.edu
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006) &lt;ftpm
    aster@debian.org&gt;" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
fr: $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requête de la clé 2D230C5F du serveur hkp pgpkeys.mit.edu
    gpg: clé 2D230C5F: clé publique « Debian Archive Automatic Signing Key (2006)
    &lt;ftpmaster@debian.org&gt; » importée
    gpg:        Quantité totale traitée: 1
    gpg:                       importée: 1

note: type: <p><example>
en: You can then export that key from your own keyring and feed it to <prgn>apt-key</prgn>:
fr: Vous pouvez alors exporter cette clef depuis votre propre trousseau et la fournir à <prgn>apt-key</prgn> :

note: type: <example></example>
en: $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: no ultimately trusted keys found
    OK
fr: $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: aucune clé de confiance ultime n'a été trouvée
    OK

note: type: <p></p>
en: The "gpg: no ultimately trusted keys found" warning means that gpg was not configured to ultimately trust a specific key. Trust settings are part of OpenPGPs Web-of-Trust which does not apply here. So there is no problem with this warning. In typical setups the user's own key is ultimately trusted.
fr: L'avertissement « gpg: aucune clé de confiance ultime n'a été trouvée » signifie que gpg n'était pas configuré pour faire confiance de façon ultime à une clef en particulier. Les réglages de confiance font partie du réseau de confiance d'OpenPGP qui ne s'applique pas ici. Cet avertissement n'est donc pas un problème ici. Dans les configurations typiques, seule la propre clef de l'utilisateur est de confiance ultime.

note: type: <heading></heading>
en: Safely adding a key
fr: Ajout de clef en sécurité

note: type: <p></p>
en: By adding a key to apt's keyring, you're telling apt to trust everything signed by the key, and this lets you know for sure that apt won't install anything not signed by the person who possesses the private key. But if you're sufficiently paranoid, you can see that this just pushes things up a level, now instead of having to worry if a package, or a <file>Release</file> file is valid, you can worry about whether you've actually gotten the right key. Is the <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> file mentioned above really Debian's archive signing key, or has it been modified (or this document lies).
fr: En ajoutant une clef au trousseau d'apt, vous lui dite de faire confiance à tout ce qui est signé par cette clef, et cela vous permet de savoir avec certitude qu'apt n'installera rien de non signé par la personne qui possède la clef privée. Si vous êtes suffisamment paranoïaque, vous pouvez voir que cela ne fait que déplacer les choses d'un niveau : maintenant au lieu de vous inquiéter de la validité d'un paquet ou d'un fichier <file>Release</file>, il suffit de s'inquiéter d'avoir vraiment la bonne clef ; est-ce que le fichier <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> mentionné ci-dessous est vraiment la clef de signature de l'archive, ou a-t-il été modifié (ou ce document ment-il) ?

note: type: <p></p>
en: It's good to be paranoid in security, but verifying things from here is harder. <prgn>gpg</prgn> has the concept of a chain of trust, which can start at someone you're sure of, who signs someone's key, who signs some other key, etc., until you get to the archive key. If you're sufficiently paranoid you'll want to check that your archive key is signed by a key that you can trust, with a trust chain that goes back to someone you know personally. If you want to do this, visit a Debian conference or perhaps a local LUG for a key signing <footnote><p>Not all apt repository keys are signed at all by another key. Maybe the person setting up the repository doesn't have another key, or maybe they don't feel comfortable signing such a role key with their main key. For information on setting up a key for a repository see <ref id="check-non-debian-releases">.</p></footnote>.
fr: Être paranoïaque est une bonne attitude en sécurité, mais vérifier les choses à partir d'ici est plus difficile. <prgn>gpg</prgn> connaît le concept de chaîne de confiance, qui peut commencer à partir de quelqu'un dont vous être sûr, qui signe la clef de quelqu'un, qui signe une autre clef, etc. jusqu'à atteindre la clef de l'archive. Si vous êtes suffisamment paranoïaque, vous voudrez vérifier que la clef de l'archive est signée par une clef en laquelle vous pouvez avoir confiance, avec une chaîne de confiance qui remonte jusqu'à quelqu'un que vous connaissez personnellement. Si vous voulez faire cela, rendez vous à une conférence Debian ou peut-être à un groupe (LUG) local pour une signature de clef <footnote><p>Toutes les clefs de dépôt apt ne sont pas encore signées par une autre clef. Peut-être que la personne qui a mis en place le dépôt n'a pas d'autre clef, ou peut-être que ça ne lui plaît pas de signer une telle clef de rôle avec sa clef principale. Pour des renseignements au sujet de la mise en place d'une clef de dépôt, consultez <ref id="check-non-debian-releases">.</p></footnote>.

note: type: <p></p>
en: If you can't afford this level of paranoia, do whatever feels appropriate to you when adding a new apt source and a new key. Maybe you'll want to mail the person providing the key and verify it, or maybe you're willing to take your chances with downloading it and assuming you got the real thing. The important thing is that by reducing the problem to what archive keys to trust, secure apt lets you be as careful and secure as it suits you to be.
fr: Si vous ne pouvez pas vous permettre ce niveau de paranoïa, faites le nécessaire suffisant de votre point de vue quand vous ajoutez une nouvelle source apt et une nouvelle clef. Peut-être voudrez vous échanger un courrier électronique avec la personne fournissant la clef et la vérifier, ou peut-être préférerez vous tenter votre chance en téléchargeant la clef en supposant que c'est la bonne. Ce qui est important est qu'en réduisant le problème au niveau de confiance des clefs de l'archive, apt sécurisé vous laisse être aussi prudent et sécurisé que vous désirez l'être.

note: type: <heading></heading>
en: Verifying key integrity
fr: Vérification de l'intégrité des clefs

note: type: <p><example>
en: You can verify the fingerprint as well as the signatures on the key. Retrieving the fingerprint can be done for multiple sources, you can check <url id="http://debiansystem.info/readers/changes/547-ziyi-key-2006" name="The Debian System Book">, talk to Debian Developers on IRC, read the mailing list where the key change will be announced or any other additional means to verify the fingerprint. For example you can do this:
fr: Vous pouvez aussi bien vérifier l'empreinte digitale de la clef que ses signatures. La récupération de l'empreinte digitale peut se faire depuis de nombreuses sources : vous pouvez vérifier <url id="http://debiansystem.info/readers/changes/547-ziyi-key-2006" name="le livre système Debian">, parler avec des développeurs Debian sur IRC, lire la liste de diffusion où la modification de clef sera annoncée ou n'importe quel moyen supplémentaire pour vérifier l'empreinte digitale. Par exemple en faisant :

note: type: <example></example>
en: $ GET http://ftp-master.debian.org/ziyi_key_2006.asc | gpg --import
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006)
      &lt;ftpmaster&amp;debian.org&gt;" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
    $ gpg --check-sigs --fingerprint 2D230C5F
    pub   1024D/2D230C5F 2006-01-03 [expires: 2007-02-07]
          Key fingerprint = 0847 50FC 01A6 D388 A643  D869 0109 0831 2D23 0C5F
    uid   Debian Archive Automatic Signing Key (2006) &lt;ftpmaster@debian.org&gt;
    sig!3        2D230C5F 2006-01-03  Debian Archive Automatic Signing Key
                                      (2006) &lt;ftpmaster@debian.org&gt;
    sig!         2A4E3EAA 2006-01-03  Anthony Towns &lt;aj@azure.humbug.org.au&gt;
    sig!         4F368D5D 2006-01-03  Debian Archive Automatic Signing Key
                                      (2005) &lt;ftpmaster@debian.org&gt;
    sig!         29982E5A 2006-01-04  Steve Langasek &lt;vorlon@dodds.net&gt;
    sig!         FD6645AB 2006-01-04  Ryan Murray &lt;rmurray@cyberhqz.com&gt;
    sig!         AB2A91F5 2006-01-04  James Troup &lt;james@nocrew.org&gt;
fr: $ GET http://ftp-master.debian.org/keys/archive-key-6.0.asc | gpg --import
    gpg: clé 473041FA: clé publique « Debian Archive Automatic Signing Key (6.0/squeeze)
      &lt;ftpmaster@debian.org&gt; » importée
    gpg:        Quantité totale traitée: 1
    gpg:                       importée: 1  (RSA: 1)
    gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
      de confiance PGP
    gpg: profondeur: 0  valide:   1  signé:   0
    confiance: 0-. 0g. 0n. 0m. 0f. 1u
    $ gpg --check-sigs --fingerprint 473041FA
    pub   4096R/473041FA 2010-08-27 [expire: 2018-03-05]
        Empreinte de la clé = 9FED 2BCB DCD2 9CDF 7626  78CB AED4 B06F 4730 41FA
    uid                  Debian Archive Automatic Signing Key (6.0/squeeze) &lt;ftpmaster@debian.org&gt;
    sig!3        473041FA 2010-08-27  Debian Archive Automatic Signing Key (6.0/squeeze)
      &lt;ftpmaster@debian.org&gt;
    sig!         7E7B8AC9 2010-08-27  Joerg Jaspert &lt;joerg@debian.org&gt;
    sig!    P    B12525C4 2010-08-27  Joerg Jaspert &lt;joerg@debian.org&gt;
    sig!         D0EC0723 2010-08-27  Mark Hymers &lt;mhy@debian.org&gt;
    sig!         8AEA8FEE 2010-08-27  Stephen Gran &lt;steve@lobefin.net&gt;
    sig!         A3AE44A4 2010-08-28  Michael O'Connor (stew) &lt;stew@vireo.org&gt;
    sig!         00D8CD16 2010-08-28  Alexander Reichle-Schmehl &lt;alexander@reichle.schmehl.info&gt;
    sig!         CD15A883 2010-08-28  Alexander Schmehl (privat) &lt;alexander@schmehl.info&gt;
    sig!         672C8B12 2010-08-28  Alexander Reichle-Schmehl &lt;tolimar@debian.org&gt;
    sig!2        C4CF8EC3 2010-08-28  Torsten Werner &lt;twerner@debian.org&gt;
    sig!2        D628A5CA 2010-08-28  Torsten Werner &lt;mail.twerner@googlemail.com&gt;

note: type: </example><example>
en: and then <url id="http://www.debian.org/doc/manuals/securing-debian-howto/ch7.en.html#s-deb-pack-sign" name="check the trust path"> from your key (or a key you trust) to at least one of the keys used to sign the archive key. If you are sufficiently paranoid you will tell apt to trust the key only if you find an acceptable path:
fr: puis en vérifiant la chaîne de confiance (consultez <ref id="deb-pack-sign">) de votre clef (ou d'une clef de confiance) vers au moins une des clefs utilisées pour signer la clef de l'archive. Si vous êtes suffisamment paranoïaque, vous ne direz à apt de ne faire confiance à la clef que si vous êtes satisfait de la chaîne de confiance :

note: type: <example></example>
en: $ gpg --export -a 2D230C5F | sudo apt-key add -
    Ok
fr: $ gpg --export -a 473041FA | sudo apt-key add -
    OK

note: type: <p></p>
en: Note that the key is signed with the previous archive key, so theoretically you can just build on your previous trust.
fr: Remarquez que la clef est signée par la clef de l'archive précédente, donc vous pouvez en théorie vous appuyer simplement sur votre confiance précédente.

note: type: <heading></heading>
en: Debian archive key yearly rotation
fr: Rotation annuelle de la clef de l'archive Debian

note: type: <p></p>
en: As mentioned above, the Debian archive signing key is changed each year, in January. Since secure apt is young, we don't have a great deal of experience with changing the key and there are still rough spots.
fr: Comme signalé précédemment, la clef de l'archive Debian est modifiée tous les ans, en janvier. Comme apt sécurisé est encore jeune, nous manquons encore d'expérience pour modifier la clef et des passages sont un peu abrupts.

note: type: <p></p>
en: In January 2006, a new key for 2006 was made and the <file>Release</file> file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <file>Release</file> file was signed by that as well. The intent was that apt would accept one signature or the other depending on the key it had, but apt turned out to be buggy and refused to trust the file unless it had both keys and was able to check both signatures. This was fixed in apt version 0.6.43.1. There was also confusion about how the key was distributed to users who already had systems using secure apt; initially it was uploaded to the web site with no announcement and no real way to verify it and users were forced to download it by hand.
fr: En janvier 2006, une nouvelle clef à été préparée pour 2006 et le fichier <file>Release</file> a commencé à être signé par cette clef, mais pour éviter de casser les systèmes qui utilisaient encore l'ancienne clef de 2005, le fichier <file>Release</file> était aussi signé par cette dernière. Le but était qu'apt accepte les deux signatures, indépendamment de la clef qu'il possède, mais à cause d'un bogue d'apt, il refusait de faire confiance au fichier s'il n'avait pas les deux clefs et n'était pas capable de vérifier les deux signatures. Cela a été corrigé dans la version 0.6.43.1 d'apt. Une confusion existait aussi sur la façon de distribuer la clef aux utilisateurs qui utilisaient déjà des systèmes avec apt sécurisé ; elle avait été envoyée sur le site web sans annonce et sans réel moyen de la vérifier, et les utilisateurs ont été obligés de la télécharger eux-mêmes.

note: type: <p></p>
en: In January 2006, a new key for 2006 was made and the Release file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <file>Release</file> file was signed by that as well. In order to prevent confusion on the best distribution mechanism for users who already have systems using secure apt, the debian-archive-keyring package was introduced, which manages apt keyring updates.
fr: En janvier 2006, une nouvelle clef à été préparée pour 2006 et le fichier <file>Release</file> a commencé à être signé par cette clef, mais pour éviter de casser les systèmes qui utilisaient encore l'ancienne clef de 2005, le fichier <file>Release</file> était aussi signé par cette dernière. Pour éviter les confusions sur le meilleur mécanisme de distribution pour les utilisateurs qui utilisent déjà des systèmes avec apt sécurisé, le paquet <package>debian-archive-keyring</package> a été  introduit, pour gérer les mises à jour du trousseau de clefs d'apt.

note: type: <heading></heading>
en: Known release checking problems
fr: Problèmes connus de vérification de la publication

note: type: <p><example>
en: One not so obvious problem is that if your clock is very far off, secure apt will not work. If it's set to a date in the past, such as 1999, apt will fail with an unhelpful message such as this:
fr: Un autre problème évident est que si l'horloge est très décalée, apt sécurisé ne fonctionnera pas. Si la date est configurée dans le passée, comme en 1999, apt échouera avec un message peu compréhensible comme :

note: type: <example></example>
en: W: GPG error: http://archive.progeny.com sid Release: Unknown error executing gpg
fr: W: GPG error: http://ftp.us.debian.org sid Release: Unknown error executing gpg

note: type: <p><example>
en: Although <prgn>apt-key</prgn> list will make the problem plain:
fr: Pourtant <prgn>apt-key</prgn> list expliquera le problème :

note: type: <example></example>
en: gpg: key 2D230C5F was created 192324901 seconds in the future (time warp or clock problem)
    gpg: key 2D230C5F was created 192324901 seconds in the future (time warp or clock problem)
    pub   1024D/2D230C5F 2006-01-03
    uid                  Debian Archive Automatic Signing Key (2006) &lt;ftpmaster@debian.org&gt;
fr: gpg: la clé 473041FA a été créée 367773259 secondes dans le futur (rupture
    spatio-temporelle ou problème d'horloge)
    pub   4096R/473041FA 2010-08-27 [expire: 2018-03-05]
    uid                  Debian Archive Automatic Signing Key (6.0/squeeze) &lt;ftpmaster@debian.org&gt;

note: type: <p></p>
en: If it's set to a date too far in the future, apt will treat the keys as expired.
fr: Si elle est configurée à une date trop dans le futur, apt considérera la clef expirée.

note: type: <p></p>
en: Another problem you may encouter if using testing or unstable is that if you have not run <prgn>apt-get update</prgn> lately and <prgn>apt-get install</prgn> a package, apt might complain that it cannot be authenticated (why does it do this?). <prgn>apt-get update</prgn> will fix this.
fr: Un autre problème que vous pourriez rencontrer en utilisant testing ou unstable, est que si vous n'avez pas exécuté <prgn>apt-get update</prgn> récemment et <prgn>apt-get install</prgn> un paquet, apt risque de se plaindre qu'il ne peut pas être authentifié. <prgn>apt-get update</prgn> corrigera cela.

note: type: <heading></heading>
en: Manual per distribution release check
fr: Vérification manuelle par version de distribution

note: type: <p></p>
en: In case you want to add now the additional security checks and don't want or cannot run the latest apt version<footnote><p>Either because you are using the stable, <em>sarge</em>, release or an older release or because you don't want to use the latest apt version, although we would really appreciate testing of it.</p></footnote> you can use the script below, provided by Anthony Towns. This script can automatically do some new security checks to allow the user to be sure that the software s/he's downloading matches the software Debian's distributing. This stops Debian developers from hacking into someone's system without the accountability provided by uploading to the main archive, or mirrors mirroring something almost, but not quite like Debian, or mirrors providing out of date copies of unstable with known security problems.
fr: Au cas où vous voudriez ajouter des vérifications de sécurité supplémentaires et que vous ne vouliez pas ou pouviez pas utiliser la dernière version d'apt<footnote><p>Soit parce que vous utilisez la version stable <em>Sarge</em> ou une version plus ancienne, soit parce que vous ne voulez pas utiliser la dernière version d'apt, bien que nous apprécierions qu'elle soit testée</p></footnote> vous pouvez utiliser le script ci-dessous fourni par Anthony Towns. Ce script peut automatiquement faire certaines nouvelles vérifications de sécurité qui permettent à l'utilisateur d'être sûr que le logiciel qu'il télécharge correspond à celui de la distribution de logiciels Debian. Cela empêche les développeurs Debian d'intégrer des nouveautés au système de quelqu'un en outrepassant les responsabilités qui incombent au chargement vers l'archive principale, ou encore cela empêche une duplication similaire mais pas exactement identique, ou pour finir cela empêche l'utilisation de miroirs fournissant des copies anciennes de la version unstable ou connaissant des problèmes de sécurité.

note: type: <p><example>
en: This sample code, renamed as <prgn>apt-check-sigs</prgn>, should be used in the following way:
fr: Ce code exemple, renommé en <prgn>apt-release-check</prgn>, devrait être utilisé de la manière suivante&nbsp;:

note: type: <example></example>
en: # apt-get update
    # apt-check-sigs
    (...results...)
    # apt-get dist-upgrade
fr: # apt-get update
    # apt-check-sigs
    (...résultats...)
    # apt-get dist-upgrade

note: type: <p><list>
en: First you need to:
fr: Avant tout, vous avez besoin de&nbsp;:

note: type: <p><example>
en: get the keys the archive software uses to sign <file>Release</file> files, <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> and add them to <file>~/.gnupg/trustedkeys.gpg</file> (which is what <prgn>gpgv</prgn> uses by default).
fr: récupérer les clefs que les logiciels de l'archive utilisent pour signer les fichiers <file>Release</file>, <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, et les ajouter à <file>~/.gnupg/trustedkeys.gpg</file> (c'est ce que <prgn>gpgv</prgn> utilise par défaut) ;

note: type: <p></p>
en: remove any <file>/etc/apt/sources.list</file> lines that don't use the normal "dists" structure, or change the script so that it works with them.
fr: retirer toutes les lignes de <file>/etc/apt/sources.list</file> qui n'utilisent pas la structure normale «&nbsp;dists&nbsp;» ou modifier le script afin qu'il fonctionne avec elles ;

note: type: <p></p>
en: be prepared to ignore the fact that Debian security updates don't have signed <file>Release</file> files, and that <file>Sources</file> files don't have appropriate checksums in the <file>Release</file> file (yet).
fr: être prêt à ignorer le fait que les mises à jour de sécurité Debian n'ont pas de fichiers <file>Release</file> signés et que les fichiers <file>Sources</file> n'ont pas (encore) les sommes de contrôle («&nbsp;checksums&nbsp;») appropriées dans le fichier <file>Release</file> ;

note: type: <p></p>
en: be prepared to check that the appropriate sources are signed by the appropriate keys.
fr: être prêt à vérifier que les sources appropriées soient signées par les clefs appropriées.

note: type: <p><example>
en: This is the example code for <prgn>apt-check-sigs</prgn>, the latest version can be retrieved from <url id="http://people.debian.org/~ajt/apt-check-sigs">. This code is currently in beta, for more information read <url id="http://lists.debian.org/debian-devel/2002/debian-devel-200207/msg00421.html">.
fr: C'est le code exemple pour <prgn>apt-check-sigs</prgn>, la dernière version peut être récupérée depuis <url id="http://people.debian.org/~ajt/apt-check-sigs">. Ce code est actuellement en bêta, pour de plus amples renseignements, consultez <url id="http://lists.debian.org/debian-devel/2002/debian-devel-200207/msg00421.html">.

note: type: <example></example>
en: #!/bin/bash
    
    # Copyright (c) 2001 Anthony Towns &lt;ajt@debian.org&gt;
    #
    # This program is free software; you can redistribute it and/or modify
    # it under the terms of the GNU General Public License as published by
    # the Free Software Foundation; either version 2 of the License, or
    # (at your option) any later version.
    #
    # This program is distributed in the hope that it will be useful,
    # but WITHOUT ANY WARRANTY; without even the implied warranty of
    # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    # GNU General Public License for more details.
    
    rm -rf /tmp/apt-release-check
    mkdir /tmp/apt-release-check || exit 1
    cd /tmp/apt-release-check
    
    >OK
    >MISSING
    >NOCHECK
    >BAD
    
    arch=`dpkg --print-installation-architecture`
    
    am_root () {
            [ `id -u` -eq 0 ]
    }
    
    get_md5sumsize () {
            cat "$1" | awk '/^MD5Sum:/,/^SHA1:/' | 
              MYARG="$2" perl -ne '@f = split /\s+/; if ($f[3] eq $ENV{"MYARG"}) {
    print "$f[1] $f[2]\n"; exit(0); }'
    }
    
    checkit () {
            local FILE="$1"
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
            Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
                            # No file, but not needed anyway
                            echo "OK"
                            return
                    fi
                    echo "$FILE" >>MISSING
                    echo "MISSING $Y"
                    return
            fi
            if [ "$Y" = "" ]; then
                    echo "$FILE" >>NOCHECK
                    echo "NOCHECK"
                    return
            fi
            X="`md5sum < /var/lib/apt/lists/$FILE | cut -d\  -f1` `wc -c < /var/lib
    /apt/lists/$FILE`"
            X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" >>BAD
                    echo "BAD"
                    return
            fi
            echo "$FILE" >>OK
            echo "OK"
    }
    
    echo
    echo "Checking sources in /etc/apt/sources.list:"
    echo "~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~"
    echo
    (echo "You should take care to ensure that the distributions you're downloading
    "
    echo "are the ones you think you are downloading, and that they are as up to"
    echo "date as you would expect (testing and unstable should be no more than"
    echo "two or three days out of date, stable-updates no more than a few weeks"
    echo "or a month)."
    ) | fmt
    echo
    
    cat /etc/apt/sources.list | 
      sed 's/^ *//' | grep '^[^#]' |
      while read ty url dist comps; do
            if [ "${url%%:*}" = "http" -o "${url%%:*}" = "ftp" ]; then
                    baseurl="${url#*://}"
            else
                    continue
            fi
    
            echo "Source: ${ty} ${url} ${dist} ${comps}"
    
            rm -f Release Release.gpg
            lynx -reload -dump "${url}/dists/${dist}/Release" >/dev/null 2>&1
            wget -q -O Release "${url}/dists/${dist}/Release"
    
            if ! grep -q '^' Release; then
                    echo "  * NO TOP-LEVEL Release FILE"
                    >Release
            else
                    origline=`sed -n 's/^Origin: *//p' Release | head -1`
                    lablline=`sed -n 's/^Label: *//p' Release | head -1`
                    suitline=`sed -n 's/^Suite: *//p' Release | head -1`
                    codeline=`sed -n 's/^Codename: *//p' Release | head -1`
                    dateline=`grep "^Date:" Release | head -1`
                    dscrline=`grep "^Description:" Release | head -1`
                    echo "  o Origin: $origline/$lablline"
                    echo "  o Suite: $suitline/$codeline"
                    echo "  o $dateline"
                    echo "  o $dscrline"
    
                    if [ "${dist%%/*}" != "$suitline" -a "${dist%%/*}" != "$codeline" ]; then
                            echo "  * WARNING: asked for $dist, got $suitline/$codeline"
                    fi
    
                    lynx -reload -dump "${url}/dists/${dist}/Release.gpg" >/dev/null 2>&1
                    wget -q -O Release.gpg "${url}/dists/${dist}/Release.gpg"
    
                    gpgv --status-fd 3 Release.gpg Release 3>&1 >/dev/null 2>&1 | sed -n "s/^\[GNUPG:\] //p" | (okay=0; err=""; while read gpgcode rest; do
                            if [ "$gpgcode" = "GOODSIG" ]; then
                                if [ "$err" != "" ]; then
                                    echo "  * Signed by ${err# } key: ${rest#* }"
                                else
                                    echo "  o Signed by: ${rest#* }"
                                    okay=1
                                fi
                                err=""
                            elif [ "$gpgcode" = "BADSIG" ]; then
                                echo "  * BAD SIGNATURE BY: ${rest#* }"
                                err=""
                            elif [ "$gpgcode" = "ERRSIG" ]; then
                                echo "  * COULDN'T CHECK SIGNATURE BY KEYID: ${rest %% *}"
                                err=""
                            elif [ "$gpgcode" = "SIGREVOKED" ]; then
                                err="$err REVOKED"
                            elif [ "$gpgcode" = "SIGEXPIRED" ]; then
                                err="$err EXPIRED"
                            fi
                        done
                        if [ "$okay" != 1 ]; then
                            echo "  * NO VALID SIGNATURE"
                            >Release
                        fi)
            fi
            okaycomps=""
            for comp in $comps; do
                    if [ "$ty" = "deb" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Release" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Packages" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Packages")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * PROBLEMS WITH $comp ($X, $Y)"
                            fi
                    elif [ "$ty" = "deb-src" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Release" | sed 's,//*,_,g'`" "${comp}/source/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Sources" | sed 's,//*,_,g'`" "${comp}/source/Sources")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * PROBLEMS WITH component $comp ($X, $Y)"
                            fi
                    fi
            done
            [ "$okaycomps" = "" ] || echo "  o Okay:$okaycomps"
            echo
      done
    
    echo "Results"
    echo "~~~~~~~"
    echo
    
    allokay=true
    
    cd /tmp/apt-release-check
    diff <(cat BAD MISSING NOCHECK OK | sort) <(cd /var/lib/apt/lists && find . -type f -maxdepth 1 | sed 's,^\./,,g' | grep '_' | sort) | sed -n 's/^> //p' >UNVALIDATED
    
    cd /tmp/apt-release-check
    if grep -q ^ UNVALIDATED; then
        allokay=false
        (echo "The following files in /var/lib/apt/lists have not been validated."
        echo "This could turn out to be a harmless indication that this script"
        echo "is buggy or out of date, or it could let trojaned packages get onto"
        echo "your system."
        ) | fmt
        echo
        sed 's/^/    /' < UNVALIDATED
        echo
    fi
    
    if grep -q ^ BAD; then
        allokay=false
        (echo "The contents of the following files in /var/lib/apt/lists does not"
        echo "match what was expected. This may mean these sources are out of date,"
        echo "that the archive is having problems, or that someone is actively"
        echo "using your mirror to distribute trojans."
        if am_root; then 
            echo "The files have been renamed to have the extension .FAILED and"
            echo "will be ignored by apt."
            cat BAD | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' < BAD
        echo
    fi
    
    if grep -q ^ MISSING; then
        allokay=false
        (echo "The following files from /var/lib/apt/lists were missing. This"
        echo "may cause you to miss out on updates to some vulnerable packages."
        ) | fmt
        echo
        sed 's/^/    /' < MISSING
        echo
    fi
    
    if grep -q ^ NOCHECK; then
        allokay=false
        (echo "The contents of the following files in /var/lib/apt/lists could not"
        echo "be validated due to the lack of a signed Release file, or the lack"
        echo "of an appropriate entry in a signed Release file. This probably"
        echo "means that the maintainers of these sources are slack, but may mean"
        echo "these sources are being actively used to distribute trojans."
        if am_root; then 
            echo "The files have been renamed to have the extension .FAILED and"
            echo "will be ignored by apt."
            cat NOCHECK | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' < NOCHECK
        echo
    fi
    
    if $allokay; then
        echo 'Everything seems okay!'
        echo
    fi
    
    rm -rf /tmp/apt-release-check
fr: #!/bin/bash
    
    # Copyright (c) 2001 Anthony Towns &lt;ajt@debian.org&gt;
    #
    # This program is free software; you can redistribute it and/or modify
    # it under the terms of the GNU General Public License as published by
    # the Free Software Foundation; either version 2 of the License, or
    # (at your option) any later version.
    #
    # This program is distributed in the hope that it will be useful,
    # but WITHOUT ANY WARRANTY; without even the implied warranty of
    # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    # GNU General Public License for more details.
    
    rm -rf /tmp/apt-release-check
    mkdir /tmp/apt-release-check || exit 1
    cd /tmp/apt-release-check
    
    >OK
    >MISSING
    >NOCHECK
    >BAD
    
    arch=`dpkg --print-installation-architecture`
    
    am_root () {
            [ `id -u` -eq 0 ]
    }
    
    get_md5sumsize () {
            cat "$1" | awk '/^MD5Sum:/,/^SHA1:/' | 
              MYARG="$2" perl -ne '@f = split /\s+/; if ($f[3] eq $ENV{"MYARG"}) { 
    print "$f[1] $f[2]\n"; exit(0); }'
    }
    
    checkit () {
            local FILE="$1"
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
            Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
                            # No file, but not needed anyway
                            echo "Succès"
                            return
                    fi
                    echo "$FILE" >>MISSING
                    echo "$Y manquant"
                    return
            fi
            if [ "$Y" = "" ]; then
                    echo "$FILE" >>NOCHECK
                    echo "Pas de vérification"
                    return
            fi
            X="`md5sum < /var/lib/apt/lists/$FILE | cut -d\  -f1` `wc -c < /var/lib
    /apt/lists/$FILE`"
            X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" >>BAD
                    echo "Problème"
                    return
            fi
            echo "$FILE" >>OK
            echo "Succès"
    }
    
    echo
    echo "Vérification des sources dans /etc/apt/sources.list :"
    echo "~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~"
    echo
    (echo "Vous devriez vous assurer que les distributions que vous téléchargez"
    echo "sont bien celles que vous pensez télécharger, et qu'elle sont aussi à"
    echo "jour que vous pourriez l'espérer (testing et unstable ne devraient pas"
    echo "être désynchronisées de plus d'un jour ou deux, stable-updates pas plus"
    echo "de quelques semaines ou un mois)."
    ) | fmt
    echo
    
    cat /etc/apt/sources.list | 
      sed 's/^ *//' | grep '^[^#]' |
      while read ty url dist comps; do
            if [ "${url%%:*}" = "http" -o "${url%%:*}" = "ftp" ]; then
                    baseurl="${url#*://}"
            else
                    continue
            fi
    
            echo "Source : ${ty} ${url} ${dist} ${comps}"
    
            rm -f Release Release.gpg
            lynx -reload -dump "${url}/dists/${dist}/Release" >/dev/null 2>&1
            wget -q -O Release "${url}/dists/${dist}/Release"
    
            if ! grep -q '^' Release; then
                    echo "  * Pas de fichier Release au premier niveau"
                    >Release
            else
                    origline=`sed -n 's/^Origin: *//p' Release | head -1`
                    lablline=`sed -n 's/^Label: *//p' Release | head -1`
                    suitline=`sed -n 's/^Suite: *//p' Release | head -1`
                    codeline=`sed -n 's/^Codename: *//p' Release | head -1`
                    dateline=`grep "^Date:" Release | head -1`
                    dscrline=`grep "^Description:" Release | head -1`
                    echo "  o Origine : $origline/$lablline"
                    echo "  o Suite : $suitline/$codeline"
                    echo "  o $dateline"
                    echo "  o $dscrline"
    
                    if [ "${dist%%/*}" != "$suitline" -a "${dist%%/*}" != "$codeline" ]; then
                            echo "  * Attention : $dist était demandée, $suitline/$codeline a été obtenue"
                    fi
    
                    lynx -reload -dump "${url}/dists/${dist}/Release.gpg" >/dev/null 2>&1
                    wget -q -O Release.gpg "${url}/dists/${dist}/Release.gpg"
    
                    gpgv --status-fd 3 Release.gpg Release 3>&1 >/dev/null 2>&1 | sed -n "s/^\[GNUPG:\] //p" | (okay=0; err=""; while read gpgcode rest; do
                            if [ "$gpgcode" = "GOODSIG" ]; then
                                if [ "$err" != "" ]; then
                                    echo "  * Signé par ${err# } clef : ${rest#* }"
                                else
                                    echo "  o Signé par : ${rest#* }"
                                    okay=1
                                fi
                                err=""
                            elif [ "$gpgcode" = "BADSIG" ]; then
                                echo "  * Mauvaise signature par : ${rest#* }"
                                err=""
                            elif [ "$gpgcode" = "ERRSIG" ]; then
                                echo "  * Impossible de vérifier la signature par identifiant de clef : ${rest %% *}"
                                err=""
                            elif [ "$gpgcode" = "SIGREVOKED" ]; then
                                err="$err Révoquée"
                            elif [ "$gpgcode" = "SIGEXPIRED" ]; then
                                err="$err Expirée"
                            fi
                        done
                        if [ "$okay" != 1 ]; then
                            echo "  * Pas de signature valable"
                            >Release
                        fi)
            fi
            okaycomps=""
            for comp in $comps; do
                    if [ "$ty" = "deb" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Release" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Packages" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Packages")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * Problèmes avec $comp ($X, $Y)"
                            fi
                    elif [ "$ty" = "deb-src" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Release" | sed 's,//*,_,g'`" "${comp}/source/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Sources" | sed 's,//*,_,g'`" "${comp}/source/Sources")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * Problèmes avec le composant $comp ($X, $Y)"
                            fi
                    fi
            done
            [ "$okaycomps" = "" ] || echo "  o Okay:$okaycomps"
            echo
      done
    
    echo "Résultat"
    echo "~~~~~~~~"
    echo
    
    allokay=true
    
    cd /tmp/apt-release-check
    diff <(cat BAD MISSING NOCHECK OK | sort) <(cd /var/lib/apt/lists && find . -type f -maxdepth 1 | sed 's,^\./,,g' | grep '_' | sort) | sed -n 's/^> //p' >UNVALIDATED
    
    cd /tmp/apt-release-check
    if grep -q ^ UNVALIDATED; then
        allokay=false
        (echo "Les fichiers suivants de /var/lib/apt/lists n'ont pas été validés."
        echo "Cela peut soit être une simple indication inoffensive que ce script"
        echo "est bogué ou pas à jour, soit un indicateur de porte ouverte aux"
        echo "paquets de type chevaux de Troie sur le système."
        ) | fmt
        echo
        sed 's/^/    /' < UNVALIDATED
        echo
    fi
    
    if grep -q ^ BAD; then
        allokay=false
        (echo "Les contenus des fichiers suivants de /var/lib/apt/lists ne"
        echo "correspondent pas à ce qui était attendu. Cela peut signifier que"
        echo "ces sources ne sont pas à jour, qu'il y a un problème d'archive,"
        echo "ou que quelqu'un est en train d'utiliser le miroir pour distribuer"
        echo "des chevaux de Troie."
        if am_root; then 
            echo "Les fichiers ont été renommés avec l'extension .FAILED et"
            echo "seront ignorés par apt."
            cat BAD | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' < BAD
        echo
    fi
    
    if grep -q ^ MISSING; then
        allokay=false
        (echo "Les fichiers suivants de /var/lib/apt/lists manquaient. Cela"
        echo "pourrait vous faire manquer des mises à jours de paquets vulnérables."
        ) | fmt
        echo
        sed 's/^/    /' < MISSING
        echo
    fi
    
    if grep -q ^ NOCHECK; then
        allokay=false
        (echo "Les contenus des fichiers suivants de /var/lib/apt/lists n'ont pas"
        echo "pu être validés à cause d'un manque de fichier Release signé, ou"
        echo "d'un manque d'entrée appropriée dans un fichier Release signé. Cela"
        echo "signifie probablement que les mainteneurs de ces sources sont"
        echo "négligents, mais pourrait signifier que ces sources sont en cours"
        echo "d'utilisation pour distribuer des chevaux de Troie."
        if am_root; then 
            echo "Les fichiers ont été renommés avec l'extension .FAILED et"
            echo "seront ignorés par apt."
            cat NOCHECK | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' < NOCHECK
        echo
    fi
    
    if $allokay; then
        echo 'Tout semble se passer correctement !'
        echo
    fi
    
    rm -rf /tmp/apt-release-check

note: type: <p><example>
en: You might need to apply the following patch for <em>sid</em> since <prgn>md5sum</prgn> adds an '-' after the sum when the input is stdin:
fr: Vous pourriez devoir ajouter le correctif suivant pour <em>Sid</em> car <prgn>md5sum</prgn> ajoute un « - » après la somme quand l'entrée provient de l'entrée standard :

note: type: <example></example>
en: @@ -37,7 +37,7 @@
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
    -       Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    +       Y="`echo "$Y" | sed 's/-//;s/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
    @@ -55,7 +55,7 @@
                    return
            fi
            X="`md5sum < /var/lib/apt/lists/$FILE` `wc -c < /var/lib/apt/lists/$FILE`"
    -       X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
    +       X="`echo "$X" | sed 's/-//;s/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" >>BAD
                    echo "BAD"
fr: @@ -37,7 +37,7 @@
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
    -       Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    +       Y="`echo "$Y" | sed 's/-//;s/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
    @@ -55,7 +55,7 @@
                    return
            fi
            X="`md5sum < /var/lib/apt/lists/$FILE` `wc -c < /var/lib/apt/lists/$FILE`"
    -       X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
    +       X="`echo "$X" | sed 's/-//;s/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" >>BAD
                    echo "Problème"

note: type: <heading></heading>
en: Release check of non Debian sources
fr: Vérification de distribution pour les sources non Debian

note: type: <p><example>
en: Notice that, when using the latest apt version (with <em>secure apt</em>) no extra effort should be required on your part unless you use non-Debian sources, in which case an extra confirmation step will be required by apt-get. This is avoided by providing <file>Release</file> and <file>Release.gpg</file> files in the non-Debian sources. The <file>Release</file> file can be generated with <prgn>apt-ftparchive</prgn> (available in <package>apt-utils</package> 0.5.0 and later), the <file>Release.gpg</file> is just a detached signature. To generate both follow this simple procedure:
fr: Notez que, lors de l'utilisation de la dernière version d'apt (avec apt sécurisé), aucun effort supplémentaire ne devrait être nécessaire de votre part sauf si vous utilisez des sources non Debian, auquel cas une étape de confirmation supplémentaire sera imposée par apt-get. C'est évité en fournissant les fichiers <file>Release</file> et <file>Release.gpg</file> dans les sources non Debian. Le fichier <file>Release</file> peut être généré avec <prgn>apt-ftparchive</prgn> (disponible dans <package>apt-utils</package>&nbsp;0.5.0 et ultérieur), le fichier <file>Release.gpg</file> est simplement une signature détachée. Pour générer les deux fichiers, suivez cette procédure simple&nbsp;:

note: type: <heading></heading>
en: Alternative per-package signing scheme
fr: Schéma alternatif de signature par paquet

note: type: <p></p>
en: The additional scheme of signing each and every packages allows packages to be checked when they are no longer referenced by an existing <file>Packages</file> file, and also third-party packages where no <file>Packages</file> ever existed for them can be also used in Debian but will not be default scheme.
fr: Le schéma supplémentaire de signature de chacun des paquets permet aux paquets d'être vérifiés quand ils ne sont plus référencés par un fichier <file>Packages</file> existant, et également pour les paquets de tierce partie dont aucun <file>Packages</file> n'a jamais existé, pour qu'ils puissent être utilisés dans Debian, mais ce ne sera pas le schéma par défaut.

note: type: <p></p>
en: This package signing scheme can be implemented using <package>debsig-verify</package> and <package>debsigs</package>. These two packages can sign and verify embedded signatures in the .deb itself. Debian already has the capability to do this now, but there is no feature plan to implement the policy or other tools since the archive signing scheme is prefered. These tools are available for users and archive administrators that would rather use this scheme instead.
fr: Ce schéma de signature des paquets peut être implémenté en utilisant <package>debsig-verify</package> et <package>debsigs</package>. Ces deux paquets peuvent signer et vérifier des signatures intégrées au .deb lui-même. Debian a déjà la capacité de faire cela actuellement, mais il n'y a aucun projet de mettre en place une charte ou d'autres outils puisque la signature de l'archive est préférée. Ces outils sont disponibles aux utilisateurs et aux administrateurs d'archive qui pourraient préférer utiliser ce schéma.

note: type: <p></p>
en: Latest <prgn>dpkg</prgn> versions (since 1.9.21) incorporate a <url id="http://lists.debian.org/debian-dpkg/2001/debian-dpkg-200103/msg00024.html" name="patch"> that provides this functionality as soon as <package>debsig-verify</package> is installed.
fr: Les dernières versions de <prgn>dpkg</prgn> (à partir de la version&nbsp;1.9.21) contiennent un <url id="http://lists.debian.org/debian-dpkg/2001/debian-dpkg-200103/msg00024.html" name="correctif"> qui fournit cette fonctionnalité dès que <package>debsig-verify</package> est installé.

note: type: <p></p>
en: NOTE: Currently <file>/etc/dpkg/dpkg.cfg</file> ships with "no-debsig" as per default.
fr: Note&nbsp;: actuellement, <file>/etc/dpkg/dpkg.cfg</file> est livré avec «&nbsp;no-debsig&nbsp;» par défaut.

note: type: <p></p>
en: NOTE2: Signatures from developers are currently stripped when they enter off the package archive since the currently preferred method is release checks as described previously.
fr: Seconde note : les signatures des développeurs sont actuellement enlevées lors de l'entrée du paquet dans l'archive car la méthode actuellement préférée est par vérification de distribution comme décrit précédemment.

note: type: <heading></heading>
en: Security tools in Debian
fr: Outils de sécurité dans Debian

note: type: <p></p>
en: FIXME: More content needed.
fr: FIXME : Besoin de plus de contenu.

note: type: <p></p>
en: Debian provides also a number of security tools that can make a Debian box suited for security purposes. These purposes include protection of information systems through firewalls (either packet or application-level), intrusion detection (both network and host based), vulnerability assessment, antivirus, private networks, etc.
fr: Debian fournit un certain nombre d'outils qui peuvent rendre un système Debian apte à une utilisation sécurisée, y compris la protection des systèmes d'information au travers de pare-feu (qui agissent au niveau des paquets ou de la couche application), de systèmes de détection d'intrusions (basés sur le réseau ou sur l'hôte), d'évaluation des vulnérabilités, d'antivirus, de réseaux privés, etc.

note: type: <p></p>
en: Since Debian 3.0 (<em>woody</em>), the distribution features cryptographic software integrated into the main distribution. OpenSSH and GNU Privacy Guard are included in the default install, and strong encryption is now present in web browsers and web servers, databases, and so forth. Further integration of cryptography is planned for future releases. This software, due to export restrictions in the US, was not distributed along with the main distribution but included only in non-US sites.
fr: Depuis Debian&nbsp;3.0 (<em>Woody</em>), la distribution propose des logiciels de chiffrement intégrés à la distribution principale (<em>main</em>). OpenSSH et GNU Privacy Guard font partie de l'installation par défaut et le chiffrement fort est maintenant présent dans les navigateurs web, les serveurs web, les bases de données, etc. Une intégration plus poussée du chiffrement est prévue pour les versions ultérieures. Ces logiciels, à cause de restrictions d'exportation aux États-Unis, n'étaient pas distribués avec la distribution principale, mais inclus seulement dans les sites hors des États-Unis.

note: type: <heading></heading>
en: Remote vulnerability assessment tools
fr: Outils d'évaluation des vulnérabilités à distance

note: type: <p><list>
en: The tools provided by Debian to perform remote vulnerability assessment are: <footnote><p>Some of them are provided when installing the <package>harden-remoteaudit</package> package.</p></footnote>
fr: Les outils fournis dans Debian pour effectuer une évaluation des vulnérabilités à distance sont&nbsp;: <footnote><p>Certains d'entre eux sont fournis en installant le paquet <package>harden-remoteaudit</package>.</p></footnote>

note: type: <p></p>
en: <package>nessus</package>
fr: <package>nessus</package> ;

note: type: <p></p>
en: <package>raccess</package>
fr: <package>raccess</package> ;

note: type: <p></p>
en: <package>nikto</package> (<prgn>whisker</prgn>'s replacement)
fr: <package>nikto</package> (en remplacement de <prgn>whisker</prgn>).

note: type: <p></p>
en: By far, the most complete and up-to-date tools is <package>nessus</package> which is composed of a client (<package>nessus</package>) used as a GUI and a server (<package>nessusd</package>) which launches the programmed attacks. Nessus includes remote vulnerabilities for quite a number of systems including network appliances, ftp servers, www servers, etc. The latest security plugins are able even to parse a web site and try to discover which interactive pages are available which could be attacked. There are also Java and Win32 clients (not included in Debian) which can be used to contact the management server.
fr: De loin l'outil le plus complet et mis à jour, <package>nessus</package> est composé d'un client (<package>nessus</package>) utilisé comme une interface graphique et d'un serveur (<package>nessusd</package>) qui lance les attaques programmées. Nessus connait des vulnérabilités à distance pour un grand nombre de systèmes y compris les appareils réseaux, les serveurs FTP, les serveurs HTTP, etc. Les dernières versions sont même capables de parcourir un site web et d'essayer de découvrir les pages interactives qui sont susceptibles d'être attaquées. Il existe également des clients Java et Win32 (non fournis dans Debian) qui peuvent être utilisés pour contacter le serveur de gestion.

note: type: <p></p>
en: <package>nikto</package> is a web-only vulnerability assessment scanner including anti-IDS tactics (most of which are not <em>anti-IDS</em> anymore). It is one of the best cgi-scanners available, being able to detect a WWW server and launch only a given set of attacks against it. The database used for scanning can be easily modified to provide for new information.
fr: <package>nikto</package> est un scanner pour évaluer les vulnérabilités d'un serveur HTTP et qui utilise des stratégies afin de contrer les systèmes de détection d'intrusions (IDS). Les IDS évoluant également, la plupart de ces techniques finissent par ne plus être efficace à titre d'<em>anti-IDS</em>). C'est tout de même l'un des meilleurs scanners disponibles pour tester les CGI et il est capable de détecter le serveur web utilisé afin de ne lancer les attaques que si elles ont des chances de fonctionner. De plus, la base de données utilisée pour scanner peut être facilement modifiée afin d'ajouter de nouveaux tests.

note: type: <heading></heading>
en: Network scanner tools
fr: Outils pour parcourir le réseau

note: type: <p><list>
en: Debian does provide some tools used for remote scanning of hosts (but not vulnerability assessment). These tools are, in some cases, used by vulnerability assessment scanners as the first type of "attack" run against remote hosts in an attempt to determine remote services available. Currently Debian provides:
fr: Debian fournit quelques outils pour parcourir des hôtes distants (toutefois en n'examinant pas les vulnérabilités). Ces outils sont, dans certains cas, utilisés comme des scanners de vulnérabilités. C'est le premier type d'« attaques » lancées contre des hôtes distants afin de tenter de déterminer les services disponibles. À l'heure actuelle, Debian fournit&nbsp;:

note: type: <p></p>
en: <package>nmap</package>
fr: <package>nmap</package> ;

note: type: <p></p>
en: <package>xprobe</package>
fr: <package>xprobe</package> ;

note: type: <p></p>
en: <package>p0f</package>
fr: <package>p0f</package> ;

note: type: <p></p>
en: <package>knocker</package>
fr: <package>knocker</package> ;

note: type: <p></p>
en: <package>isic</package>
fr: <package>isic</package> ;

note: type: <p></p>
en: <package>hping2</package>
fr: <package>hping3</package> ;

note: type: <p></p>
en: <package>icmpush</package>
fr: <package>icmpush</package> ;

note: type: <p></p>
en: <package>nbtscan</package> (for SMB /NetBIOS audits)
fr: <package>nbtscan</package> (pour audits SMB ou NetBIOS) ;

note: type: <p></p>
en: <package>fragrouter</package>
fr: <package>fragrouter</package> ;

note: type: <p></p>
en: <prgn>strobe</prgn> (in the <package>netdiag</package> package)
fr: <prgn>strobe</prgn> (dans le paquet <package>netdiag</package>) ;

note: type: <p></p>
en: <package>irpas</package>
fr: <package>irpas</package>.

note: type: <p></p>
en: While <package>xprobe</package> provide only remote operating system detection (using TCP/IP fingerprinting, <package>nmap</package> and <package>knocker</package> do both operating system detection and port scanning of the remote hosts. On the other hand, <package>hping2</package> and <package>icmpush</package> can be used for remote ICMP attack techniques.
fr: Même si <package>xprobe</package> ne permet que la détection des systèmes d'exploitation (en utilisant des empreintes TCP/IP), <package>nmap</package> et <package>knocker</package> font les deux&nbsp;: la détection du système d'exploitation et la détection de l'état des ports sur un système distant. D'un autre côté, <package>hping3</package> et <package>icmpush</package> peuvent être utilisés dans le cadre d'attaques à distance par ICMP.

note: type: <p></p>
en: Designed specifically for SMB networks, <package>nbtscan</package> can be used to scan IP networks and retrieve name information from SMB-enabled servers, including: usernames, network names, MAC addresses...
fr: Conçu spécifiquement pour les réseaux SMB, <package>nbtscan</package> peut être utilisé pour scanner les réseaux IP et obtenir des informations sur les noms des serveurs ayant activé la prise en charge de NetBIOS, y compris l'adresse IP, le nom NetBIOS de l'ordinateur, les noms des utilisateurs connectés, les noms des réseaux, les adresses MAC, etc.

note: type: <p></p>
en: On the other hand, <package>fragrouter</package> can be used to test network intrusion detection systems and see if the NIDS can be eluded by fragmentation attacks.
fr: D'un autre côté, <package>fragrouter</package> peut être utilisé pour tester des systèmes de détection d'intrusion réseau et voir si le NIDS peut être éludé par des attaques par fragmentation (de paquets).

note: type: <p></p>
en: FIXME: Check <url id="http://bugs.debian.org/153117" name="Bug #153117"> (ITP fragrouter) to see if it's included.
fr: FIXME : Vérifier le <url id="http://bugs.debian.org/153117" name="bogue nº 153117"> (ITP fragrouter) pour voir s'il est inclus.

note: type: <p></p>
en: FIXME add information based on <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf" name="Debian Linux Laptop for Road Warriors"> which describes how to use Debian and a laptop to scan for wireless (803.1) networks (link not there any more).
fr: FIXME : Ajouter des informations basées sur <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf" name="Debian Linux Laptop for Road Warriors"> qui décrit comment utiliser Debian et un ordinateur portable pour parcourir les réseaux sans fil (803.1).

note: type: <heading></heading>
en: Internal audits
fr: Audits internes

note: type: <p></p>
en: Currently, only the <package>tiger</package> tool used in Debian can be used to perform internal (also called white box) audit of hosts in order to determine if the file system is properly set up, which processes are listening on the host, etc.
fr: De nos jours, seul l'outil <package>tiger</package> utilisé dans Debian peut être utilisé pour effectuer un audit interne (également appelé boîte blanche, « white box ») d'hôtes de façon à déterminer si le système de fichiers est installé correctement, les processus à l'écoute sur l'hôte, etc.

note: type: <heading></heading>
en: Auditing source code
fr: Contrôle du code source

note: type: <p><list>
en: Debian provides several packages that can be used to audit C/C++ source code programs and find programming errors that might lead to potential security flaws:
fr: Debian fournit plusieurs paquets qui peuvent être utilisés afin de contrôler le code source de programmes écrits en C ou C++ et d'identifier des erreurs de programmation qui pourraient conduire à des failles de sécurité exploitables&nbsp;:

note: type: <p></p>
en: <package>flawfinder</package>
fr: <package>flawfinder</package> ;

note: type: <p></p>
en: <package>rats</package>
fr: <package>rats</package> ;

note: type: <p></p>
en: <package>splint</package>
fr: <package>splint</package> ;

note: type: <p></p>
en: <package>pscan</package>
fr: <package>pscan</package>.

note: type: <heading></heading>
en: Virtual Private Networks
fr: Réseaux Privés Virtuels

note: type: <p></p>
en: A virtual private network (VPN) is a group of two or more computer systems, typically connected to a private network with limited public network access, that communicate securely over a public network. VPNs may connect a single computer to a private network (client-server), or a remote LAN to a private network (server-server). VPNs often include the use of encryption, strong authentication of remote users or hosts, and methods for hiding the private network's topology.
fr: Un réseau privé virtuel (VPN) est un groupe d'au moins deux ordinateurs, habituellement reliés à un réseau privé offrant un accès réseau public limité, qui communiquent de façon sécurisée par l'intermédiaire d'un réseau public. Les VPN peuvent connecter un seul ordinateur à un réseau privé (client serveur) ou un réseau local (LAN) distant à un réseau privé (serveur serveur). Les VPN incluent souvent l'utilisation du chiffrement, une authentification forte des utilisateurs ou hôtes distants et des méthodes pour cacher la topologie du réseau privé.

note: type: <p><list>
en: Debian provides quite a few packages to set up encrypted virtual private networks:
fr: Debian fournit un nombre assez important de paquets pour mettre en place des réseaux privés virtuels chiffrés&nbsp;:

note: type: <p></p>
en: <package>vtun</package>
fr: <package>vtun</package> ;

note: type: <p></p>
en: <package>tunnelv</package> (non-US section)
fr: <package>tunnelv</package> (section non-US) ;

note: type: <p></p>
en: <package>cipe-source</package>, <package>cipe-common</package>
fr: <package>cipe-source</package>, <package>cipe-common</package> ;

note: type: <p></p>
en: <package>tinc</package>
fr: <package>tinc</package> ;

note: type: <p></p>
en: <package>secvpn</package>
fr: <package>secvpn</package> ;

note: type: <p></p>
en: <package>pptpd</package>
fr: <package>pptp</package> ;

note: type: <p></p>
en: <package>openvpn</package>
fr: <package>openvpn</package> ;

note: type: <p></p>
en: <package>openswan</package> (<url id="http://www.openswan.org/">)
fr: <package>openswan</package> (<url id="http://www.openswan.org/">).

note: type: <p></p>
en: FIXME: Update the information here since it was written with FreeSWAN in mind. Check Bug #237764 and Message-Id: &lt;200412101215.04040.rmayr@debian.org&gt;.
fr: FIXME : Mettre à jour cette information car elle a été écrite en pensant à FreeSWAN. Vérifier le bogue nº 237764 et le Message-Id: &lt;200412101215.04040.rmayr@debian.org&gt;.

note: type: <p></p>
en: The OpenSWAN package is probably the best choice overall, since it promises to interoperate with almost anything that uses the IP security protocol, IPsec (RFC 2411). However, the other packages listed above can also help you get a secure tunnel up in a hurry. The point to point tunneling protocol (PPTP) is a proprietary Microsoft protocol for VPN. It is supported under Linux, but is known to have serious security issues.
fr: Le paquet OpenSWAN est probablement le meilleur choix dans l'ensemble étant donné qu'il promet d'être fonctionnel avec tout matériel gérant le protocole de sécurité d'IP, IPsec (RFC&nbsp;2411). Mais, les autres paquets peuvent vous aider à obtenir un tunnel sécurisé rapidement. Le protocole de tunnel point à point (PPTP) est le protocole propriétaire Microsoft pour les VPN. Il est pris en charge sous Linux mais il est connu pour avoir de sérieux problèmes de sécurité.

note: type: <p></p>
en: For more information see the <url id="http://www.tldp.org/HOWTO/VPN-Masquerade-HOWTO.html" name="VPN-Masquerade HOWTO"> (covers IPsec and PPTP), <url id="http://www.tldp.org/HOWTO/VPN-HOWTO.html" name="VPN HOWTO"> (covers PPP over SSH), <url id="http://www.tldp.org/HOWTO/mini/Cipe+Masq.html" name="Cipe mini-HOWTO">, and <url id="http://www.tldp.org/HOWTO/mini/ppp-ssh/index.html" name="PPP and SSH mini-HOWTO">.
fr: Pour plus d'informations, lire le <url id="http://www.traduc.org/docs/HOWTO/vf/VPN-Masquerade-HOWTO.html" name="VPN Masquerade HOWTO"> (couvre IPsec et PPTP), le <url id="http://www.traduc.org/docs/HOWTO/vf/VPN-HOWTO.html" name="VPN HOWTO"> (couvre PPP à travers SSH), le <url id="http://www.linuxdoc.org/HOWTO/mini/Cipe+Masq.html" name="Cipe mini-HOWTO"> et le <url id="http://www.linuxdoc.org/HOWTO/mini/ppp-ssh/index.html" name="PPP and SSH mini-HOWTO">.

note: type: <p></p>
en: Also worth checking out is <url id="http://yavipin.sourceforge.net/" name="Yavipin">, but no Debian packages seem to be available yet.
fr: Cela vaut également le coup de vérifier <url id="http://yavipin.sourceforge.net/" name="Yavipin">, mais aucun paquet Debian ne semble être disponible pour l'instant.

note: type: <heading></heading>
en: Point to Point tunneling
fr: Le tunnel point à point

note: type: <p></p>
en: If you want to provide a tunneling server for a mixed environment (both Microsoft operating systems and Linux clients) and IPsec is not an option (since it's only provided for Windows 2000 and Windows XP), you can use <em>PoPToP</em> (Point to Point Tunneling Server), provided in the <package>pptpd</package> package.
fr: Si vous désirez fournir un serveur de tunnel pour un environnement mixte (à la fois pour les systèmes d'exploitation Microsoft et les clients Linux) et qu'IPsec n'est pas une option (car il n'est fourni que pour Windows 2000 et Windows XP), vous pouvez utiliser <em>PoPToP</em> (serveur de tunnel point à point), fourni dans le paquet <package>pptpd</package>.

note: type: <p><example>
en: If you want to use Microsoft's authentication and encryption with the server provided in the <package>ppp</package> package, note the following from the FAQ:
fr: Si vous voulez utiliser l'authentification et le chiffrage de Microsoft avec le serveur fourni dans le paquet <package>ppp</package>, veuillez noter la remarque suivante de la FAQ&nbsp;:

note: type: <example></example>
en: It is only necessary to use PPP 2.3.8 if you want Microsoft compatible
    MSCHAPv2/MPPE authentication and encryption. The reason for this is that
    the MSCHAPv2/MPPE patch currently supplied (19990813) is against PPP
    2.3.8. If you don't need Microsoft compatible authentication/encryption
    any 2.3.x PPP source will be fine.
fr: Utiliser PPP 2.3.8 n'est nécessaire que si vous voulez une
    authentification et un chiffrement compatible Microsoft MSCHAPv2/MPPE.
    La raison est que le correctif MSCHAPv2/MPPE actuellement fourni
    (19990813) est relatif à PPP 2.3.8. Si vous n'avez pas besoin de
    l'authentification ou du chiffrement compatible Microsoft, n'importe
    quelle source PPP 2.3.x fera l'affaire.

note: type: <p></p>
en: However, you also have to apply the kernel patch provided by the <package>kernel-patch-mppe</package> package, which provides the pp_mppe module for pppd.
fr: Vous devez cependant appliquer le correctif noyau fourni par le paquet <package>kernel-patch-mppe</package> qui fournit le module pp_mppe pour pppd.

note: type: <p></p>
en: Take into account that the encryption in ppptp forces you to store user passwords in clear text, and that the MS-CHAPv2 protocol contains <url id="http://mopo.informatik.uni-freiburg.de/pptp_mschapv2/" name="known security holes">.
fr: N'oubliez pas que le chiffrement dans ppptp vous oblige à stocker les mots de passe utilisateur en clair et que le protocole MS-CHAPv2 contient des <url id="http://mopo.informatik.uni-freiburg.de/pptp_mschapv2/" name="failles de sécurité connues">.

note: type: <heading></heading>
en: Public Key Infrastructure (PKI)
fr: Infrastructure de clefs publiques (PKI)

note: type: <p></p>
en: Public Key Infrastructure (PKI) is a security architecture introduced to provide an increased level of confidence for exchanging information over insecure networks. It makes use of the concept of public and private cryptographic keys to verify the identity of the sender (signing) and to ensure privacy (encryption).
fr: L'infrastructure de clefs publiques (PKI) est une architecture de sécurité introduite pour fournir un niveau de confiance amélioré lors de l'échange d'informations sur des réseaux non sécurisés. Elle utilise le concept de clefs de chiffrement publique et privée pour vérifier l'identité de l'expéditeur (signature) et garantir la confidentialité (chiffrement).

note: type: <p><list>
en: When considering a PKI, you are confronted with a wide variety of issues:
fr: Lorsque vous vous intéressez aux PKI, vous vous trouvez confronté à une grande variété d'outils&nbsp;:

note: type: <p></p>
en: a Certificate Authority (CA) that can issue and verify certificates, and that can work under a given hierarchy.
fr: une autorité de certification (Certificate Authority &ndash; CA) qui peut vous fournir des certificats extérieurs et travailler sous une hiérarchie donnée ;

note: type: <p></p>
en: a Directory to hold user's public certificates.
fr: un répertoire pour conserver les certificats publics des utilisateurs ;

note: type: <p></p>
en: a Database (?) to maintain Certificate Revocation Lists (CRL).
fr: une base de données pour maintenir une liste des certificats révoqués (Certificate Revocation Lists &ndash; CRL) ;

note: type: <p></p>
en: devices that interoperate with the CA in order to print out smart cards/USB tokens/whatever to securely store certificates.
fr: des périphériques interopérants avec le CA pour éditer des cartes à puce, jetons USB ou n'importe quoi d'autre pour stocker les certificats en sécurité ;

note: type: <p></p>
en: certificate-aware applications that can use certificates issued by a CA to enroll in encrypted communication and check given certificates against CRL (for authentication and full Single Sign On solutions).
fr: les applications prévues pour fonctionner avec des certificats de confiance peuvent utiliser des certificats distribués par des CA pour engager une communication chiffrée et vérifier les certificats délivrés contre un CRL (pour l'authentification et les solutions de signature complète unique) ;

note: type: <p></p>
en: a Time stamping authority to digitally sign documents.
fr: une autorité pour certifier les dates et signer numériquement des documents ;

note: type: <p></p>
en: a management console from which all of this can be properly used (certificate generation, revocation list control, etc...).
fr: une console de gestion permettant une gestion correcte de tout cela (génération de certificats, contrôle de listes de révocation, etc.)

note: type: <p></p>
en: Debian GNU/Linux has software packages to help you with some of these PKI issues. They include <prgn>OpenSSL</prgn> (for certificate generation), <prgn>OpenLDAP</prgn> (as a directory to hold the certificates), <prgn>gnupg</prgn> and <prgn>openswan</prgn> (with X.509 standard support). However, as of the Woody release (Debian 3.0), Debian does not have any of the freely available Certificate Authorities such as pyCA, <url id="http://www.openca.org" name="OpenCA"> or the CA samples from OpenSSL. For more information read the <url id="http://ospkibook.sourceforge.net/" name="Open PKI book">.
fr: Debian GNU/Linux contient des paquets logiciels pour vous aider à résoudre ces problèmes de PKI, y compris <prgn>OpenSSL</prgn> (pour la génération de certificats), <prgn>OpenLDAP</prgn> (comme répertoire pour maintenir les certificats), <prgn>gnupg</prgn> et <prgn>openswan</prgn> (avec la prise en charge de la norme X.509). Cependant, le système d'exploitation ne fournit pas (depuis la version Woody, Debian&nbsp;3.0) d'autorité de délivrance de certificat librement disponible comme pyCA, <url id="http://www.openca.org" name="OpenCA"> ou les exemples CA d'OpenSSL. Pour plus d'informations, reportez-vous au <url id="http://ospkibook.sourceforge.net" name="livre Open PKI">.

note: type: <heading></heading>
en: SSL Infrastructure
fr: Infrastructure SSL

note: type: <p></p>
en: Debian does provide some SSL certificates with the distribution so that they can be installed locally. They are found in the <package>ca-certificates</package> package. This package provides a central repository of certificates that have been submitted to Debian and approved (that is, verified) by the package maintainer, useful for any OpenSSL applications which verify SSL connections.
fr: Debian fournit quelques certificats SSL avec la distribution pour qu'ils puissent être installés localement. Ils sont disponibles dans le paquet <package>ca-certificates</package>. Ce paquet fournit un dépôt central des certificats qui ont été soumis à Debian et approuvé (c'est-à-dire vérifiés) par le responsable du paquet, cela est utile pour toutes les applications OpenSSL qui vérifient des connexion SSL.

note: type: <p></p>
en: FIXME: read debian-devel to see if there was something added to this.
fr: FIXME : Lire debian-devel pour voir s'il y a quelque chose à ajouter à cela.

note: type: <heading></heading>
en: Antivirus tools
fr: Outils antivirus

note: type: <p></p>
en: There are not many anti-virus tools included with Debian GNU/Linux, probably because GNU/Linux users are not plagued by viruses. The Unix security model makes a distinction between privileged (root) processes and user-owned processes, therefore a "hostile" executable that a non-root user receives or creates and then executes cannot "infect" or otherwise manipulate the whole system. However, GNU/Linux worms and viruses do exist, although there has not (yet, hopefully) been any that has spread in the wild over any Debian distribution. In any case, administrators might want to build up anti-virus gateways that protect against viruses arising on other, more vulnerable systems in their network.
fr: Il n'y a pas beaucoup d'antivirus fournis avec Debian, probablement parce que c'est un problème qui affecte très peu les utilisateurs de Linux. En fait, la plupart des antivirus disponibles sous Linux servent à protéger des ordinateurs fonctionnant sous un autre système d'exploitation. Cela s'explique par le modèle de sécurité UNIX qui fait une distinction entre les processus privilégiés (root) et les processus appartenant aux utilisateurs. Ainsi, un programme exécutable «&nbsp;hostile&nbsp;» qu'un utilisateur non privilégié a reçu ou créé et ensuite exécuté ne peut pas infecter ou d'une autre façon manipuler le système d'exploitation lui-même. Cependant, quelques virus et vers affectant Linux existent, même si aucun n'a jamais réussi à se répandre de façon significative sous Debian. Dans tous les cas, les administrateurs peuvent vouloir mettre en place des passerelles antivirus pour se protéger contre les virus affectant d'autres systèmes plus vulnérables dans leur réseau.

note: type: <p><list>
en: Debian GNU/Linux currently provides the following tools for building antivirus environments:
fr: Debian GNU/Linux fournit à l'heure actuelle les outils suivants pour mettre en place des environnements antivirus.

note: type: <p></p>
en: <url id="http://www.clamav.net" name="Clam Antivirus">, provided since Debian <em>sarge</em> (3.1 release). Packages are provided both for the virus scanner (<package>clamav</package>) for the scanner daemon (<package>clamav-daemon</package>) and for the data files needed for the scanner. Since keeping an antivirus up-to-date is critical for it to work properly there are two different ways to get this data: <package>clamav-freshclam</package> provides a way to update the database through the Internet automatically and <package>clamav-data</package> which provides the data files directly. <footnote><p>If you use this last package and are running an official Debian, the database will not be updated with security updates. You should either use <package>clamav-freshclam</package>, <prgn>clamav-getfiles</prgn> to generate new <package>clamav-data</package> packages or update from the maintainers location: <example> deb http://people.debian.org/~zugschlus/clamav-data/ / deb-src http://people.debian.org/~zugschlus/clamav-data/ /</example></p></footnote>
fr: <url id="http://www.clamav.net" name="Clam Antivirus">, fourni depuis Debian <em>Sarge</em> (version&nbsp;3.1). Des paquets sont fournis à la fois pour le scanneur de virus (<package>clamav</package>), pour le démon de scan (<package>clamav-daemon</package>) et pour les fichiers de données nécessaires au scanneur. Puisqu'un antivirus doit être à jour afin d'être vraiment utile, il y a trois moyens différents pour récupérer ces données&nbsp;: <package>clamav-freshclam</package> fournit un moyen de mettre à jour la base de données automatiquement par Internet, <package>clamav-data</package> fournit les fichiers de données directement.<footnote><p>Si vous utilisez ce dernier paquet et que vous utilisez une Debian officielle, la base de données ne sera pas mise à jour avec les mises à jour de sécurité. Vous devrez soit utiliser <prgn>clamav-getfiles</prgn> du paquet <package>clamav-freshclam</package> pour générer de nouveaux <package>clamav-data</package> ou mettre à jour depuis le dépôt des responsables&nbsp;: <example> deb http://people.debian.org/~zugschlus/clamav-data/ / deb-src http://people.debian.org/~zugschlus/clamav-data/ /</example></p></footnote>

note: type: <p></p>
en: <package>mailscanner</package> an e-mail gateway virus scanner and spam detector. Using <package>sendmail</package> or <package>exim</package> as its basis, it can use more than 17 different virus scanning engines (including <package>clamav</package>).
fr: <package>mailscanner</package> un scanneur de virus pour passerelle de courriels et un détecteur de pourriels. Fonctionnant avec <package>sendmail</package>, <package>postfix</package> ou <package>exim</package>, il peut utiliser plus de 17&nbsp;types de scanneurs de virus différents dont <package>clamav</package>.

note: type: <p></p>
en: <package>libfile-scan-perl</package> which provides File::Scan, a Perl extension for scanning files for viruses. This modules can be used to make platform independent virus scanners.
fr: <package>libfile-scan-perl</package> qui fournit File::Scan, une extension Perl pour scanner des fichiers à la recherche de virus. Ce module peut être utilisé pour créer un scanneur de virus indépendant de la plate-forme.

note: type: <p></p>
en: <url id="http://www.sourceforge.net/projects/amavis" name="Amavis Next Generation">, provided in the package <package>amavis-ng</package> and available in <em>sarge</em>, which is a mail virus scanner which integrates with different MTA (Exim, Sendmail, Postfix, or Qmail) and supports over 15 virus scanning engines (including clamav, File::Scan and openantivirus).
fr: <url id="http://www.sourceforge.net/projects/amavis" name="Amavis Next Generation">, fourni par le paquet <package>amavis-ng</package> et disponible dans <em>Sarge</em>, est un scanneur de virus de courriel qui s'intègre avec différents serveurs de courriers (Exim, Sendmail, Postfix ou Qmail) et qui gère plus de 15 moteurs de recherche de virus (y compris clamav, File::Scan et openantivirus).

note: type: <p></p>
en: <url id="http://packages.debian.org/sanitizer" name="sanitizer">, a tool that uses the <package>procmail</package> package, which can scan email attachments for viruses, block attachments based on their filenames, and more.
fr: <url id="http://packages.debian.org/sanitizer" name="sanitizer">, un outil qui utilise le paquet <package>procmail</package>, qui peut filtrer les attachements de courrier, bloquer les attachements selon leurs noms de fichier et plus.

note: type: <p></p>
en: <url id="http://packages.debian.org/amavis-postfix" name="amavis-postfix">, a script that provides an interface from a mail transport agent to one or more commercial virus scanners (this package is built with support for the <prgn>postfix</prgn> MTA only).
fr: <url id="http://packages.debian.org/amavis-postfix" name="amavis-postfix">, un script qui fournit une interface depuis un MTA vers un ou plusieurs scanners commerciaux de virus (ce paquet est seulement construit pour le MTA <prgn>postfix</prgn>).

note: type: <p></p>
en: <package>exiscan</package>, an e-mail virus scanner written in Perl that works with Exim.
fr: <package>exiscan</package>, un scanneur de virus de courriel écrit en Perl qui fonctionne avec Exim.

note: type: <p></p>
en: <package>blackhole-qmail</package> a spam filter for Qmail with built-in support for Clamav.
fr: <package>blackhole-qmail</package>, un filtre de pourriel pour Qmail avec prise en charge intégrée pour Clamav.

note: type: <p></p>
en: Some gateway daemons support already tools extensions to build antivirus environments including <package>exim4-daemon-heavy</package> (the <em>heavy</em> version of the Exim MTA), <package>frox</package> (a transparent caching ftp proxy server), <package>messagewall</package> (an SMTP proxy daemon) and <package>pop3vscan</package> (a transparent POP3 proxy).
fr: Certains démons de passerelle proposent déjà des extensions d'outils pour construire des environnements antivirus, y compris <package>exim4-daemon-heavy</package> (la version <em>lourde</em> du MTA Exim), <package>frox</package> (un serveur mandataire FTP de cache transparent), <package>messagewall</package> (un démon mandataire SMTP) et <package>pop3vscan</package> (un mandataire POP3 transparent).

note: type: <p></p>
en: Debian currently provide <prgn>clamav</prgn> as the only antivirus scanning software in the main official distribution and it also provides multiple interfaces to build gateways with antivirus capabilities for different protocols.
fr: Présentement, <package>clamav</package> est l'unique scanneur d'antivirus inclus dans la branche officielle de Debian. En revanche, de nombreuses interfaces qui permettent d'utiliser l'antivirus avec des passerelles gérant différents protocoles sont offertes.

note: type: <p><list>
en: Some other free software antivirus projects which might be included in future Debian GNU/Linux releases:
fr: D'autres projets de logiciels libres d'antivirus qui pourraient être inclus dans une future version de Debian GNU/Linux&nbsp;:

note: type: <p></p>
en: <url id="http://sourceforge.net/projects/openantivirus/" name="Open Antivirus"> (see <url id="http://bugs.debian.org/150698" name="Bug #150698 (ITP oav-scannerdaemon)"> and <url id="http://bugs.debian.org/150695" name="Bug #150695 (ITP oav-update)"> ).
fr: <url id="http://sourceforge.net/projects/openantivirus/" name="Open Antivirus"> (consultez les bogues <url id="http://bugs.debian.org/150698" name="nº 150698 (ITP oav-scannerdaemon)"> et <url id="http://bugs.debian.org/150695" name="nº 150695 (ITP oav-update)">).

note: type: <p></p>
en: FIXME: Is there a package that provides a script to download the latest virus signatures from <url id="http://www.openantivirus.org/latest.php">?
fr: FIXME : Y a-t-il un paquet fournissant un script qui télécharge les dernières signatures de virus depuis <url id="http://www.openantivirus.org/latest.php">&nbsp;?

note: type: <p></p>
en: FIXME: Check if scannerdaemon is the same as the open antivirus scanner daemon (read ITPs).
fr: FIXME : Vérifier si scannerdaemon est le même que le démon scanner antivirus open (consultez les ITP).

note: type: <p></p>
en: However, Debian will <em>never</em> provide propietary (non-free and undistributable) antivirus software such as: Panda Antivirus, NAI Netshield, <url id="http://www.sophos.com/" name="Sophos Sweep">, <url id="http://www.antivirus.com" name="TrendMicro Interscan">, or <url id="http://www.ravantivirus.com" name="RAV">. For more pointers see the <url id="http://www.computer-networking.de/~link/security/av-linux_e.txt" name="Linux antivirus software mini-FAQ">. This does not mean that this software cannot be installed properly in a Debian system<footnote><p>Actually, there is an installer package for the <em>F-prot</em> antivirus, which is non-free but <em>gratis</em> for home users, called <prgn>f-prot-installer</prgn>. This installer, however, just downloads <url id="http://www.f-prot.com/products/home_use/linux/" name="F-prot's software"> and installs it in the system.</p></footnote>.
fr: Cependant, Debian ne fournira <em>jamais</em> de logiciels antivirus propriétaires et impossibles à redistribuer tels que&nbsp;: Panda Antivirus, NAI Netshield, <url id="http://www.sophos.com/" name="Sophos Sweep">, <url id="http://www.antivirus.com" name="TrendMicro Interscan"> ou <url id="http://www.ravantivirus.com" name="RAV">. Cela ne veut évidemment pas dire que ces logiciels ne peuvent pas être installés correctement sur un système Debian<footnote><p>Un paquet nommé <prgn>f-prot-installer</prgn> est en fait un programme d'installation qui téléchargera le logiciel <url id="http://www.f-prot.com/products/home_use/linux/" name="F-prot"> pour l'installer sur le système. <em>F-prot</em> lui-même n'est pas libre, mais il est gratuit pour l'utilisation personnelle.</p></footnote>.

note: type: <p></p>
en: For more information on how to set up a virus detection system read Dave Jones' article <url id="http://www.linuxjournal.com/article.php?sid=4882" name="Building an E-mail Virus Detection System for Your Network">.
fr: Pour plus d'informations sur la façon de mettre en place un système de détection des virus, veuillez lire l'article de Dave Jones <url id="http://www.linuxjournal.com/article.php?sid=4882" name="Construire un système de détection des virus des courriels pour le réseau">.

note: type: <heading></heading>
en: GPG agent
fr: Agent GPG

note: type: <p></p>
en: It is very common nowadays to digitally sign (and sometimes encrypt) e-mail. You might, for example, find that many people participating on mailing lists sign their list e-mail. Public key signatures are currently the only means to verify that an e-mail was sent by the sender and not by some other person.
fr: Il est très courant de nos jours de signer numériquement (et parfois de chiffrer) des courriels. Vous pouvez, par exemple, trouver que de nombreuses personnes participant sur des listes de diffusion signent leur courriel de la liste. Les signatures numériques sont actuellement le seul moyen de vérifier qu'un message a été envoyé par l'expéditeur et non par une autre personne.

note: type: <p><list>
en: Debian GNU/Linux provides a number of e-mail clients with built-in e-mail signing capabilities that interoperate either with <package>gnupg</package> or <package>pgp</package>:
fr: Debian GNU/Linux fournit un certain nombre de clients de messagerie avec des fonctionnalité de signature de courriels intégrés qui interagissent soit avec <package>gnupg</package> ou avec <package>pgp</package>&nbsp;:

note: type: <p></p>
en: <package>evolution</package>.
fr: <package>evolution</package> ;

note: type: <p></p>
en: <package>mutt</package>.
fr: <package>mutt</package> ;

note: type: <p></p>
en: <package>kmail</package>.
fr: <package>kmail</package> ;

note: type: <p></p>
en: <package>icedove</package> (rebranded version of Mozilla's Thunderbird) through the <url id="http://enigmail.mozdev.org/" name="Enigmail"> plugin. This plugin is provided by the <package>enigmail</package> package.
fr: <package>icedove</package> (version sans marque de Mozilla Thunderbird) avec le greffon <url id="http://enigmail.mozdev.org/" name="Enigmail">. Ce greffon est fourni par le paquet <package>enigmail</package> ;

note: type: <p></p>
en: <package>sylpheed</package>. Depending on how the stable version of this package evolves, you may need to use the <em>bleeding edge version</em>, <package>sylpheed-claws</package>.
fr: <package>sylpheed</package>. Selon la façon dont évolue la version stable de ce paquet, vous pouvez avoir besoin d'utiliser la <em>version dernier cri</em>, <package>sylpheed-claws</package> ;

note: type: <p></p>
en: <package>gnus</package>, which when installed with the <package>mailcrypt</package> package, is an <prgn>emacs</prgn> interface to <prgn>gnupg</prgn>.
fr: <package>gnus</package>, qui, lorsqu'il est installé avec le paquet <package>mailcrypt</package>, est une interface <prgn>emacs</prgn> à <prgn>gnupg</prgn> ;

note: type: <p></p>
en: <package>kuvert</package>, which provides this functionality independently of your chosen mail user agent (MUA) by interacting with the mail transport agent (MTA).
fr: <package>kuvert</package>, qui fournit cette fonctionnalité indépendamment du client de messagerie choisi en interagissant avec l'agent de transport de courrier (MTA).

note: type: <p><example>
en: Key servers allow you to download published public keys so that you may verify signatures. One such key server is <url id="http://wwwkeys.pgp.net">. <package>gnupg</package> can automatically fetch public keys that are not already in your public keyring. For example, to configure <prgn>gnupg</prgn> to use the above key server, edit the file <file>~/.gnupg/options</file> and add the following line: <footnote><p>For more examples of how to configure <prgn>gnupg</prgn> check <file>/usr/share/doc/mutt/examples/gpg.rc</file>.</p></footnote>
fr: Les serveurs de clefs permettent de télécharger des clefs publiques publiées pour pouvoir vérifier des signatures. Un tel serveur est <url id="http://wwwkeys.pgp.net">. <package>gnupg</package> peut récupérer automatiquement des clefs publics qui ne sont pas déjà dans votre trousseau (keyring) public. Par exemple, pour configurer <prgn>gnupg</prgn> pour utiliser le serveur de clefs ci-dessus, modifiez le fichier <file>~/.gnupg/options</file> en ajoutant la ligne suivante&nbsp;: <footnote><p>Pour plus d'exemples sur la façon de configurer <prgn>gnupg</prgn>, consultez <file>/usr/share/doc/mutt/examples/gpg.rc</file>.</p></footnote>

note: type: <p></p>
en: Most key servers are linked, so that when your public key is added to one server, the addition is propagated to all the other public key servers. There is also a Debian GNU/Linux package <package>debian-keyring</package>, that provides all the public keys of the Debian developers. The <prgn>gnupg</prgn> keyrings are installed in <file>/usr/share/keyrings/</file>.
fr: La plupart des serveurs de clefs sont liés de tel sorte que, lorsqu'une clef publique est ajoutée à un serveur, l'addition soit propagée à tous les autres serveurs de clefs publiques. Le paquet <package>debian-keyring</package> fournit aussi les clefs publiques des développeurs Debian. Les trousseaux <prgn>gnupg</prgn> sont installés dans <file>/usr/share/keyrings/</file>.

note: type: <p><list>
en: For more information:
fr: Pour de plus amples renseignements :

note: type: <p></p>
en: <url id="http://www.gnupg.org/faq.html" name="GnuPG FAQ">.
fr: <url id="http://www.gnupg.org/documentation/faqs.fr.html" name="FAQ de GnuPG"> ;

note: type: <p></p>
en: <url id="http://www.gnupg.org/gph/en/manual.html" name="GnuPG Handbook">.
fr: <url id="http://www.gnupg.org/gph/fr/manual.html" name="Manuel de GNU Privacy Guard"> ;

note: type: <p></p>
en: <url id="http://www.dewinter.com/gnupg_howto/english/GPGMiniHowto.html" name="GnuPG Mini Howto (English)">.
fr: <url id="http://www.dewinter.com/gnupg_howto/english/GPGMiniHowto.html" name="GnuPG Mini Howto (anglais)"> ;

note: type: <p></p>
en: <url id="http://www.uk.pgp.net/pgpnet/pgp-faq/" name="comp.security.pgp FAQ">.
fr: <url id="http://www.uk.pgp.net/pgpnet/pgp-faq/" name="FAQ de comp.security.pgp"> ;

note: type: <p></p>
en: <url id="http://www.cryptnet.net/fdp/crypto/gpg-party.html" name="Keysigning Party HOWTO">.
fr: <url id="http://www.cryptnet.net/fdp/crypto/keysigning_party/en/keysigning_party.html" name="Keysigning Party HOWTO">.

note: type: <heading></heading>
en: Developer's Best Practices for OS Security
fr: Meilleures pratiques de sécurité pour les développeurs

note: type: <p></p>
en: This chapter introduces some best secure coding practices for developers writing Debian packages. If you are really interested in secure coding I recommend you read David Wheeler's <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> and <url id="http://www.securecoding.org" name="Secure Coding: Principles and Practices"> by Mark G. Graff and Kenneth R. van Wyk (O'Reilly, 2003).
fr: Ce chapitre introduit certaines des meilleures pratiques de code sécurisé pour les développeurs écrivant des paquets Debian. Si vous êtes vraiment intéressé par le code sécurisé, vous devriez lire le <url id="http://www.dwheeler.com/secure-programs/" name="HOWTO de programmation sécurisée pour Linux et UNIX"> de David Wheeler et  <url id="http://www.securecoding.org" name="Secure Coding: Principles and Practices"> de Mark G. Graff et Kenneth R. van Wyk (O'Reilly, 2003).

note: type: <heading></heading>
en: Best practices for security review and design
fr: Meilleures pratiques de vérification et conception sécurisées

note: type: <p></p>
en: Developers that are packaging software should make a best effort to ensure that the installation of the software, or its use, does not introduce security risks to either the system it is installed on or its users.
fr: Les développeurs qui empaquettent des logiciels devraient faire de leur mieux pour s'assurer que l'installation du logiciel, ou son utilisation, n'introduit pas de risques en matière de sécurité à la fois au système où il est installé et à ses utilisateurs.

note: type: <p></p>
en: In order to do so, they should make their best to review the source code of the package and detect any flaws that might introduce security bugs before releasing the software or distributing a new version. It is acknowledged that the cost of fixing bugs grows for different stages of its development, so it is easier (and cheaper) to fix bugs when designing than when the software has been deployed and is in maintenance mode (some studies say that the cost in this later phase is <strong>sixty</strong> times higher). Although there are some tools that try to automatically detect these flaws, developers should strive to learn about the different kind of security flaws in order to understand them and be able to spot them in the code they (or others) have written.
fr: Pour ce faire, ils devraient faire de leur mieux pour examiner le code source du paquet et détecter tous les défauts qui pourraient introduire des bogues de sécurité avant de publier le programme ou de distribuer une nouvelle version. Il est reconnu que le coût de correction de bogues augmente aux différentes étapes de son développement, il est donc plus facile (et moins coûteux) de corriger les bogues lors de la conception qu'une fois le logiciel déployé et en mode maintenance (plusieurs études disent que le coût dans cette dernière phase est <strong>soixante</strong> fois plus élevé). Bien que plusieurs outils essayent de détecter automatiquement ces défauts, les développeurs devraient faire leur possible pour se tenir au courant des différents types de défauts de sécurité afin de les comprendre et être capable de les remarquer dans le code qu'ils (ou d'autres) ont écrit.

note: type: <p></p>
en: The programming bugs which lead to security bugs typically include: <url id="http://en.wikipedia.org/wiki/Buffer_overflow" name="buffer overflows">, format string overflows, heap overflows and integer overflows (in C/C++ programs), temporary <url id="http://en.wikipedia.org/wiki/Symlink_race" name="symlink race conditions"> (in scripts), <url id="http://en.wikipedia.org/wiki/Directory_traversal" name="directory traversal"> and command injection (in servers) and <url id="http://en.wikipedia.org/wiki/Cross_site_scripting" name="cross-site scripting">, and <url id="http://en.wikipedia.org/wiki/SQL_injection" name="SQL injection bugs"> (in the case of web-oriented applications). For a more complete information on security bugs review Fortify's <url id="http://vulncat.fortifysoftware.com/" name="Taxonomy of Software Security Errors">.
fr: Parmi les bogues de programmation qui conduisent à des bogues de sécurité, les plus typiques sont les <url id="http://fr.wikipedia.org/wiki/Dépassement_de_tampon" name="dépassements de tampon">, les dépassements de chaîne de formatage, les dépassements de tas et les dépassements d'entier (dans les programmes en C ou C++), les <url id="http://en.wikipedia.org/wiki/Symlink_race" name="conditions de situation de compétition de liens symboliques"> temporaires (dans les scripts), les <url id="http://en.wikipedia.org/wiki/Directory_traversal" name="traversées de répertoires"> et les injections de commande (sur les serveurs) et <url id="http://fr.wikipedia.org/wiki/Cross-site_scripting" name="scripts intersites">, et les <url id="http://fr.wikipedia.org/wiki/Injection_SQL" name="bogues d'injection SQL"> (dans le cas des applications orientées web). Pour de plus amples renseignements sur les bogues de sécurité, consultez la <url id="https://www.fortify.com/vulncat/en/vulncat/index.html" name="taxonomie des erreurs de sécurité de logiciels"> de Fortify.

note: type: <p></p>
en: Some of these issues might not be easy to spot unless you are an expert in the programming language the software uses, but some security problems are easy to detect and fix. For example, finding temporary race conditions due to misuse of temporary directories can easily be done just by running <tt>grep -r "/tmp/" .</tt>. Those calls can be reviewed and replace the hardcoded filenames using temporary directories to calls to either <prgn>mktemp</prgn> or <prgn>tempfile</prgn> in shell scripts, <manref name="File::Temp" section="3perl"> in Perl scripts, or <manref name="tmpfile" section="3"> in C/C++.
fr: Certains de ces problèmes pourraient ne pas être faciles à repérer à moins d'être un expert dans le langage de programmation utilisé par le logiciel, mais certains problèmes sont faciles à détecter et à corriger. Par exemple, trouver des conditions de situation de compétitions temporaires à cause d'une mauvaise utilisation de répertoires temporaires peut se faire facilement en exécutant « <tt>grep -r "/tmp/" .</tt> ». Ces appels peuvent être examinés et les noms de fichiers écrits en dur, utilisant des répertoires temporaires, remplacés par des appels à <prgn>mktemp</prgn> ou <prgn>tempfile</prgn> dans les scripts d'interpréteur, <manref section="3perl" name="File::Temp"> dans les scripts Perl ou <manref section="3" name="tmpfile"> en C ou C++.

note: type: <p></p>
en: There are a set of tools available to assist to the security code review phase. These include <package>rats</package>, <package>flawfinder</package> and <package>pscan</package>. For more information, read the <url id="http://www.debian.org/security/audit/tools" name="list of tools used by the Debian Security Audit Team">.
fr: Certains outils permettent d'aider à l'examen de sécurité du code, comme <package>rats</package>, <package>flawfinder</package> et <package>pscan</package>. Pour de plus amples renseignements, consultez la <url id="http://www.debian.org/security/audit/tools" name="liste d'outils utilisés par l'équipe d'audit de sécurité Debian">.

note: type: <p><list>
en: When packaging software developers have to make sure that they follow common security principles, including:
fr: Lors de l'empaquetage, les développeurs de logiciel doivent s'assurer de suivre les principes de sécurité habituels, y compris :

note: type: <p><list>
en: The software runs with the minimum privileges it needs:
fr: le logiciel s'exécute avec le minimum de droits nécessaires :

note: type: <p></p>
en: The package does install binaries setuid or setgid. <prgn>Lintian</prgn> will warn of <url id=" http://lintian.debian.org/reports/Tsetuid-binary.html" name="setuid">, <url id="http://lintian.debian.org/reports/Tsetgid-binary.html" name="setgid"> and <url id="http://lintian.debian.org/reports/Tsetuid-gid-binary.html" name="setuid and setgid"> binaries.
fr: le paquet installe des binaires setuid or setgid. <prgn>Lintian</prgn> avertira des binaires <url id=" http://lintian.debian.org/reports/Tsetuid-binary.html" name="setuid">, <url id="http://lintian.debian.org/reports/Tsetgid-binary.html" name="setgid"> ou <url id="http://lintian.debian.org/reports/Tsetuid-gid-binary.html" name="setuid et setgid"> ;

note: type: <p></p>
en: The daemons the package provide run with a low privilege user (see <ref id="bpp-lower-privs">)
fr: les démons fournis par le paquet s'exécutent avec un utilisateur aux droits restreints (consultez <ref id="bpp-lower-privs">) ;

note: type: <p></p>
en: Programmed (i.e., <prgn>cron</prgn>) tasks running in the system do NOT run as root or, if they do, do not implement complex tasks.
fr: les tâches programmées (c'est-à-dire <prgn>cron</prgn>) s'exécutant sur le système ne le sont <strong>pas</strong> en tant que superutilisateur, et si elle le sont, elles n'implémentent pas de tâches complexes.

note: type: <p></p>
en: If you have to do any of the above make sure the programs that might run with higher privileges have been audited for security bugs. If you are unsure, or need help, contact the <url id="http://www.debian.org/security/audit/" name="Debian Security Audit team">. In the case of setuid/setgid binaries, follow the Debian policy section regarding <url id="http://www.debian.org/doc/debian-policy/ch-files.html#s10.9" name="permissions and owners">
fr: Si vous devez faire l'un des deux, assurez-vous que les programmes qui pourraient s'exécuter avec des privilèges plus élevés ont été contrôlés pour les bogues de sécurité. En cas de doute, ou pour obtenir de l'aide, contactez l'<url id="http://www.debian.org/security/audit/" name="équipe d'audit de sécurité Debian">. Pour les binaires setuid ou setgid, suivez la section de la charte Debian sur les <url id="http://www.debian.org/doc/debian-policy/ch-files.html#s-permissions-owners" name="droits et propriétaires">.

note: type: <p></p>
en: For more information, specific to secure programming, make sure you read (or point your upstream to) <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> and the <url id="https://buildsecurityin.us-cert.gov/portal/" name="Build Security In"> portal.
fr: Pour de plus amples renseignements, spécifiques à la programmation sécurisée, assurez vous de lire (ou d'indiquer en amont) le <url id="http://www.dwheeler.com/secure-programs/" name="HOWTO de programmation sécurisée pour Linux et UNIX"> et le portail <url id="https://buildsecurityin.us-cert.gov/portal/" name="Build Security In">.

note: type: <heading></heading>
en: Creating users and groups for software daemons
fr: Création d'utilisateurs et de groupes pour les démons logiciels

note: type: <p></p>
en: If your software runs a daemon that does not need root privileges, you need to create a user for it. There are two kind of Debian users that can be used by packages: static uids (assigned by <package>base-passwd</package>, for a list of static users in Debian see <ref id="faq-os-users">) and dynamic uids in the range assigned to system users.
fr: Si le logiciel exécute un démon qui n'a pas besoin des droits du superutilisateur, vous devez lui créer un utilisateur. Deux types d'utilisateurs Debian peuvent être utilisés par les paquets : avec identifiant (UID) statique (attribué par <package>base-passwd</package> ; consultez <ref id="faq-os-users"> pour une liste des utilisateurs statiques dans Debian) et avec identifiant dynamique dans l'intervalle dévolu aux utilisateurs système.

note: type: <p></p>
en: In the first case, you need to ask for a user or group id to the <package>base-passwd</package>. Once the user is available there the package needs to be distributed including a proper versioned depends to the <package>base-passwd</package> package.
fr: Dans le premier cas, il faut demander un identifiant de groupe ou d'utilisateur à <package>base-passwd</package>. Une fois l'utilisateur disponible, le paquet doit être distribué avec une dépendance sur la version adéquate du paquet <package>base-passwd</package>.

note: type: <p></p>
en: In the second case, you need to create the system user either in the <em>preinst</em> or in the <em>postinst</em> and make the package depend on <tt>adduser (>= 3.11)</tt>.
fr: Dans le second cas, il faut créer un utilisateur système en <em>preinst</em> ou en <em>postinst</em> et rendre le paquet dépendant de <tt>adduser (>= 3.11)</tt>.

note: type: <p><example>
en: The following example code creates the user and group the daemon will run as when the package is installed or upgraded:
fr: L'exemple de code suivant crée les utilisateur et groupe utilisés par le démon pour s'exécuter quand le paquet est installé ou mis à niveau :

note: type: <example></example>
en: [...]
    case "$1" in
      install|upgrade)
    
      # If the package has default file it could be sourced, so that
      # the local admin can overwrite the defaults
    
      [ -f "/etc/default/<var>packagename</var>" ] && . /etc/default/<var>packagename</var>
    
      # Sane defaults:
    
      [ -z "$SERVER_HOME" ] && SERVER_HOME=<var>server_dir</var>
      [ -z "$SERVER_USER" ] && SERVER_USER=<var>server_user</var>
      [ -z "$SERVER_NAME" ] && SERVER_NAME="<var>Server description</var>"
      [ -z "$SERVER_GROUP" ] && SERVER_GROUP=<var>server_group</var>
    
      # Groups that the user will be added to, if undefined, then none.
      ADDGROUP=""
    
      # create user to avoid running server as root
      # 1. create group if not existing
      if ! getent group | grep -q "^$SERVER_GROUP:" ; then
         echo -n "Adding group $SERVER_GROUP.."
         addgroup --quiet --system $SERVER_GROUP 2>/dev/null ||true
         echo "..done"
      fi
      # 2. create homedir if not existing
      test -d $SERVER_HOME || mkdir $SERVER_HOME
      # 3. create user if not existing
      if ! getent passwd | grep -q "^$SERVER_USER:"; then
        echo -n "Adding system user $SERVER_USER.."
        adduser --quiet \
                --system \
                --ingroup $SERVER_GROUP \
                --no-create-home \
                --disabled-password \
                $SERVER_USER 2>/dev/null || true
        echo "..done"
      fi
      # 4. adjust passwd entry
      usermod -c "$SERVER_NAME" \
              -d $SERVER_HOME   \
              -g $SERVER_GROUP  \
                 $SERVER_USER
      # 5. adjust file and directory permissions
      if ! dpkg-statoverride --list $SERVER_HOME >/dev/null
      then
          chown -R $SERVER_USER:adm $SERVER_HOME
          chmod u=rwx,g=rxs,o= $SERVER_HOME
      fi
      # 6. Add the user to the ADDGROUP group
      if test -n $ADDGROUP
      then
          if ! groups $SERVER_USER | cut -d: -f2 | \
             grep -qw $ADDGROUP; then
               adduser $SERVER_USER $ADDGROUP
          fi
      fi
      ;;
      configure)
    
    [...]
fr: [...]
    case "$1" in
      install|upgrade)
    
      # Si le paquet a un fichier « default » permettant à
      # l'administrateur local d'écraser les valeurs par défaut
    
      [ -f "/etc/default/<var>nompaquet</var>" ] && . /etc/default/<var>nompaquet</var>
    
      # Valeurs par défaut correctes :
    
      [ -z "$SERVER_HOME" ] && SERVER_HOME=<var>rép_serveur</var>
      [ -z "$SERVER_USER" ] && SERVER_USER=<var>utilisateur_serveur</var>
      [ -z "$SERVER_NAME" ] && SERVER_NAME="<var>Description du serveur</var>"
      [ -z "$SERVER_GROUP" ] && SERVER_GROUP=<var>groupe_serveur</var>
    
      # Groupes auxquels l'utilisateur sera ajouté ; aucun si non défini.
      ADDGROUP=""
    
      # créer un utilisateur pour éviter d'exécuter le serveur en tant
      # que superutilisateur
      # 1. Créer le groupe s'il n'existe pas
      if ! getent group | grep -q "^$SERVER_GROUP:" ; then
         echo -n "Ajout du groupe $SERVER_GROUP.."
         addgroup --quiet --system $SERVER_GROUP 2>/dev/null ||true
         echo "fait"
      fi
      # 2. Créer un répertoire personnel s'il n'existe pas
      test -d $SERVER_HOME || mkdir $SERVER_HOME
      # 3. Créer un utilisateur s'il n'existe pas
      if ! getent passwd | grep -q "^$SERVER_USER:"; then
        echo -n "Ajout de l'utilisateur système $SERVER_USER.."
        adduser --quiet \
                --system \
                --ingroup $SERVER_GROUP \
                --no-create-home \
                --disabled-password \
                $SERVER_USER 2>/dev/null || true
        echo "fait"
      fi
      # 4. Ajuster l'entrée de mot de passe
      usermod -c "$SERVER_NAME" \
              -d $SERVER_HOME   \
              -g $SERVER_GROUP  \
                 $SERVER_USER
      # 5. Ajuster les droits des fichiers et répertoires
      if ! dpkg-statoverride --list $SERVER_HOME >/dev/null
      then
          chown -R $SERVER_USER:adm $SERVER_HOME
          chmod u=rwx,g=rxs,o= $SERVER_HOME
      fi
      # 6. Ajouter l'utilisateur au groupe ADDGROUP
      if test -n $ADDGROUP
      then
          if ! groups $SERVER_USER | cut -d: -f2 | \
             grep -qw $ADDGROUP; then
               adduser $SERVER_USER $ADDGROUP
          fi
      fi
      ;;
      configure)
    
    [...]

note: type: <p><list>
en: You have to make sure that the init.d script file:
fr: Assurez-vous que le fichier de script init.d :

note: type: <p></p>
en: Starts the daemon dropping privileges: if the software does not do the <manref name="setuid" section="2"> or <manref name="seteuid" section="2"> call itself, you can use the <tt>--chuid</tt> call of <prgn>start-stop-daemon</prgn>.
fr: démarre le démon en abandonnant les droits du superutilisateur : si le logiciel ne fait pas l'appel <manref section="2" name="setuid"> ou <manref section="2" name="seteuid"> lui-même, l'option <tt>--chuid</tt> de <prgn>start-stop-daemon</prgn> est utilisable.

note: type: <p></p>
en: Stops the daemon only if the user id matches, you can use the <prgn>start-stop-daemon</prgn> <tt>--user</tt> option for this.
fr: n'arrête le démon que si l'identifiant utilisateur correspond, l'option <tt>--user</tt> de <prgn>start-stop-daemon</prgn> permet de faire cela.

note: type: <p><example>
en: Does not run if either the user or the group do not exist:
fr: ne s'exécute pas si l'utilisateur ou le groupe n'existent pas :

note: type: <example></example>
en:   if ! getent passwd | grep -q "^<var>server_user</var>:"; then
         echo "Server user does not exist. Aborting" >&2
         exit 1
      fi
      if ! getent group | grep -q "^<var>server_group</var>:" ; then
         echo "Server group does not exist. Aborting" >&2
         exit 1
      fi
fr:   if ! getent passwd | grep -q "^<var>utilisateur_serveur</var>:"; then
         echo "L'utilisateur du serveur n'existe pas. Abandon" >&2
         exit 1
      fi
      if ! getent group | grep -q "^<var>groupe_serveur</var>:" ; then
         echo "Le groupe du serveur n'existe pas. Abandon" >&2
         exit 1
      fi

note: type: <p></p>
en: If the package creates the system user it can remove it when it is purged in its <em>postrm</em>. This has some drawbacks, however. For example, files created by it will be orphaned and might be taken over by a new system user in the future if it is assigned the same uid<footnote><p>Some relevant threads discussing these drawbacks include <url id="http://lists.debian.org/debian-mentors/2004/10/msg00338.html"> and <url id="http://lists.debian.org/debian-devel/2004/05/msg01156.html"></p></footnote>. Consequently, removing system users on purge is not yet mandatory and depends on the package needs. If unsure, this action could be handled by asking the administrator for the prefered action when the package is installed (i.e. through <prgn>debconf</prgn>).
fr: Si le paquet crée l'utilisateur système, il peut le retirer lors de la purge en <em>postrm</em>. Cela a cependant quelques inconvénients. Par exemple les fichiers créés par cet utilisateur seront orphelins et pourraient être repris par un nouvel utilisateur système plus tard si le même identifiant utilisateur lui est attribué<footnote><p>Plusieurs discussions à propos de ces inconvénients ont déjà eu lieu comme <url id="http://lists.debian.org/debian-mentors/2004/10/msg00338.html"> et <url id="http://lists.debian.org/debian-devel/2004/05/msg01156.html">.</p></footnote>. Par conséquent, retirer les utilisateurs système lors de la purge n'est pas encore obligatoire et dépend des besoins du paquet. En cas de doute, cette action pourrait être faite en demandant à l'administrateur sa préfèrence lors du retrait du paquet (c'est-à-dire avec <prgn>debconf</prgn>).

note: type: <p><example>
en: The following example code<footnote><p>This might eventually be introduced as a <prgn>dh_adduser</prgn> in debhelper. See <url id="http://bugs.debian.org/81697" name="#81967">, <url id="http://bugs.debian.org/291177" name="#291177"> and <url id="http://bugs.debian.org/118787" name="#118787">.</p></footnote> removes the user and groups created before only, and only if, the uid is in the range of dynamic assigned system uids and the gid is belongs to a system group:
fr: Le code exemple suivant <footnote><p>Cela pourrait éventuellement être introduit en tant que <prgn>dh_adduser</prgn> dans debhelper. Consultez les bogues <url id="http://bugs.debian.org/81697" name="nº 81967">, <url id="http://bugs.debian.org/291177" name="nº 291177"> et <url id="http://bugs.debian.org/118787" name="nº 118787">.</p></footnote> retire l'utilisateur et les groupes créés auparavant seulement, et seulement si, l'identifiant utilisateur est dans l'intervalle des identifiants utilisateur dynamiques attribués pour le système et que l'identifiant de groupe appartient à un groupe système :

note: type: <example></example>
en: case "$1" in
     purge)
    [...]
       # find first and last SYSTEM_UID numbers
       for LINE in `grep SYSTEM_UID /etc/adduser.conf | grep -v "^#"`; do
          case $LINE in
             FIRST_SYSTEM_UID*)
               FIST_SYSTEM_UID=`echo $LINE | cut -f2 -d '='`
               ;;
             LAST_SYSTEM_UID*)
               LAST_SYSTEM_UID=`echo $LINE | cut -f2 -d '='`
               ;;
             *)
               ;;
             esac
       done
       # Remove system account if necessary
       CREATEDUSER="<var>server_user</var>"
       if [ -n "$FIST_SYSTEM_UID" ] && [ -n "$LAST_SYSTEM_UID" ]; then
        if USERID=`getent passwd $CREATEDUSER | cut -f 3 -d ':'`; then
          if [ -n "$USERID" ]; then
            if [ "$FIST_SYSTEM_UID" -le "$USERID" ] && \
               [ "$USERID" -le "$LAST_SYSTEM_UID" ]; then
                  echo -n "Removing $CREATEDUSER system user.."
                  deluser --quiet $CREATEDUSER || true
                  echo "..done"
            fi
          fi
        fi
      fi
      # Remove system group if necessary
      CREATEDGROUP=<var>server_group</var>
      FIRST_USER_GID=`grep ^USERS_GID /etc/adduser.conf | cut -f2 -d '='`
      if [ -n "$FIST_USER_GID" ] then
        if GROUPGID=`getent group $CREATEDGROUP | cut -f 3 -d ':'`; then
          if [ -n "$GROUPGID" ]; then
            if [ "$FIST_USER_GID" -gt "$GROUPGID" ]; then
              echo -n "Removing $CREATEDGROUP group.."
              delgroup --only-if-empty $CREATEDGROUP || true
              echo "..done"
            fi
          fi
        fi
      fi
    [...]
fr: case "$1" in
     purge)
    [...]
       # trouver les premier et dernier numéros de SYSTEM_UID
       for LINE in `grep SYSTEM_UID /etc/adduser.conf | grep -v "^#"`; do
          case $LINE in
             FIRST_SYSTEM_UID*)
               FIST_SYSTEM_UID=`echo $LINE | cut -f2 -d '='`
               ;;
             LAST_SYSTEM_UID*)
               LAST_SYSTEM_UID=`echo $LINE | cut -f2 -d '='`
               ;;
             *)
               ;;
             esac
       done
       # supprimer le compte système si nécessaire
       CREATEDUSER="<var>utilisateur_serveur</var>"
       if [ -n "$FIST_SYSTEM_UID" ] && [ -n "$LAST_SYSTEM_UID" ]; then
        if USERID=`getent passwd $CREATEDUSER | cut -f 3 -d ':'`; then
          if [ -n "$USERID" ]; then
            if [ "$FIST_SYSTEM_UID" -le "$USERID" ] && \
               [ "$USERID" -le "$LAST_SYSTEM_UID" ]; then
                  echo -n "Suppression de l'utilisateur système $CREATEDUSER"
                  deluser --quiet $CREATEDUSER || true
                  echo "fait"
            fi
          fi
        fi
      fi
      # supprimer le groupe système si nécessaire
      CREATEDGROUP=<var>groupe_serveur</var>
      FIRST_USER_GID=`grep ^USERS_GID /etc/adduser.conf | cut -f2 -d '='`
      if [ -n "$FIST_USER_GID" ] then
        if GROUPGID=`getent group $CREATEDGROUP | cut -f 3 -d ':'`; then
          if [ -n "$GROUPGID" ]; then
            if [ "$FIST_USER_GID" -gt "$GROUPGID" ]; then
              echo -n "Suppression du groupe $CREATEDGROUP"
              delgroup --only-if-empty $CREATEDGROUP || true
              echo "fait"
            fi
          fi
        fi
      fi
    [...]

note: type: <p></p>
en: Running programs with a user with limited privileges makes sure that any security issue will not be able to damage the full system. It also follows the principle of <em>least privilege</em>. Also consider you can limit privileges in programs through other mechanisms besides running as non-root<footnote><p>You can even provide a SELinux policy for it</p></footnote>. For more information, read the <url id="http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO/minimize-privileges.html" name="Minimize Privileges"> chapter of the <em>Secure Programming for Linux and Unix HOWTO</em> book.
fr: L'exécution de programmes avec un utilisateur ayant des droits restreints assure qu'aucun problème de sécurité ne pourra endommager tout le système. Cela suit aussi le principe du <em>minimum de droits</em>. Songez aussi à limiter les droits dans les programmes avec d'autres mécanismes que l'exécution en tant que non superutilisateur<footnote><p>Vous pouvez même fournir une politique SELinux pour cela.</p></footnote>. Pour de plus amples renseignements, consultez le chapitre <url id="http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO/minimize-privileges.html" name="Minimiser les droits"> du livre <em>HOWTO de programmation sécurisée pour Linux et UNIX</em>.

note: type: <heading></heading>
en: Before the compromise
fr: Avant la compromission

note: type: <heading></heading>
en: Keep your system secure
fr: Maintenez le système sécurisé

note: type: <p></p>
en: You should strive to keep your system secure by monitoring its usage and also the vulnerabilities that might affect it, patching them as soon as patches are available. Even though you might have installed a really secure system initially you have to remember that security in a system degrades with time, security vulnerabilities might be found for exposed system services and users might expose the system security either because of lack of understanding (e.g. accessing a system remotely with a clear-text protocol or using easy to guess passwords) or because they are actively trying to subvert the system's security (e.g. install additional services locally on their accounts).
fr: Vous devriez faire tous les efforts nécessaires pour maintenir votre système sécurisé en surveillant son utilisation ainsi que les vulnérabilités qui pourraient l'affecter, en ajoutant les correctifs dès qu'ils sont disponibles. Même si vous avez installé un système vraiment sécurisé, vous devez garder à l'esprit que la sécurité d'un système se dégrade avec le temps. Des failles de sécurité peuvent être découvertes pour les services offerts et les utilisateurs peuvent affaiblir la sécurité du système soit à cause d'une incompréhension (par exemple, en accédant au système à distance à l'aide d'un protocole non chiffré, ou en utilisant des mots de passe faciles à deviner), ou parce qu'ils essaient activement de corrompre la sécurité du système (c'est-à-dire installer des services supplémentaires dans leur compte local).

note: type: <heading></heading>
en: Tracking security vulnerabilities
fr: Surveillance des failles de sécurité

note: type: <p></p>
en: Although most administrators are aware of security vulnerabilities affecting their systems when they see a patch that is made available you can strive to keep ahead of attacks and introduce temporary countermeasures for security vulnerabilities by detecting when your system is vulnerable. This is specially true when running an exposed system (i.e. connected to the Internet) and providing a service. In such case the system's administrators should take care to monitor known information sources to be the first to know when a vulnerability is detected that might affect a critical service.
fr: Bien que la plupart des administrateurs ne soient conscients des failles de sécurité affectant leur système que lorsqu'un correctif est rendu disponible, vous pouvez être proactif et tenter de prévenir les attaques en introduisant des contre-mesures temporaires contre ces vulnérabilités dès que vous détectez qu'elles peuvent affecter le système. C'est particulièrement vrai sur un système exposé (c'est-à-dire connecté à Internet) et qui fournit un service. Dans ce cas, les administrateurs système devraient surveiller attentivement les sources d'informations connues pour être les premiers informés lorsqu'une faille pouvant affecter un service critique est détectée.

note: type: <p></p>
en: This typically includes subscribing to the announcement mailing lists, project websites or bug tracking systems provided by the software developers for a specific piece of code. For example, Apache users should regularly review Apache's <url id="http://httpd.apache.org/security_report.html" name="lists of security vulnerabilities"> and subscribe to the <url id="http://httpd.apache.org/lists.html#http-announce" name="Apache Server Announcements"> mailing list.
fr: Cela signifie habituellement au moins s'abonner à la liste de diffusion des annonces, au site web du projet ou au système de suivi des bogues fourni par les développeurs pour les applications à surveiller. Par exemple, les utilisateurs d'Apache devraient surveiller régulièrement la <url id="http://httpd.apache.org/security_report.html" name="liste des failles de sécurité connues"> et s'inscrire à la liste de diffusion des <url id="http://httpd.apache.org/lists.html#http-announce" name="annonces du serveur Apache">.

note: type: <p></p>
en: In order to track known vulnerabilities affecting the Debian distribution, the Debian Testing Security Team provides a <url id="http://security-tracker.debian.net/" name="security tracker"> that lists all the known vulnerabilities which have not been yet fixed in Debian packages. The information in that tracker is obtained through different public channels and includes known vulnerabilities which are available either through security vulnerability databases or <url id="http://www.debian.org/Bugs/" name="Debian's Bug Tracking system">. Administrators can search for the known security issues being tracked for <url id="http://security-tracker.debian.net/tracker/status/release/stable" name="stable">, <url id="http://security-tracker.debian.net/tracker/status/release/oldstable" name="oldstable">, <url id="http://security-tracker.debian.net/tracker/status/release/testing" name="testing">, or <url id="http://security-tracker.debian.net/tracker/status/release/unstable" name="unstable">.
fr: Pour suivre les failles de sécurité connues affectant Debian, l'équipe de sécurité de Debian de la version <em>testing</em> maintient un <url id="http://security-tracker.debian.net/" name="gestionnaire de la sécurité"> qui contient toutes les vulnérabilités connues avant même d'être corrigées dans les paquets Debian. L'information est obtenue depuis plusieurs sources publiques et contient les failles connues disponibles à l'aide des bases de données de vulnérabilité ou du <url id="http://www.debian.org/Bugs/" name="système de suivi des bogues de Debian">. Les administrateurs peuvent chercher les problèmes de sécurité connus suivis pour <url id="http://security-tracker.debian.net/tracker/status/release/stable" name="stable">, <url id="http://security-tracker.debian.net/tracker/status/release/oldstable" name="oldstable">, <url id="http://security-tracker.debian.net/tracker/status/release/testing" name="testing"> ou <url id="http://security-tracker.debian.net/tracker/status/release/unstable" name="unstable">.

note: type: <p></p>
en: The tracker has searchable interfaces (by <url id="http://cve.mitre.org/" name="CVE"> name and package name) and some tools (such as <package>debsecan</package>, see <ref id="debsecan">) use that database to provide information of vulnerabilities affecting a given system which have not yet been addressed (i.e. those who are pending a fix).
fr: Le système de suivi fournit des interfaces avec moteur de recherche (par nom <url id="http://cve.mitre.org" name="CVE"> et nom de paquet) et d'autres outils (comme <package>debsecan</package>, consultez <ref id="debsecan">) utilisent ces bases de données pour fournir des informations sur les vulnérabilités qui n'ont pas encore été résolues pour un système donné.

note: type: <p></p>
en: Concious administrators can use that information to determine which security bugs might affect the system they are managing, determine the severity of the bug and apply (if available) temporary countermeasures before a patch is available fixing this issue.
fr: Les administrateurs consciencieux peuvent utiliser ces renseignements pour déterminer les failles de sécurité pouvant affecter le système qu'ils gèrent, déterminer la sévérité du bogue et appliquer (si possible) des contre-mesures temporaires avant qu'un correctif soit disponible pour résoudre le problème.

note: type: <p></p>
en: Security issues tracked for releases supported by the Debian Security Team should eventually be handled through Debian Security Advisories (DSA) and will be available for all users (see <ref id="keep-up-to-date">). Once security issues are fixed through an advisory they will not be available in the tracker, but you will be able to search security vulnerabilities (by CVE name) using the <url id="http://www.debian.org/security/crossreferences" name="security cross references table"> available for published DSAs.
fr: Les problèmes de sécurité des versions suivies par l'équipe de sécurité de Debian devraient être traitées par une annonce de sécurité Debian (DSA) et seront disponibles pour tous les utilisateurs (consultez <ref id="keep-up-to-date">). Une fois que les problèmes de sécurité sont résolus et annoncés, ils ne seront plus affichés par le système de suivi, mais vous pourrez encore chercher les vulnérabilités par leur nom CVE en utilisant la <url id="http://www.debian.org/security/crossreferences" name="table de références croisées de sécurité"> disponible pour les DSA publiées.

note: type: <p></p>
en: Notice, however, that the information tracked by the Debian Testing Security Team only involves disclosed vulnerabilities (i.e. those already public). In some occasions the Debian Security Team might be handling and preparing DSAs for packages based on undisclosed information provided to them (for example, through closed vendor mailing lists or by upstream maintainers of software). So do not be surprised to find security issues that only show up as an advisory but never get to show up in the security tracker.
fr: Remarquez cependant que les renseignements suivis par l'équipe de suivi en sécurité de testing ne concernent que les failles connues (c'est-à-dire déjà rendues publiques). Parfois, l'équipe de sécurité Debian peut gérer et préparer des DSA pour des paquets en fonction de renseignements non publics qu'ils ont obtenus sur des listes de diffusions restreintes, par le découvreur de la faille ou par les développeurs du logiciel. Ainsi, ne vous étonnez pas de découvrir des problèmes de sécurité dans une annonce qui ne sont jamais apparus dans le système de suivi des vulnérabilités.

note: type: <heading></heading>
en: Continuously update the system
fr: Mettre à jour le système en permanence

note: type: <p></p>
en: You should conduct security updates frequently. The vast majority of exploits result from known vulnerabilities that have not been patched in time, as this <url id="http://www.cs.umd.edu/~waa/vulnerability.html" name="paper by Bill Arbaugh"> (presented at the 2001 IEEE Symposium on Security and Privacy) explains. Updates are described under <ref id="security-update">.
fr: Vous devriez effectuer des mises à jour de sécurité régulièrement. La plupart des stratagèmes sont basés sur des failles connues qui n'ont pas été corrigées à temps, comme l'explique ce <url id="http://www.cs.umd.edu/~waa/vulnerability.html" name="papier de Bill Arbaugh"> (présenté lors du Symposium 2001 IEEE sur la sécurité et la confidentialité). Les mises à jour sont décrites dans <ref id="security-update">.

note: type: <heading></heading>
en: Manually checking which security updates are available
fr: Vérification par soi-même la disponibilité de mises à jour de sécurité

note: type: <p></p>
en: Debian does have a specific tool to check if a system needs to be updated but many users will just want to manually check if any security updates are available for their system.
fr: Debian dispose d'un outil spécifique pour déterminer si un système a besoin d'être mis à jour, mais beaucoup d'utilisateurs veulent simplement vérifier si des mises à jour de sécurité sont disponibles pour leur système.

note: type: <p><example>
en: If you have configured your system as described in <ref id="security-update"> you just need to do:
fr: Si vous avez configuré le système comme décrit en <ref id="security-update">, il suffit de faire&nbsp;:

note: type: <example></example>
en: # apt-get update
    # apt-get upgrade -s
    [ ... review packages to be upgraded ... ]
    # apt-get upgrade 
    # checkrestart
    [ ... restart services that need to be restarted ... ]
fr: # apt-get update
    # apt-get upgrade -s
    [ … passer en revue les paquets à mettre à jour… ]
    # apt-get upgrade 
    # checkrestart
    [ … redémarrer les services qui doivent être redémarrés… ]

note: type: <p></p>
en: And restart those services whose libraries have been updated if any. Note: Read <ref id="security-update"> for more information on library (and kernel) upgrades.
fr: Redémarrez ensuite les services dont les bibliothèques ont été mises à jour si c'est le cas. Remarque&nbsp;: consultez <ref id="security-update"> pour de plus amples renseignements sur les mises à jour de bibliothèques (et de noyau).

note: type: <p><example>
en: The first line will download the list of packages available from your configured package sources. The <tt>-s</tt> will do a simulation run, that is, it will <em>not</em> download or install the packages but rather tell you which ones should be downloaded/installed. From the output you can derive which packages have been fixed by Debian and are available as a security update. Sample:
fr: La première ligne téléchargera la liste des paquets disponibles depuis les sources de paquets configurées. L'option <tt>-s</tt> effectuera une simulation d'exécution, c'est-à-dire qu'elle ne va <em>pas</em> télécharger ou installer de paquets, mais qu'elle va plutôt signaler les paquets à télécharger ou installer. À partir de ce résultat, vous pouvez en déduire les paquets corrigés dans Debian et disponibles en mise à jour de sécurité. Par exemple&nbsp;:

note: type: <example></example>
en: # apt-get upgrade -s
    Reading Package Lists... Done
    Building Dependency Tree... Done
    2 packages upgraded, 0 newly installed, 0 to remove and 0  not upgraded.
    Inst cvs (1.11.1p1debian-8.1 Debian-Security:3.0/stable)
    Inst libcupsys2 (1.1.14-4.4 Debian-Security:3.0/stable)
    Conf cvs (1.11.1p1debian-8.1 Debian-Security:3.0/stable)
    Conf libcupsys2 (1.1.14-4.4 Debian-Security:3.0/stable)
fr: # apt-get upgrade -s
    Lecture des listes de paquets... Fait
    Construction de l'arbre des dépendances... Fait
    Calcul de la mise à jour... Fait
    Les paquets suivants seront mis à jour :
      cvs libcupsys2
    2 mis à jour, 0 nouvellement installés, 0 à enlever et 0 non mis à jour.
    Inst cvs (1.11.1p1debian-8.1 Debian-Security:3.0/stable)
    Inst libcupsys2 (1.1.14-4.4 Debian-Security:3.0/stable)
    Conf cvs (1.11.1p1debian-8.1 Debian-Security:3.0/stable)
    Conf libcupsys2 (1.1.14-4.4 Debian-Security:3.0/stable)

note: type: <p></p>
en: In this example, you can see that the system needs to be updated with new <package>cvs</package> and <package>cupsys</package> packages which are being retrieved from <em>woody's</em> security update archive. If you want to understand why these packages are needed, you should go to <url id="http://security.debian.org"> and check which recent Debian Security Advisories have been published related to these packages. In this case, the related DSAs are <url id="http://www.debian.org/security/2003/dsa-233" name="DSA-233"> (for <package>cvs</package>) and <url id="http://www.debian.org/security/2003/dsa-232" name="DSA-232"> (for <package>cupsys</package>).
fr: Dans cet exemple, vous pouvez constater que le système a besoin d'être mis à jour avec les nouveaux paquets <package>cvs</package> et <package>cupsys</package> qui sont récupérés depuis l'archive de mises à jour de sécurité de <em>Woody</em>. Si vous voulez comprendre pourquoi ces paquets sont nécessaires, vous devriez aller en <url id="http://security.debian.org"> et vérifier les alertes de sécurité Debian (DSA) récemment publiées concernant ces paquets. Dans ce cas, les DSA concernées sont <url id="http://www.debian.org/security/2003/dsa-233" name="DSA-233"> (pour <package>cvs</package>) et <url id="http://www.debian.org/security/2003/dsa-232" name="DSA-232"> (pour <package>cupsys</package>).

note: type: <p></p>
en: Notice that you will need to reboot your system if there has been a kernel upgrade.
fr: Remarquez que le système doit être redémarré après une mise à jour du noyau.

note: type: <heading></heading>
en: Checking for updates at the Desktop
fr: Vérification de mises à jour sur station de travail

note: type: <p></p>
en: Since Debian 4.0 <em>lenny</em> Debian provides and installs in a default installation <package>update-notifier</package>. This is a GNOME application that will startup when you enter your Desktop and can be used to keep track of updates available for your system and install them. It uses <package>update-manager</package> for this.
fr: Depuis Debian&nbsp;4.0 <em>Lenny</em>, Debian fournit et installe par défaut <package>update-notifier</package>. C'est une application GNOME qui est lancée lors de l'ouverture de la session et qui peut être utilisée pour faire le suivi des mises à jour disponibles pour le système et les installer. C'est fait en utilisant le paquet <package>update-manager</package>.

note: type: <p></p>
en: In a stable system updates are only available when a security patch is available or at point releases. Consequently, if the system is properly configured to receive security updates as described in <ref id="security-update"> and you have a cron task running to update the package information you will be notified through an icon in the desktop notifcation area.
fr: Pour un système stable, les mises à jour sont seulement disponibles quand un correctif de sécurité est disponible ou pour les versions intermédiaires. Par conséquent, si le système est configuré correctement pour recevoir les mises à jour de sécurité comme décrit en <ref id="security-update"> et qu'une tâche cron met à jour les informations sur les paquets, vous serez averti par une icône dans l'espace de notification du bureau.

note: type: <p></p>
en: The notification is not intrusive and users are not forced to install updates. From the notification icon a desktop user (with the administrator's password) can access a simple GUI to show available updates and install them.
fr: La notification n'est pas intrusive et les utilisateurs ne sont pas forcés d'installer les mises à jour. Depuis l'icône de notification, un utilisateur du bureau (avec le mot de passe administrateur) peut accéder à une interface simple et voir les mises à jour disponibles puis de les installer.

note: type: <p></p>
en: This application works by checking the package database and comparing the system with its contents. If the package database is updated periodically through a <prgn>cron</prgn> task then the contents of the database will be newer than the packages installed in the system and the application will notify you.
fr: Cette application fonctionne en consultant la base de données des paquets et en la comparant avec le système. Si cette base de données est mise à jour régulièrement par une tâche <prgn>cron</prgn>, alors son contenu sera plus récent que les paquets installés sur le système et l'application pourra vous avertir.

note: type: <p></p>
en: <prgn>Apt</prgn> installs such a task (<file>/etc/cron.d/apt</file>) which will run based on Apt's configuration (more specifically <em>APT::Periodic</em>). In the GNOME environment this configuration value can be adjusted by going to System &gt; Admin &gt; Software origins &gt; Updates, or running <prgn>/usr/bin/software-properties</prgn>.
fr: <prgn>Apt</prgn> installe une telle tâche cron (<file>/etc/cron.d/apt</file>) qui s'exécutera selon la configuration d'APT (plus spécifiquement <em>APT::Periodic</em>). Dans l'environnement GNOME, la valeur de la configuration peut être ajustée dans le menu Système &gt; Administration &gt; Sources de mise à jour &gt; Mises à jour, ou en exécutant <prgn>/usr/bin/software-properties</prgn>.

note: type: <p><example>
en: If the system is set to download the packages list daily but not download the packages themselves your <file>/etc/apt/apt.conf.d/10periodic</file> should look like this:
fr: Si le système télécharge quotidiennement la liste des paquets, mais ne télécharge pas les paquets eux-mêmes, le fichier <file>/etc/apt/apt.conf.d/10periodic</file> devrait ressembler à ceci&nbsp;:

note: type: <p></p>
en: You can use a different cron task, such as the one installed by <package>cron-apt</package> (see <ref id="cron-apt">). You can also just manually check for upgrades using this application.
fr: Vous pouvez utiliser une tâche cron différente, comme celle installée par <package>cron-apt</package> (consultez <ref id="cron-apt">). Vous pouvez aussi simplement vérifier vous-même les mises à jour en utilisant cette application.

note: type: <p></p>
en: Users of the KDE desktop environment will probably prefer to install <package>adept</package> and <package>adept-notifier</package> instead which offers a similar functionality but is not part of the standard installation.
fr: Les utilisateurs de l'environnement KDE préféreront probablement installer <package>adept</package> et <package>adept-notifier</package>. Ils fournissent des fonctionnalités similaires, mais ne sont pas installés par défaut.

note: type: <heading></heading>
en: Automatically checking for updates with cron-apt
fr: Vérification automatique des mises à jour avec cron-apt

note: type: <p></p>
en: Another method for automatic security updates is the use of <package>cron-apt</package>. This package provides a tool to update the system at regular intervals (using a cron job), and can also be configured to send mails to the system administrator using the local mail transport agent. It will just update the package list and download new packages by default but it can be configured to automatically install new updates.
fr: Une autre méthode pour des mises à jour de sécurité automatiques est l'utilisation de <package>cron-apt</package>. Ce paquet fournit un outil pour mettre à jour le système à intervalles réguliers (en utilisant une tâche cron). Par défaut, il va simplement mettre à jour la liste des paquets et télécharger les nouveaux paquets. Il peut également être configuré pour envoyer un courrier à l'administrateur système.

note: type: <p></p>
en: Notice that you might want to check the distribution release, as described in <ref id="check-releases">, if you intend to automatically updated your system (even if only downloading the packages). Otherwise, you cannot be sure that the downloaded packages really come from a trusted source.
fr: Remarquez que vous pourriez vérifier la version de distribution comme décrit en <ref id="check-releases"> pour mettre à jour automatiquement le système (même si vous ne téléchargez que les paquets). Sinon, vous ne pouvez pas être certain que les paquets téléchargés proviennent réellement d'une source de confiance.

note: type: <p></p>
en: More information is available at the <url id="http://www.debian-administration.org/articles/162" name="Debian Administration site">.
fr: Pour de plus amples renseignements, consultez le <url id="http://www.debian-administration.org/articles/162" name="site d'administration de Debian">.

note: type: <heading></heading>
en: Automatically checking for security issues with debsecan
fr: Vérification automatique des problèmes de sécurité avec debsecan

note: type: <p></p>
en: The <prgn>debsecan</prgn> program evaluates the security status of by reporting both missing security updates and security vulnerabilities. Unlike <package>cron-apt</package>, which only provides information related to security updates available, but this tool obtains information from the security vulnerability database maintained by the Debian Security Team which includes also information on vulnerabilities which are not yet fixed through a security update. Consequently, it is more efficient at helping administrators track security vulnerabilities (as described in <ref id="track-vulns">).
fr: Le programme <prgn>debsecan</prgn> évalue l'état de la sécurité par rapport aux mises à jour de sécurité non effectuées et aux vulnérabilités sans correctif alors que <package>cron-apt</package> ne fournit qu'un rapport sur les mises à jour non effectuées. <prgn>debsecan</prgn> obtient les renseignements sur les failles qui ne sont pas corrigées à l'aide de la base de données des vulnérabilités qui est gérée par l'équipe de sécurité de Debian. Par conséquent, comme décrit en <ref id="track-vulns">, il aide plus efficacement les administrateurs à suivre les failles de sécurité.

note: type: <p></p>
en: Upon installing the Debian package <package>debsecan</package>, and if the administrator consents to it, it will generate a cron task that will make it run and send the output to a specific user whenever it finds a vulnerable package. It will also download the information from the Internet. The location of the security database is also part of the questions ask on installation and are later defined <file>/etc/default/debsecan</file>, it can be easily adjusted for systems that do not have Internet access so that they all pull from a local mirror so that there is a single point that access the vulnerability database.
fr: En installant le paquet <package>debsecan</package>, et si l'administrateur l'accepte, une tâche cron exécutera périodiquement <prgn>debsecan</prgn> et notifiera l'utilisateur choisi lorsqu'un paquet vulnérable est détecté. L'emplacement de la base de données des vulnérabilités est aussi paramétrable lors de l'installation et peut ensuite être modifié dans le fichier <file>/etc/default/debsecan</file>. C'est pratique pour les systèmes sans accès direct à Internet qui doivent télécharger les nouvelles informations depuis un miroir local pour avoir un seul chemin de mise à jour de la base de données des vulnérabilités.

note: type: <p></p>
en: Notice, however, that the Security Team tracks many vulnerabilities including low-risk issues which might not be fixed through a security update and some vulnerabilities initially reported as affecting Debian might, later on, upon investigation, be dismissed. <prgn>Debsecan</prgn> will report on all the vulnerabilities, which makes it a quite more verbose than the other tools described above.
fr: Remarquez toutefois que l'équipe de sécurité suit beaucoup de failles, y compris des problèmes peu dangereux qui pourraient ne pas être corrigés lors des mises à jour de sécurité. De plus, certaines failles initialement considérées comme affectant Debian peuvent, plus tard et après enquête, être abandonnées. <prgn>debsecan</prgn> indiquera toutes les failles, ce qui peut en faire un outil plus verbeux que les autres outils décrits précédemment.

note: type: <p></p>
en: More information is available at the <url id="http://www.enyo.de/fw/software/debsecan/" name="author's siste">.
fr: Pour plus d'informations, veuillez consulter le <url id="http://www.enyo.de/fw/software/debsecan/" name="site de l'auteur">.

note: type: <heading></heading>
en: Other methods for security updates
fr: Autres méthodes de mises à jour de sécurité

note: type: <p></p>
en: There is also the <package>apticron</package>, which, similarly to <package>cron-apt</package> will check for updates and send mails to the administrator. More information on apticron is available at the <url id="http://www.debian-administration.org/articles/491" name="Debian Administration site">.
fr: Le paquet <package>apticron</package>, comme <package>apt-cron</package>, vérifiera les mises à jour et enverra des messages à l'administrateur. Pour plus d'informations, veuillez consulter le <url id="http://www.debian-administration.org/articles/491" name="site d'administration de Debian">.

note: type: <p></p>
en: You might also want to take a look at <url id="http://clemens.endorphin.org/secpack/" name="secpack"> which is an unofficial program to do security updates from security.debian.org with signature checking written by Fruhwirth Clemens. Or to the Nagios Plugin <url id="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" name="check_debian_updates.sh"> written by Dean Wilson.
fr: Vous pourriez également jeter un œil à <url id="http://clemens.endorphin.org/secpack/" name="secpack">, un programme non officiel pour effectuer des mises à jour de sécurité depuis security.debian.org écrit par Fruhwirth Clemens, qui vérifie les signatures ou encore le module d'extension Nagios <url id="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" name="check_debian_updates.sh"> écrit par Dean Wilson.

note: type: <heading></heading>
en: Avoid using the unstable branch
fr: Évitez la branche unstable

note: type: <p></p>
en: Unless you want to dedicate time to patch packages yourself when a vulnerability arises, you should <em>not</em> use Debian's unstable branch for production-level systems. The main reason for this is that there are no security updates for <em>unstable</em> (see <ref id="sec-unstable">).
fr: À moins de vouloir passer du temps à corriger les paquets vous-même quand une faille survient, vous ne devriez <em>pas</em> utiliser la branche unstable de Debian pour des systèmes en production. La raison principale est l'absence de mises à jour de sécurité pour <em>unstable</em> (consultez <ref id="sec-unstable">).

note: type: <p></p>
en: The fact is that some security issues might appear in unstable and <em>not</em> in the <em>stable</em> distribution. This is due to new functionality constantly being added to the applications provided there, as well as new applications being included which might not yet have been thoroughly tested.
fr: Certains problèmes de sécurité peuvent en fait apparaître dans unstable et <em>pas</em> dans la distribution <em>stable</em>. Cela est dû aux nouvelles fonctionnalités ajoutées constamment aux applications fournies, ainsi qu'aux nouvelles applications qui peuvent ne pas encore avoir été testées en profondeur.

note: type: <p></p>
en: In order to do security upgrades in the <em>unstable</em> branch, you might have to do full upgrades to new versions (which might update much more than just the affected package). Although there have been some exceptions, security patches are usually only back ported into the <em>stable</em> branch. The main idea being that between updates, <em>no new code</em> should be added, just fixes for important issues.
fr: Pour effectuer des mises à jour de sécurité dans la branche <em>unstable</em>, vous risquez de devoir faire des mises à jour complètes vers de nouvelles versions (ce qui peut mettre à jour beaucoup plus que les paquets touchés). Bien qu'il y ait des exceptions, les correctifs de sécurité sont habituellement rétroportés dans la branche <em>stable</em>. L'idée principale étant qu'entre les mises à jour, <em>aucun nouveau code</em> ne doit être ajouté, seulement des correctifs aux problèmes importants.

note: type: <p></p>
en: Notice, however, that you can use the security tracker (as described in <ref id="track-vulns">) to track known security vulnerabilities affecting this branch.
fr: Remarquez que vous pouvez utiliser le système de suivi de sécurité (décrit en <ref id="track-vulns">) pour suivre les failles de sécurité affectant cette branche.

note: type: <heading></heading>
en: Security support for the testing branch
fr: Suivi en sécurité de la branche testing

note: type: <p><list>
en: If you are using the <em>testing</em> branch, there are some issues that you must take into account regarding the availability of security updates:
fr: Si vous utilisez la branche <em>testing</em>, plusieurs problèmes sont à prendre en compte concernant la disponibilité des mises à jour de sécurité.

note: type: <p></p>
en: When a security fix is prepared, the Security Team backports the patch to <em>stable</em> (since stable is usually some minor or major versions behind). Package maintainers are responsible for preparing packages for the <em>unstable</em> branch, usually based on a new upstream release. Sometimes the changes happen at nearly the same time and sometimes one of the releases gets the security fix before. Packages for the <em>stable</em> distribution are more thoroughly tested than <em>unstable</em>, since the latter will in most cases provide the latest upstream release (which might include new, unknown bugs).
fr: Quand un correctif de sécurité est préparé, l'équipe de sécurité rétroporte le correctif pour <em>stable</em> (car stable est habituellement en retard de quelques versions mineures ou majeures). Le responsable du paquet s'occupe de préparer les paquets pour <em>unstable</em>, habituellement basé sur une nouvelle version amont. Parfois, les modifications se produisent en même temps et parfois l'une des distributions reçoit le correctif de sécurité avant. Les paquets de la distribution <em>stable</em> sont testés plus en profondeur que ceux d'<em>unstable</em> car ces derniers peuvent fournir la dernière version amont (qui pourrait ajouter de nouveaux bogues inconnus).

note: type: <p></p>
en: Security updates are available for the <em>unstable</em> branch usually when the package maintainer makes a new package and for the <em>stable</em> branch when the Security Team make a new upload and publish a DSA. Notice that neither of these change the <em>testing</em> branch.
fr: Les mises à jour de sécurité sont disponibles pour la branche <em>unstable</em> quand le responsable du paquet crée une nouvelle version du paquet et pour <em>stable</em> quand l'équipe de sécurité effectue un envoi et publie une DSA. Veuillez noter que ni l'un, ni l'autre ne modifie <em>testing</em>.

note: type: <p></p>
en: If no (new) bugs are detected in the <em>unstable</em> version of the package, it moves to <em>testing</em> after several days. The time this takes is usually ten days, although that depends on the upload priority of the change and whether the package is blocked from entering <em>testing</em> by its dependency relationships. Note that if the package is blocked from entering testing the upload priority will not change the time it takes to enter.
fr: Si aucun (nouveau) bogue n'est détecté dans la version <em>unstable</em> de paquet, il est déplacé dans <em>testing</em> après plusieurs jours. Le délai est habituellement de dix jours, bien que cela dépende de la priorité de l'envoi des modifications et si l'entrée du paquet dans <em>testing</em> est bloquée par ses relations de dépendances. Notez que si l'entrée du paquet dans <em>testing</em> est bloquée, la priorité d'envoi ne changera pas le temps nécessaire pour y entrer.

note: type: <p></p>
en: This behavior might change based on the release state of the distribution. When a release is almost imminent, the Security Team or package maintainers might provide updates directly to testing.
fr: Ce comportement peut changer selon l'état de publication de la distribution. Quand une nouvelle version est imminente, l'équipe de sécurité ou les responsables de paquet peuvent fournir des mises à jour directement dans <em>testing</em>.

note: type: <p></p>
en: Additionally, the <url id="http://secure-testing-master.debian.net" name="Debian Testing Security Team"> can issue Debian Testing Security Advisories (DTSAs) for packages in the <em>testing</em> branch if there is an inmediate need to fix a security issue in that branch and cannot wait for the normal procedure (or the normal procedure is being blocked by some other packages).
fr: De plus, l'<url id="http://secure-testing-master.debian.net" name="équipe en charge de la sécurité de Debian testing"> peut publier des annonces de sécurité de testing (« Debian Testing Security Advisories » ou DTSA) pour les paquets de la branche <em>testing</em> si un problème de sécurité doit être immédiatement corrigé dans cette branche sans attendre la procédure normale (ou que la procédure normale est bloquée par d'autres paquets).

note: type: <p><example>
en: Users willing to take advantage of this support should add the following lines to their <file>/etc/apt/sources.list</file> (instead of the lines described in <ref id="security-update">):
fr: Les utilisateurs voulant tirer partie de ce suivi devraient ajouter les lignes suivante à <file>/etc/apt/sources.list</file> (au lieu des lignes indiqué en <ref id="security-update">) :

note: type: <example></example>
en:     deb http://security.debian.org testing/updates main contrib non-free
    # This line makes it possible to donwload source packages too
        deb-src  http://security.debian.org testing/updates main contrib non-free
fr:     deb http://security.debian.org testing/updates main contrib non-free
    # Cette ligne permet de télécharger aussi les paquets source
        deb-src  http://security.debian.org testing/updates main contrib non-free

note: type: <p></p>
en: For additional information on this support please read the <url id="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" name="announcement">. This support officially started in <url id="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" name="September 2005"> in a separate repository and was later integrated into the main security archive.
fr: Pour de plus amples renseignements sur ce suivi, veuillez lire l'<url id="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" name="annonce">. Ce suivi a officiellement commencé en <url id="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" name="septembre 2005"> dans un dépôt séparé avant d'être intégré à l'archive de sécurité principale.

note: type: <heading></heading>
en: Automatic updates in a Debian GNU/Linux system
fr: Mises à jour automatiques dans un système Debian GNU/Linux

note: type: <p></p>
en: First of all, automatic updates are not fully recommended, since administrators should review the DSAs and understand the impact of any given security update.
fr: Tout d'abord, les mises à jour automatiques ne sont pas vraiment recommandées car les administrateurs devraient vérifier les DSA et comprendre l'impact de toute mise à jour de sécurité donnée.

note: type: <p><list>
en: If you want to update your system automatically you should:
fr: Si vous voulez mettre à jour le système automatiquement, vous devriez suivre les conseils suivants.

note: type: <p></p>
en: Configure <prgn>apt</prgn> so that those packages that you do not want to update stay at their current version, either with <prgn>apt</prgn>'s <em>pinning</em> feature or marking them as <em>hold</em> with <prgn>dpkg</prgn> or <prgn>dselect</prgn>.
fr: Configurer <prgn>apt</prgn> pour interdire la mise à jour des paquets à garder dans leur version actuelle, soit avec la fonctionnalité d'étiquetage (<em>pinning</em>) d'<prgn>apt</prgn>, soit en les marquant comme <em>hold</em> (à garder) avec <prgn>dpkg</prgn> ou <prgn>dselect</prgn>.

note: type: <p><example>
en: To pin the packages under a given release, you must edit <file>/etc/apt/preferences</file> (see <manref name="apt_preferences" section="5">) and add:
fr: Pour conserver les paquets à une version donnée, vous devez éditer <file>/etc/apt/preferences</file> (consultez <manref section="5" name="apt_preferences">) et ajouter&nbsp;:

note: type: <p></p>
en: FIXME: verify if this configuration is OK.
fr: FIXME : Vérifier si cette configuration est correcte.

note: type: <p><example>
en: Either use <package>cron-apt</package> as described in <ref id="cron-apt"> and enable it to install downloaded packages or add a <prgn>cron</prgn> entry yourself so that the update is run daily, for example:
fr: Utiliser soit cron-apt comme décrit dans <ref id="cron-apt"> et l'activer pour installer les paquets récupérés, soit ajouter une entrée <prgn>cron</prgn> vous-même pour exécuter la mise à jour quotidiennement, par exemple&nbsp;:

note: type: <p></p>
en: The <tt>-y</tt> option will have <prgn>apt</prgn> assume 'yes' for all the prompts that might arise during the update. In some cases, you might want to use the <tt>--trivial-only</tt> option instead of the <tt>--assume-yes</tt> (equivalent to <tt>-y</tt>).<footnote><p>You may also want to use the <tt>--quiet</tt> (<tt>-q</tt>) option to reduce the output of <prgn>apt-get</prgn>, which will stop the generation of any output if no packages are installed.</p></footnote>
fr: L'option <tt>-y</tt> forcera <prgn>apt</prgn> à répondre automatiquement oui aux questions lors de la mise à jour. Dans certains cas, vous pourriez préférer l'option <tt>--trivial-only</tt> à <tt>--assume-yes</tt> (qui est équivalent de <tt>-y</tt>).<footnote><p>Vous pourriez aussi utiliser l'option <tt>--quiet</tt> (<tt>-q</tt>) pour réduire la sortie d'<prgn>apt-get</prgn>, ce qui évitera la génération de message si aucun paquet n'est installé.</p></footnote>

note: type: <p></p>
en: Configure <prgn>debconf</prgn> so no questions will be asked during upgrades, so that they can be done non-interactively. <footnote><p>Note that some packages might <em>not</em> use <prgn>debconf</prgn> and updates will stall due to packages asking for user input during configuration.</p></footnote>
fr: Configurer <prgn>cron</prgn> pour que <prgn>debconf</prgn> ne pose pas de question pendant les mises à jour, qui pourront ainsi être faites de façon non interactive.<footnote><p>Remarquez que certains paquets pourraient <em>ne pas</em> utiliser <prgn>debconf</prgn> et les mises à jour seront bloquées car les paquets attendront une réponse de l'administrateur pendant la configuration.</p></footnote>

note: type: <p></p>
en: Check the results of the <prgn>cron</prgn> execution, which will be mailed to the superuser (unless changed with <tt>MAILTO</tt> environment variable in the script).
fr: Vérifier les résultats de l'exécution de <prgn>cron</prgn> envoyées au superutilisateur (sauf si la variable d'environnement <tt>MAILTO</tt> est modifiée dans le script).

note: type: <p></p>
en: A safer alternative might be to use the <tt>-d</tt> (or <tt>--download-only</tt>) option, which will download but not install the necessary packages. Then if the <prgn>cron</prgn> execution shows that the system needs to be updated, it can be done manually.
fr: Une alternative plus sûre peut être d'utiliser l'option <tt>-d</tt> (ou <tt>--download-only</tt>) pour télécharger les paquets nécessaires sans les installer. Puis, si l'exécution de <prgn>cron</prgn> indique que le système doit être mis à jour, cela peut être fait par l'administrateur.

note: type: <p></p>
en: In order to accomplish any of these tasks, the system must be properly configured to download security updates as discussed in <ref id="security-update">.
fr: Pour accomplir ces tâches, le système doit être configuré correctement pour télécharger les mises à jour de sécurité comme décrit en <ref id="security-update">.

note: type: <p></p>
en: However, this is not recommended for <em>unstable</em> without careful analysis, since you might bring your system into an unusable state if some serious bug creeps into an important package and gets installed in your system. <em>Testing</em> is slightly more <em>secure</em> with regard to this issue, since serious bugs have a better chance of being detected before the package is moved into the testing branch (although, you may have <em>no</em> security updates available whatsoever).
fr: Cependant, cela n'est pas recommandé pour <em>unstable</em> sans analyse attentive, car vous pourriez placer le système dans un état inutilisable si un bogue sérieux s'introduit dans un paquet important et est installé sur le système. <em>testing</em> est un peu plus <em>sûre</em> de ce côté car les bogues sérieux ont une meilleure chance d'être détectés avant que le paquet n'entre dans la branche testing (cependant, vous pourriez n'avoir <em>aucune</em> mise à jour de sécurité disponible).

note: type: <p></p>
en: If you have a mixed distribution, that is, a <em>stable</em> installation with some packages updated to <em>testing</em> or <em>unstable</em>, you can fiddle with the pinning preferences as well as the <tt>--target-release</tt> option in <prgn>apt-get</prgn> to update <em>only</em> those packages that you have updated.<footnote><p>This is a common issue since many users want to maintain a stable system while updating some packages to <em>unstable</em> to gain the latest functionality. This need arises due to some projects evolving faster than the time between Debian's <em>stable</em> releases.</p></footnote>
fr: Si vous utilisez une distribution mixte, c'est-à-dire, une installation de <em>stable</em> avec des paquets mis à jour de <em>testing</em> ou d'<em>unstable</em>, vous pouvez jouer avec les préférences d'étiquetage et avec l'option <tt>--target-release</tt> d'<prgn>apt-get</prgn> pour ne mettre à jour <em>que</em> les paquets que de la nouvelle distribution.<footnote><p>C'est un problème courant car beaucoup d'utilisateurs veulent conserver un système stable tout en mettant à jour certains paquets avec <em>unstable</em> pour obtenir les dernières fonctionnalités. Ce besoin provient de l'évolution plus rapide de certains projets que le temps mis par Debian pour publier une nouvelle version <em>stable</em> de sa distribution.</p></footnote>

note: type: <heading></heading>
en: Do periodic integrity checks
fr: Tests d'intégrité périodiques

note: type: <p></p>
en: Based on the baseline information you generated after installation (i.e. the snapshot described in <ref id="snapshot">), you should be able to do an integrity check from time to time. An integrity check will be able to detect filesystem modifications made by an intruder or due to a system administrators mistake.
fr: En vous basant sur les informations de base générées après l'installation (c'est-à-dire l'instantané décrit dans <ref id="snapshot">), vous pourriez effectuez un test d'intégrité de temps en temps. Un test d'intégrité pourra détecter des modifications du système de fichiers réalisées par un intrus ou dues à une erreur de l'administrateur système.

note: type: <p></p>
en: Integrity checks should be, if possible, done offline.<footnote><p>An easy way to do this is using a Live CD, such as <url id="http://www.knoppix-std.org/" name="Knoppix Std"> which includes both the file integrity tools and the integrity database for your system.</p></footnote> That is, without using the operating system of the system to review, in order to avoid a false sense of security (i.e. false negatives) produced by, for example, installed rootkits. The integrity database that the system is checked against should also be used from read-only media.
fr: Les tests d'intégrité devraient, si possible, être réalisés non connectés.<footnote><p>Une façon aisée de faire cela est d'utiliser un CD autonome (Live CD), comme <url id="http://www.knoppix-std.org/" name="Knoppix Std"> contenant à la fois les outils d'intégrité de fichier et la base de donnée du système.</p></footnote> C'est-à-dire, sans utiliser le système d'exploitation du système à contrôler, pour éviter un sentiment de sécurité erroné (c'est-à-dire des faux négatifs) produit, par exemple, par des rootkits installés. La base de données d'intégrité par rapport à laquelle le système est vérifiée devrait également être utilisée depuis un support en lecture seule.

note: type: <p></p>
en: You can consider doing integrity checks online using any of the filesystem integrity tools available (described in <ref id="check-integ">) if taking offline the system is not an option. However, precaution should be taken to use a read-only integrity database and also assure that the integrity checking tool (and the operating system kernel) has not been tampered with.
fr: Vous pouvez envisager de faire des vérifications d'intégrité en ligne en utilisant l'un des outils d'intégrité de système de fichiers disponibles (décrits dans <ref id="check-integ">) s'il n'est pas possible de déconnecter le système. Cependant, des précautions devraient être prises pour utiliser une base de données d'intégrité en lecture seule et également pour assurer que les outils de vérification d'intégrité (et le noyau du système d'exploitation) n'ont pas été falsifiés.

note: type: <p></p>
en: Some of the tools mentioned in the integrity tools section, such as <prgn>aide</prgn>, <prgn>integrit</prgn> or <prgn>samhain</prgn> are already prepared to do periodic reviews (through the crontab in the first two cases and through a standalone daemon in <prgn>samhain</prgn>) and can warn the administrator through different channels (usually e-mail, but <prgn>samhain</prgn> can also send pages, SNMP traps or syslog alerts) when the filesystem changes.
fr: Certains des outils mentionnés dans la section des outils d'intégrité, comme <prgn>aide</prgn>, <prgn>integrit</prgn> ou <prgn>samhain</prgn>, sont déjà préparés pour faire des vérifications périodiques (en utilisant la crontab dans les deux premiers cas et en utilisant un démon indépendant pour <prgn>samhain</prgn>) et ils peuvent avertir l'administrateur par différents moyens (habituellement par courriel, mais <prgn>samhain</prgn> peut également envoyer des pages, des alertes SNMP ou des alertes syslog) quand le système de fichiers est modifié.

note: type: <p></p>
en: Of course, if you execute a security update of the system, the snapshot taken for the system should be re-taken to accommodate the changes done by the security update.
fr: Bien sûr, si vous exécutez une mise à jour de sécurité du système, l'instantané pris pour le système devrait être régénéré pour prendre en compte les modifications réalisées par la mise à jour de sécurité.

note: type: <heading></heading>
en: Set up Intrusion Detection
fr: Mise en place de détection d'intrusion

note: type: <p></p>
en: Debian GNU/Linux includes tools for intrusion detection, which is the practice of detecting inappropriate or malicious activity on your local system, or other systems in your private network. This kind of defense is important if the system is very critical or you are truly paranoid. The most common approaches to intrusion detection are statistical anomaly detection and pattern-matching detection.
fr: Debian contient certains outils pour la détection d'intrusion qui permettent de défendre le système local ou d'autres systèmes du même réseau. Ce type de défense est important si le système est très critique ou si vous êtes vraiment paranoïaque. Les approches de détection d'intrusion les plus communes sont la détection statistique d'anomalies et la détection de correspondance de modèle.

note: type: <p></p>
en: Always be aware that in order to really improve the system's security with the introduction of any of these tools, you need to have an alert+response mechanism in place. Intrusion detection is a waste of time if you are not going to alert anyone.
fr: Soyez toujours aux aguets de manière à réellement améliorer la sécurité du système avec n'importe lequel de ces outils, vous devez avoir un mécanisme d'alerte et réaction. Un système de détection d'intrusion est inutile si personne n'est prévenu.

note: type: <p></p>
en: When a particular attack has been detected, most intrusion detection tools will either log the event with <prgn>syslogd</prgn> or send e-mail to the root user (the mail recipient is usually configurable). An administrator has to properly configure the tools so that false positives do not trigger alerts. Alerts may also indicate an ongoing attack and might not be useful, say, one day later, since the attack might have already succeeded. So be sure that there is a proper policy on handling alerts and that the technical mechanisms to implement this policy are in place.
fr: Quand une attaque particulière est détectée, la plupart des outils de détection d'intrusion vont soit journaliser l'événement avec <prgn>syslogd</prgn>, soit envoyer des courriers au superutilisateur (le destinataire du courrier est habituellement configurable). Un administrateur doit configurer convenablement les outils pour éviter les fausses alertes. Les alertes peuvent également indiquer une attaque en cours et ne seraient pas très utiles un jour plus tard, puisque l'attaque pourrait déjà avoir été couronnée de succès. Assurez-vous donc qu'une règle de sécurité correcte a été mise en place vis-à-vis des alertes et que les mécanismes techniques pour l'implémenter sont en place.

note: type: <p></p>
en: An interesting source of information is <url id="http://www.cert.org/tech_tips/intruder_detection_checklist.html" name="CERT's Intrusion Detection Checklist">
fr: Une source d'informations intéressante est la <url id="http://www.cert.org/tech_tips/intruder_detection_checklist.html" name="liste de vérification de détections d'intrusion du CERT">.

note: type: <heading></heading>
en: Network based intrusion detection
fr: Détection d'intrusion provenant du réseau

note: type: <p></p>
en: Network based intrusion detection tools monitor the traffic on a network segment and use this information as a data source. Specifically, the packets on the network are examined, and they are checked to see if they match a certain signature.
fr: Les outils de détection d'intrusions provenant du réseau scrutent le trafic sur un segment de réseau et utilisent cette information comme source de données. Spécifiquement, les paquets du réseau sont examinés et ils sont vérifiés pour voir s'ils correspondent à une certaine signature.

note: type: <p></p>
en: <package>snort</package> is a flexible packet sniffer or logger that detects attacks using an attack signature dictionary. It detects a variety of attacks and probes, such as buffer overflows, stealth port scans, CGI attacks, SMB probes, and much more. <prgn>snort</prgn> also has real-time alerting capability. You can use <prgn>snort</prgn> for a range of hosts on your network as well as for your own host. This is a tool which should be installed on every router to keep an eye on your network. Just install it with <tt>apt-get install snort</tt>, follow the questions, and watch it log. For a little broader security framework, see <url id="http://www.prelude-ids.org" name="Prelude">.
fr: <package>snort</package> est un renifleur flexible de paquets ou un journaliseur qui détecte les attaques selon un dictionnaire de signatures d'attaque. Il détecte diverses attaques et sondes, comme des débordements de capacité, des scans dissimulés de ports, des attaques CGI, des sondes SMB, etc. <prgn>snort</prgn> dispose également d'une capacité d'alerte en temps réel. Vous pouvez utiliser <prgn>snort</prgn> pour un certain nombre d'hôtes du réseau ainsi que pour l'hôte local. Cet outil peut être installé sur n'importe quel routeur pour garder un œil sur le réseau. Installez-le simplement avec <tt>apt-get install snort</tt>, suivez les questions et surveillez ses journaux. Pour une infrastructure de sécurité un peu plus large, regardez <url id="http://www.prelude-ids.org" name="Prelude">.

note: type: <p></p>
en: Debian's <package>snort</package> package has many security checks enabled by default. However, you should customize the setup to take into account the particular services you run on your system. You may also want to seek additional checks specific to these services.
fr: Le paquet <package>snort</package> de Debian est installé avec de nombreuses vérifications de sécurité activées par défaut. Toutefois, vous devriez prendre le temps de personnaliser l'installation pour prendre en compte les services utilisés sur le système. Vous pourriez rechercher des vérifications supplémentaires spécifiques à ces services.

note: type: <p></p>
en: There are other, simpler tools that can be used to detect network attacks. <package>portsentry</package> is an interesting package that can tip you off to port scans against your hosts. Other tools like <package>ippl</package> or <package>iplogger</package> will also detect some IP (TCP and ICMP) attacks, even if they do not provide the kind of advanced techniques <prgn>snort</prgn> does.
fr: D'autres outils plus simples peuvent être utilisés pour détecter les attaques réseaux. <package>portsentry</package> est un paquet intéressant pour informer lorsqu'un scan du réseau est effectué sur site. D'autres outils comme <package>ippl</package> ou <package>iplogger</package> permettent de détecter certaines attaques IP (TCP et ICMP), même s'ils ne fournissent pas de techniques avancées pour détecter les attaques réseaux (comme le ferait <prgn>snort</prgn>).

note: type: <p></p>
en: You can test any of these tools with the Debian package <package>idswakeup</package>, a shell script which generates false alarms, and includes many common attack signatures.
fr: Vous pouvez essayer chacun de ces outils avec le paquet Debian <package>idswakeup</package>, un générateur de fausses alertes et qui inclut un grand nombre de signature d'attaques communes.

note: type: <heading></heading>
en: Host based intrusion detection
fr: Détection d'intrusion fondée sur l'hôte

note: type: <p></p>
en: Host based intrusion detection involves loading software on the system to be monitored which uses log files and/or the systems auditing programs as a data source. It looks for suspicious processes, monitors host access, and may even monitor changes to critical system files.
fr: La détection d'intrusion fondée sur l'hôte implique d'activer, sur le système à étudier, un logiciel qui utilise les journaux ou les programmes d'audit du système comme source de données. Il scrute les processus suspects, scrute les accès d'hôtes et peut même scruter les changements aux fichiers critiques du système.

note: type: <p></p>
en: <package>tiger</package> is an older intrusion detection tool which has been ported to Debian since the Woody branch. <prgn>tiger</prgn> provides checks of common issues related to security break-ins, like password strength, file system problems, communicating processes, and other ways root might be compromised. This package includes new Debian-specific security checks including: MD5sums checks of installed files, locations of files not belonging to packages, and analysis of local listening processes. The default installation sets up <prgn>tiger</prgn> to run each day, generating a report that is sent to the superuser about possible compromises of the system.
fr: <package>tiger</package> est un ancien outil de détection d'intrusion qui a été porté sous Debian depuis la distribution Woody. <prgn>tiger</prgn> fournit un ensemble de vérifications de problèmes communs liés aux failles de sécurité, il vérifie la robustesse des mots de passe, les problèmes de système de fichiers, les processus de communications et d'autres façons de compromettre le compte du superutilisateur. Ce paquet contient de nouvelles vérifications de sécurité spécifiques à Debian, y compris les vérifications de sommes de contrôle MD5 des fichiers installés, les emplacements de fichiers n'appartenant pas aux paquets et l'analyse des processus locaux à l'écoute. L'installation par défaut configure <prgn>tiger</prgn> pour être exécuté quotidiennement, en générant un compte-rendu envoyé au superutilisateur à propos des compromissions possibles du système.

note: type: <p></p>
en: Log analysis tools, such as <package>logcheck</package> can also be used to detect intrusion attempts. See <ref id="custom-logcheck">.
fr: Des outils d'analyse de journaux comme <package>logcheck</package> peuvent également être utilisés pour détecter des tentatives d'intrusions. Consultez <ref id="custom-logcheck">.

note: type: <p></p>
en: In addition, packages which monitor file system integrity (see <ref id="check-integ">) can be quite useful in detecting anomalies in a secured environment. It is most likely that an effective intrusion will modify some files in the local file system in order to circumvent local security policy, install Trojans, or create users. Such events can be detected with file system integrity checkers.
fr: De plus, des paquets scrutant l'intégrité du système de fichiers (consultez <ref id="check-integ">) peuvent être utiles dans la détection d'anomalies dans un environnement sécurisé. Une intrusion effective modifiera probablement certains fichiers du système de fichiers local pour court-circuiter les règles de sécurité locales, installer un cheval de Troie ou créer des utilisateurs. De tels événements peuvent être détectés avec les vérificateurs d'intégrité du système de fichiers.

note: type: <heading></heading>
en: Avoiding root-kits
fr: Éviter les rootkits

note: type: <p></p>
en: Loadable kernel modules are files containing dynamically loadable kernel components used to expand the functionality of the kernel. The main benefit of using modules is the ability to add additional devices, like an Ethernet or sound card, without patching the kernel source and recompiling the entire kernel. However, crackers are now using LKMs for root-kits (knark and adore), opening up back doors in GNU/Linux systems.
fr: Les LKM (<em>Loadable Kernel Modules</em> ou modules de noyau chargeables) sont des fichiers contenant des composants de noyau chargeables dynamiquement utilisés pour étendre les fonctionnalités de noyau. Le principal avantage d'utiliser des modules est la possibilité d'ajouter des périphériques additionnels comme une carte réseau ou une carte son sans avoir à recompiler le noyau entièrement. Cependant certains pirates peuvent utiliser les LKM pour les rootkits (knark et adore) afin d'installer des portes dérobées sur des systèmes GNU/Linux.

note: type: <p></p>
en: LKM back doors are more sophisticated and less detectable than traditional root-kits. They can hide processes, files, directories and even connections without modifying the source code of binaries. For example, a malicious LKM can force the kernel into hiding specific processes from <file>procfs</file>, so that even a known good copy of the binary <prgn>ps</prgn> would not list accurate information about the current processes on the system.
fr: Les portes dérobées des LKM peuvent être plus sophistiquées et moins détectables que des rootkits traditionnels. Ils peuvent cacher des processus, des fichiers, des répertoires et même des connexions sans modifier les codes source des binaires. Par exemple, un LKM peut forcer le noyau à cacher des processus spécifiques dans <file>procps</file> pour que même une bonne copie du binaire <prgn>ps</prgn> ne puisse donner des informations exactes à propos des processus actuels du système.

note: type: <heading></heading>
en: Detecting root-kits
fr: Détection des rootkits

note: type: <p></p>
en: There are two approaches to defending your system against LKM root-kits, a proactive defense and a reactive defense. The detection work can be simple and painless, or difficult and tiring, depending on the approach taken.
fr: Il existe deux approches pour défendre le système contre les rootkits LKM, une défense proactive et une défense réactive. La détection peut être simple et sans douleur ou difficile et fatigante selon la mesure que vous choisissez.

note: type: <heading></heading>
en: Proactive defense
fr: Défense proactive

note: type: <p></p>
en: The advantage of this kind of defense is that it prevents damage to the system in the first place. One such strategy is <em>getting there first</em>, that is, loading an LKM designed to protect the system from other malicious LKMs. A second strategy is to remove capabilities from the kernel itself. For example, you can remove the capability of loadable kernel modules entirely. Note, however, that there are rootkits which might work even in this case, there are some that tamper with <file>/dev/kmem</file> (kernel memory) directly to make themselves undetectable.
fr: L'avantage de ce type de défense est qu'elle prévient des dommages que pourrait entraîner un rootkit au système. Une telle stratégie est de <em>les attraper en premier</em>, c'est-à-dire de charger un LKM bien défini pour protéger le système d'autres LKM infectés. Une deuxième stratégie consiste à retirer la fonctionnalité de chargement des modules du noyau lui-même. Notez, cependant, qu'il existe des rootkits qui peuvent fonctionner même dans ce cas, certains altèrent même directement <file>/dev/kmem</file> (la mémoire du noyau) pour se rendre indétectables.

note: type: <p><list>
en: Debian GNU/Linux has a few packages that can be used to mount a proactive defense:
fr: Debian GNU/Linux fournit quelques paquets à utiliser pour mettre en place une défense proactive&nbsp;:

note: type: <p></p>
en: <package>lcap</package> - A user friendly interface to remove <em>capabilities</em> (kernel-based access control) in the kernel, making the system more secure. For example, executing <tt>lcap CAP_SYS_MODULE</tt> <footnote><p>There are over 28 capabilities including: <tt>CAP_BSET</tt>, <tt>CAP_CHOWN</tt>, <tt>CAP_FOWNER</tt>, <tt>CAP_FSETID</tt>, <tt>CAP_FS_MASK</tt>, <tt>CAP_FULL_SET</tt>, <tt>CAP_INIT_EFF_SET</tt>, <tt>CAP_INIT_INH_SET</tt>, <tt>CAP_IPC_LOCK</tt>, <tt>CAP_IPC_OWNER</tt>, <tt>CAP_KILL</tt>, <tt>CAP_LEASE</tt>, <tt>CAP_LINUX_IMMUTABLE</tt>, <tt>CAP_MKNOD</tt>, <tt>CAP_NET_ADMIN</tt>, <tt>CAP_NET_BIND_SERVICE</tt>, <tt>CAP_NET_RAW</tt>, <tt>CAP_SETGID</tt>, <tt>CAP_SETPCAP</tt>, <tt>CAP_SETUID</tt>, <tt>CAP_SYS_ADMIN</tt>, <tt>CAP_SYS_BOOT</tt>, <tt>CAP_SYS_CHROOT</tt>, <tt>CAP_SYS_MODULE</tt>, <tt>CAP_SYS_NICE</tt>, <tt>CAP_SYS_PACCT</tt>, <tt>CAP_SYS_PTRACE</tt>, <tt>CAP_SYS_RAWIO</tt>, <tt>CAP_SYS_RESOURCE</tt>, <tt>CAP_SYS_TIME</tt>, and <tt>CAP_SYS_TTY_CONFIG</tt>. All of them can be de-activated to harden your kernel.</p></footnote> will remove module loading capabilities (even for the root user).<footnote><p>You don't need to install <package>lcap</package> to do this, but it's easier than setting <file>/proc/sys/kernel/cap-bound</file> by hand.</p></footnote> There is some (old) information on capabilities at Jon Corbet's <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development"> section on LWN (dated December 1999).
fr: <package>lcap</package> — interface utilisateur agréable pour retirer les <em>fonctionnalités</em> (contrôle d'accès basé sur le noyau) dans le noyau, rendant le système plus sécurisé. Par exemple, exécuter <tt>lcap CAP_SYS_MODULE</tt> <footnote><p>28&nbsp;fonctionnalités existent, y compris&nbsp;: <tt>CAP_BSET</tt>, <tt>CAP_CHOWN</tt>, <tt>CAP_FOWNER</tt>, <tt>CAP_FSETID</tt>, <tt>CAP_FS_MASK</tt>, <tt>CAP_FULL_SET</tt>, <tt>CAP_INIT_EFF_SET</tt>, <tt>CAP_INIT_INH_SET</tt>, <tt>CAP_IPC_LOCK</tt>, <tt>CAP_IPC_OWNER</tt>, <tt>CAP_KILL</tt>, <tt>CAP_LEASE</tt>, <tt>CAP_LINUX_IMMUTABLE</tt>, <tt>CAP_MKNOD</tt>, <tt>CAP_NET_ADMIN</tt>, <tt>CAP_NET_BIND_SERVICE</tt>, <tt>CAP_NET_RAW</tt>, <tt>CAP_SETGID</tt>, <tt>CAP_SETPCAP</tt>, <tt>CAP_SETUID</tt>, <tt>CAP_SYS_ADMIN</tt>, <tt>CAP_SYS_BOOT</tt>, <tt>CAP_SYS_CHROOT</tt>, <tt>CAP_SYS_MODULE</tt>, <tt>CAP_SYS_NICE</tt>, <tt>CAP_SYS_PACCT</tt>, <tt>CAP_SYS_PTRACE</tt>, <tt>CAP_SYS_RAWIO</tt>, <tt>CAP_SYS_RESOURCE</tt>, <tt>CAP_SYS_TIME</tt> et <tt>CAP_SYS_TTY_CONFIG</tt>. Elles peuvent être toutes désactivées pour renforcer le noyau.</p></footnote> enlèvera des fonctionnalités de chargement des modules (même pour le superutilisateur).<footnote><p>Vous n'avez pas besoin d'installer <package>lcap</package> pour faire cela, mais c'est plus facile que de configurer <file>/proc/sys/kernel/cap-bound</file> soi-même.</p></footnote> De vieilles informations sur ces fonctionnalités sont dans la section de Jon Corbet <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development"> sur LWN datant de décembre 1999.

note: type: <p></p>
en: If you don't really need many kernel features on your GNU/Linux system, you may want to disable loadable modules support during kernel configuration. To disable loadable module support, just set CONFIG_MODULES=n during the configuration stage of building your kernel, or in the <file>.config</file> file. This will prevent LKM root-kits, but you lose this powerful feature of the Linux kernel. Also, disabling loadable modules can sometimes overload the kernel, making loadable support necessary.
fr: Si vous n'avez pas besoin de toutes ces fonctionnalités de noyau sur un système GNU/Linux, vous pourriez désactiver la prise en charge des modules chargeables lors de la configuration du noyau. Pour désactiver la prise en charge des modules chargeables, positionnez simplement CONFIG_MODULES=n lors de l'étape de configuration de construction du noyau ou dans le fichier <file>.config</file>. Cela prévient des rootkits LKM mais vous ne pourrez plus utiliser les modules avec le noyau GNU/Linux. La désactivation des modules peut surcharger le noyau, rendant la gestion du chargement nécessaire.

note: type: <heading></heading>
en: Reactive defense
fr: Défense réactive

note: type: <p></p>
en: The advantage of a reactive defense is that it does not overload system resources. It works by comparing the system call table with a known clean copy in a disk file, <file>System.map</file>. Of course, a reactive defense will only notify the system administrator after the system has already been compromised.
fr: L'avantage d'une défense réactive est qu'elle représente une faible surcharge au niveau des ressources systèmes. Elle fonctionne en comparant la table des appels systèmes avec une copie sûre d'un fichier du disque, <file>System.map</file>. Bien sûr, une défense réactive n'avertira l'administrateur qu'après la compromission du système.

note: type: <p></p>
en: Detection of some root-kits in Debian can be accomplished with the <package>chkrootkit</package> package. The <url id="http://www.chkrootkit.org" name="Chkrootkit"> program checks for signs of several known root-kits on the target system, but is not a definitive test.
fr: La détection des rootkits dans Debian peut être accomplie avec le paquet <package>chkrootkit</package>. Le programme <url id="http://www.chkrootkit.org" name="Chkrootkit"> cherche des signes de présence de plusieurs rootkits connus sur le système local, mais ce n'est pas un test définitif.

note: type: <heading></heading>
en: Genius/Paranoia Ideas &mdash; what you could do
fr: Idées géniales ou paranoïaques &mdash; ce que vous pourriez faire

note: type: <p><list>
en: This is probably the most unstable and funny section, since I hope that some of the "duh, that sounds crazy" ideas might be realized. The following are just some ideas for increasing security &mdash; maybe genius, paranoid, crazy or inspired depending on your point of view.
fr: C'est probablement la section la plus instable et la plus amusante, car j'espère que quelques unes des idées «&nbsp;bah, ça semble dingue&nbsp;» pourraient être réalisées. Vous trouverez ci-dessous certaines idées pour améliorer la sécurité &mdash; suivant votre point de vue vous les qualifierez de géniales, paranoïaques, folles ou inspirées.

note: type: <p></p>
en: Playing around with Pluggable Authentication Modules (PAM). As quoted in the Phrack 56 PAM article, the nice thing about PAM is that "You are limited only by what you can think of." It is true. Imagine root login only being possible with fingerprint or eye scan or cryptocard (why did I use an OR conjunction instead of AND?).
fr: S'amuser avec PAM (Pluggable Authentication Modules). Conformément à l'article PAM du phrack 56, ce qui est bien avec PAM, c'est qu'« il n'est limité que par votre imagination ». C'est vrai. Imaginez une connexion de superutilisateur seulement possible avec empreinte digitale ou un scan de l'&oelig;il ou une cryptocarte (pourquoi ai-je fait une conjonction de OU et pas de ET ici&nbsp;?).

note: type: <p></p>
en: Fascist Logging. I would refer to all the previous logging discussion above as "soft logging". If you want to perform real logging, get a printer with fanfold paper, and send all logs to it. Sounds funny, but it's reliable and it cannot be tampered with or removed.
fr: Journalisation fasciste. Je voudrais dire que tout ce dont nous avons discuté plus haut est de la «&nbsp;journalisation douce&nbsp;». Si vous voulez effectuer une vraie journalisation, procurez-vous une imprimante avec du papier listing et journalisez tout en l'imprimant. Cela semble amusant, mais c'est fiable et ne peut être supprimé, ni altéré.

note: type: <p></p>
en: CD distribution. This idea is very easy to realize and offers pretty good security. Create a hardened Debian distribution, with proper firewall rules. Turn it into a boot-able ISO image, and burn it on a CDROM. Now you have a read-only distribution, with about 600 MB space for services. Just make sure all data that should get written is done over the network. It is impossible for intruders to get read/write access on this system, and any changes an intruder does make can be disabled with a reboot of the system.
fr: Distribution CD. Cette idée est très simple à réaliser et offre une assez bonne sécurité. Créez une distribution Debian durcie, avec les règles de pare-feu adéquate, faites-en une image ISO amorçable et gravez-la sur un CD. Vous avez maintenant une bonne distribution en lecture seule avec environ 600&nbsp;Mo d'espace pour les services. Assurez-vous juste que toutes les données qui devraient être écrites soient écrites sur le réseau. Il est impossible pour des intrus d'obtenir un accès en lecture et écriture sur ce système et toute modification réalisée par un intrus sera désactivée avec un redémarrage du système.

note: type: <p></p>
en: Switch module capability off. As discussed earlier, when you disable the usage of kernel modules at kernel compile time, many kernel based back doors are impossible to implement because most are based on installing modified kernel modules.
fr: Désactiver la prise en charge des modules. Comme décrit auparavant, une fois désactivée l'utilisation des modules du noyau à la compilation, beaucoup de portes dérobées basées sur le noyau sont impossibles à implémenter car la plupart d'entre elles sont basées sur l'installation de modules du noyau modifiés.

note: type: <p></p>
en: Logging through serial cable (contributed by Gaby Schilders). As long as servers still have serial ports, imagine having one dedicated logging system for a number of servers. The logging system is disconnected from the network, and connected to the servers via a serial-port multiplexer (Cyclades or the like). Now have all your servers log to their serial ports, write only. The log-machine only accepts plain text as input on its serial ports and only writes to a log file. Connect a CD/DVD-writer, and transfer the log file to it when the log file reaches the capacity of the media. Now if only they would make CD writers with auto-changers... Not as hard copy as direct logging to a printer, but this method can handle larger volumes and CD-ROMs use less storage space.
fr: Journalisation par câble série (contribution de Gaby Schilders). Tant que les serveurs ont des ports série, imaginez une machine dédiée à la journalisation pour un certain nombre de serveurs. Le système de journalisation serait déconnecté du réseau, et connecté aux serveurs par un multiplexeur de ports série (cyclades ou similaire). Maintenant faites journaliser vos serveurs par leurs ports série en écriture seule. La machine de journalisation n'accepterait que du texte en clair en entrée sur ses ports séries et n'écrirait que sur un fichier journal. Branchez un graveur de CD ou DVD et transférez-y les fichiers journaux quand le fichier journal atteint la capacité du support. Maintenant il ne manque plus qu'un graveur avec chargeur de CD automatique… Pas autant « copie en dur » que la journalisation directe vers l'imprimante, mais cette méthode peut gérer de larges volumes et les CD prennent moins d'espace de stockage.

note: type: <p></p>
en: Change file attributes using <prgn>chattr</prgn> (taken from the Tips-HOWTO, written by Jim Dennis). After a clean install and initial configuration, use the <prgn>chattr</prgn> program with the <tt>+i</tt> attribute to make files unmodifiable (the file cannot be deleted, renamed, linked or written to). Consider setting this attribute on all the files in <file>/bin</file>, <file>/sbin/</file>, <file>/usr/bin</file>, <file>/usr/sbin</file>, <file>/usr/lib</file> and the kernel files in root. You can also make a copy of all files in <file>/etc/</file>, using <prgn>tar</prgn> or the like, and mark the archive as immutable.
fr: Modifiez les attributs de tous les fichiers avec <prgn>chattr</prgn> (tiré du Tips-HOWTO écrit par Jim Dennis). Tout de suite après avoir installé et configuré initialement le système, utilisez le programme <prgn>chattr</prgn> avec l'attribut <tt>+i</tt> pour rendre les fichiers non-modifiables (le fichier ne peut être supprimé, renommé, lié ou réécrit). Envisagez de positionner cet attribut sur tous les fichiers de <file>/bin</file>, <file>/sbin/</file>, <file>/usr/bin</file>, <file>/usr/sbin</file>, <file>/usr/lib</file> et tous les fichiers noyau de la racine. Vous pouvez également faire une copie de tous les fichiers de <file>/etc/</file>, en utilisant <prgn>tar</prgn>, et marquer l'archive comme immuable.

note: type: <p></p>
en: This strategy will help limit the damage that you can do when logged in as root. You won't overwrite files with a stray redirection operator, and you won't make the system unusable with a stray space in a <prgn>rm -fr</prgn> command (you might still do plenty of damage to your data &mdash; but your libraries and binaries will be safer).
fr: Cette stratégie permettra de limiter les dégâts possibles une fois connecté en superutilisateur. Cela empêchera d'écraser des fichiers avec un opérateur de redirection mal placé, de rendre le système inutilisable avec une espace mal placée dans une commande <prgn>rm -rf</prgn> (il est toujours possible de faire pas mal de dégâts aux données, mais les bibliothèques et binaires seront mieux protégés).

note: type: <p></p>
en: This strategy also makes a variety of security and denial of service (DoS) exploits either impossible or more difficult (since many of them rely on overwriting a file through the actions of some SETUID program that <em>isn't providing an arbitrary shell command</em>).
fr: Cela limite aussi la réalisation d'un grand nombre d'exploitations de faille de sécurité et de dénis de service (car beaucoup d'entre eux dépendent de l'écrasement d'un fichier par les actions d'un programme SETUID qui <em>ne fournit aucune invite de commandes</em>).

note: type: <p></p>
en: One inconvenience of this strategy arises during building and installing various system binaries. On the other hand, it prevents the <prgn>make install</prgn> from over-writing the files. When you forget to read the Makefile and <prgn>chattr -i</prgn> the files that are to be overwritten, (and the directories to which you want to add files) &dash; the make command fails, and you just use the <prgn>chattr</prgn> command and rerun it. You can also take that opportunity to move your old bin's and libs out of the way, into a .old/ directory or tar archive for example.
fr: Le seul inconvénient de cette stratégie survient lorsque vous compilez et installez divers binaires systèmes. D'un autre côté, cela empêche aussi le <prgn>make install</prgn> d'écraser les fichiers. Quand vous oubliez de lire le Makefile et de faire un <prgn>chattr -i</prgn>, les fichiers qui vont être réécrits (et les répertoires auxquels vous voulez ajouter des fichiers) &dash; la commande make échoue, utilisez juste la commande <prgn>chattr</prgn> et relancez-le. Vous pouvez aussi profiter de l'occasion pour déplacer vos vieux binaires et bibliothèques dans un répertoire .old/ ou dans une archive tar par exemple.

note: type: <p></p>
en: Note that this strategy also prevents you from upgrading your system's packages, since the files updated packages provide cannot be overwritten. You might want to have a script or other mechanism to disable the immutable flag on all binaries right before doing an <prgn>apt-get update</prgn>.
fr: Remarquez que cette stratégie empêche aussi de mettre à jour les paquets du système car les fichiers existants ne peuvent être remplacés, vous pourriez donc avoir un mécanisme pour désactiver l'attribut immuable sur tous les binaires juste avant de faire un <prgn>apt-get update</prgn>.

note: type: <p></p>
en: Play with UTP cabling in a way that you cut 2 or 4 wires and make the cable one-way traffic only. Then use UDP packets to send information to the destination machine which can act as a secure log server or a credit card storage system.
fr: Couper 2 ou 4 fils du câble réseau afin de rendre les communications UDP unidirectionnelles. Ensuite, utilisez des paquets UDP pour envoyer des informations à la machine destinatrice qui peut agir en tant que serveur de journalisation sécurisé ou système de stockage de carte de crédit.

note: type: <heading></heading>
en: Building a honeypot
fr: Construction d'un pot de miel

note: type: <p></p>
en: A honeypot is a system designed to teach system administrators how crackers probe for and exploit a system. It is a system setup with the expectation and goal that the system will be probed, attacked and potentially exploited. By learning the tools and methods employed by the cracker, a system administrator can learn to better protect their own systems and network.
fr: Un pot de miel est un système conçu pour apprendre aux administrateurs système les techniques de sondage et d'exploitation des attaquants. Il s'agit d'une configuration système qui a pour but d'être sondée, attaquée et potentiellement exploitée. En apprenant les outils et méthodes utilisées par l'attaquant, un administrateur système peut apprendre à mieux protéger ses propres systèmes et son réseau.

note: type: <p><list>
en: Debian GNU/Linux systems can easily be used to setup a honeynet, if you dedicate the time to implement and monitor it. You can easily setup the fake honeypot server as well as the firewall<footnote><p>You will typically use a bridge firewall so that the firewall itself is not detectable, see <ref id="bridge-fw">.</p></footnote> that controls the honeynet and some sort of network intrusion detector, put it on the Internet, and wait. Do take care that if the system is exploited, you are alerted in time (see <ref id="log-alerts">) so that you can take appropriate measures and terminate the compromise when you've seen enough. Here are some of the packages and issues to consider when setting up your honeypot:
fr: Un système Debian GNU/Linux peut facilement être configuré comme un pot de miel, si vous y consacrez le temps de l'implémenter et de le surveiller. Vous pouvez facilement mettre en place le serveur de pot de miel factice ainsi que le pare-feu<footnote><p>Vous utiliserez généralement un pare-feu pont pour que le pare-feu lui-même ne soit pas détectable, consultez <ref id="bridge-fw">.</p></footnote> qui contrôle le pot de miel et un certain type de détecteur d'intrusion réseau, placez-le sur Internet et attendez. Prenez soin de vous assurer d'être averti à temps (consultez <ref id="log-alerts">) si le système est victime d'une exploitation pour que vous puissiez prendre des mesures appropriées et mettre un terme à la compromission après en avoir assez vu. Voici quelques paquets et problèmes à considérer lors de la configuration de pot de miel&nbsp;:

note: type: <p></p>
en: The firewall technology you will use (provided by the Linux kernel).
fr: la technologie pare-feu dont vous aurez besoin (fournie par les noyaux Linux) ;

note: type: <p></p>
en: <package>syslog-ng</package>, useful for sending logs from the honeypot to a remote syslog server.
fr: <package>syslog-ng</package> pour envoyer les journaux du pot de miel vers un serveur de journalisation système distant ;

note: type: <p></p>
en: <package>snort</package>, to set up capture of all the incoming network traffic to the honeypot and detect the attacks.
fr: <package>snort</package> pour configurer la capture de tout le trafic réseau arrivant sur le pot de miel et détecter les attaques ;

note: type: <p></p>
en: <package>osh</package>, a SETUID root, security enhanced, restricted shell with logging (see Lance Spitzner's article below).
fr: <package>osh</package>, un interpréteur de commande restreint à sécurité améliorée et SETUID root avec journalisation (consultez l'article de Lance Spitzner référencé ci-dessous) ;

note: type: <p></p>
en: Of course, all the daemons you will be using for your fake server honeypot. Depending on what type of attacker you want to analyse you will or will <em>not</em> harden the honeypot and keep it up to date with security patches.
fr: tous les démons à utiliser pour le serveur factice pot de miel. Selon le type d'attaque que vous voulez analyser, vous renforcerez <em>ou non</em> le pot de miel et vous le conserverez ou non à jour avec les mises à jour de sécurité ;

note: type: <p></p>
en: Integrity checkers (see <ref id="check-integ">) and The Coroner's Toolkit (<package>tct</package>) to do post-attack audits.
fr: des vérificateurs d'intégrité (consultez <ref id="check-integ">) et la boîte à outils du légiste (The Coroner's Toolkit (<package>tct</package>)) pour faire des audits après l'attaque ;

note: type: <p></p>
en: <package>honeyd</package> and <package>farpd</package> to setup a honeypot that will listen to connections to unused IP addresses and forward them to scripts simulating live services. Also check out <package>iisemulator</package>.
fr: <package>honeyd</package> et <package>farpd</package> pour mettre en place un pot de miel qui écoutera les connexions vers des adresses IP non utilisées et les fera suivre vers des scripts simulant des services actifs. Regardez également <package>iisemulator</package> ;

note: type: <p></p>
en: <package>tinyhoneypot</package> to setup a simple honeypot server with fake services.
fr: <package>tinyhoneypot</package> pour mettre en place un serveur pot de miel simple avec des services factices.

note: type: <p></p>
en: If you cannot use spare systems to build up the honeypots and the network systems to protect and control it you can use the virtualisation technology available in <prgn>xen</prgn> or <prgn>uml</prgn> (User-Mode-Linux). If you take this route you will need to patch your kernel with either <package>kernel-patch-xen</package> or <package>kernel-patch-uml</package>.
fr: Si vous ne pouvez pas utiliser des systèmes de réserve pour construire les pots de miel et les systèmes réseau pour le protéger et le contrôler, vous pouvez utiliser la technologie de virtualisation disponible dans <prgn>xen</prgn> ou <prgn>uml</prgn> (User-Mode-Linux). Si vous choisissez cette route, vous devrez modifier le noyau soit avec <package>kernel-patch-xen</package>, soit avec <package>kernel-patch-uml</package>, ou encore installer l'un des noyaux précompilés disponibles depuis Debian Lenny.

note: type: <p></p>
en: You can read more about building honeypots in Lanze Spitzner's excellent article <url id="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" name="To Build a Honeypot"> (from the Know your Enemy series). Also, the <url id="http://project.honeynet.org/" name="Honeynet Project"> provides valuable information about building honeypots and auditing the attacks made on them.
fr: Vous pouvez en lire plus sur la construction des pots de miel dans l'excellent article <url id="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" name="Construire un pot de miel"> de Lance Spizner (dans la série des « connaissez votre ennemi »). De même, le <url id="http://project.honeynet.org/" name="projet Honeynet"> fournit des informations utiles sur la façon de configurer un pot de miel et de contrôler les résultats d'une attaque.

note: type: <heading></heading>
en: After the compromise (incident response)
fr: Après la compromission (la réponse à l'incident)

note: type: <heading></heading>
en: General behavior
fr: Comportement général

note: type: <p></p>
en: If you are physically present when an attack is happening, your first response should be to remove the machine from the network by unplugging the network card (if this will not adversely affect any business transactions). Disabling the network at layer 1 is the only true way to keep the attacker out of the compromised box (Phillip Hofmeister's wise advice).
fr: Si vous êtes physiquement présent quand l'attaque se déroule et que faire ce qui suit n'a pas d'effet fâcheux sur vos transactions commerciales, la première réaction devrait être de débrancher simplement la machine du réseau en débranchant la carte réseau. La désactivation du réseau à la première couche est le seul vrai moyen de garder un attaquant en dehors d'une machine compromise (conseil avisé de Phillip Hofmeister).

note: type: <p></p>
en: However, some tools installed by rootkits, trojans and, even, a rogue user connected through a back door, might be capable of detecting this event and react to it. Seeing a <tt>rm -rf /</tt> executed when you unplug the network from the system is not really much fun. If you are unwilling to take the risk, and you are sure that the system is compromised, you should <em>unplug the power cable</em> (all of them if more than one) and cross your fingers. This may be extreme but, in fact, will avoid any logic-bomb that the intruder might have programmed. In this case, the compromised system <em>should not be re-booted</em>. Either the hard disks should be moved to another system for analysis, or you should use other media (a CD-ROM) to boot the system and analyze it. You should <em>not</em> use Debian's rescue disks to boot the system, but you <em>can</em> use the shell provided by the installation disks (remember, Alt+F2 will take you to it) to analyze <footnote><p>If you are adventurous, you can login to the system and save information on all running processes (you'll get a lot from /proc/nnn/). It is possible to get the whole executable code from memory, even if the attacker has deleted the executable files from disk. Then pull the power cord.</p></footnote> the system.
fr: Cependant, certains outils installés à l'aide d'un <em>rootkit</em>, d'un cheval de Troie ou même d'un utilisateur malhonnête connecté par une porte dérobée (backdoor), pourraient être capables de détecter cet évènement et d'y réagir. Voir un <tt>rm -rf /</tt> s'exécuter au moment de débrancher le réseau du système n'est pas vraiment très drôle. Si vous ne désirez pas prendre ce risque et que vous êtes certain que le système est compromis, vous devriez <em>débrancher le câble d'alimentation</em> (voire tous, s'il y en a plusieurs) et croiser les doigts. Cela peut sembler extrême, mais en fait cela désamorcera toute bombe à retardement que l'intrus pourrait avoir programmé. Dans ce cas, le système compromis <em>ne doit pas être redémarré</em>. Soit le disque dur devrait être déplacé sur un autre système pour analyse, soit vous devriez utiliser un autre support (un CD) pour amorcer le système et pour l'analyser. Vous <em>ne devriez pas</em> utiliser les disquettes de récupération de Debian pour amorcer le système, mais vous <em>pouvez</em> utiliser l'invite de commande fournie par les disquettes d'installation (Alt+F2 pour l'atteindre) pour analyser<footnote><p>Si vous êtes aventureux, vous pouvez vous connecter au système et sauver les informations sur tous les processus en fonctionnement (vous en aurez beaucoup dans /proc/nnn/). Il est possible d'avoir l'intégralité du code exécutable depuis la mémoire, même si l'attaquant a supprimé les fichiers exécutables du disque. Puis tirez sur le cordon d'alimentation.</p></footnote> le système.

note: type: <p></p>
en: The most recommended method for recovering a compromised system is to use a live-filesystem on CD-ROM with all the tools (and kernel modules) you might need to access the compromised system. You can use the <package>mkinitrd-cd</package> package to build such a CD-ROM<footnote><p>In fact, this is the tool used to build the CD-ROMs for the <url id="http://www.gibraltar.at/" name="Gibraltar"> project (a firewall on a live CD-ROM based on the Debian distribution).</p></footnote>. You might find the <url id="http://www.caine-live.net/" name="Caine"> (Computer Aided Investigative Environment) CD-ROM useful here too, since it's also a live CD-ROM under active development with forensic tools useful in these situations. There is not (yet) a Debian-based tool such as this, nor an easy way to build the CD-ROM using your own selection of Debian packages and <package>mkinitrd-cd</package> (so you'll have to read the documentation provided with it to make your own CD-ROMs).
fr: La méthode recommandée pour récupérer un système compromis est d'utiliser un CD autonome avec tous les outils (et les modules du noyau) dont vous pouvez avoir besoin pour accéder au système compromis. Vous pouvez utiliser le paquet <package>mkinitrd-cd</package> pour construire un tel CD<footnote><p>En fait, c'est l'outil utilisé pour construire les CD pour le projet <url id="http://www.gibraltar.at/" name="Gibraltar"> (un pare-feu sur un CD autonome basé sur la distribution Debian).</p></footnote>. Vous pourriez également trouver le CD <url id="http://www.caine-live.net/" name="Caine"> (Computer Aided Investigative Environment) utile ici, car il s'agit d'un CD autonome activement développé avec des outils d'analyse post mortem utiles dans ces situations. Il n'y a pas (encore) d'outil basé sur Debian comme celui-ci, ni de moyen simple de construire un CD en utilisant sa propre sélection de paquets Debian et <package>mkinitrd-cd</package> (vous devrez donc lire la documentation fournie avec celui-ci pour faire vos propres CD).

note: type: <p></p>
en: If you really want to fix the compromise quickly, you should remove the compromised host from your network and re-install the operating system from scratch. Of course, this may not be effective because you will not learn how the intruder got root in the first place. For that case, you must check everything: firewall, file integrity, log host, log files and so on. For more information on what to do following a break-in, see <url id="http://www.cert.org/tech_tips/root_compromise.html" name="CERT's Steps for Recovering from a UNIX or NT System Compromise"> or SANS's <url id="http://www.sans.org/reading_room/whitepapers/incident/" name="Incident Handling whitepapers">.
fr: Si vous voulez colmater la brèche de sécurité vraiment rapidement, vous devriez retirer l'hôte compromis du réseau et réinstaller le système d'exploitation à partir de zéro. Cela pourrait n'avoir aucun effet si vous ne savez pas comment l'intrus a obtenu les droits du superutilisateur. Dans ce cas vous devez tout vérifier&nbsp;: pare-feu, intégrité des fichiers, les différents journaux de l'hôte de journalisation, etc. Pour plus d'informations sur la marche à suivre après une intrusion, reportez-vous aux documents <url id="http://www.sans.org/reading_room/whitepapers/incident/" name="Incident Handling white papers de SANS"> ou <url id="http://www.cert.org/tech_tips/win-UNIX-system_compromise.html" name="Steps for Recovering from a UNIX or NT System Compromise du CERT">.

note: type: <p></p>
en: Some common questions on how to handle a compromised Debian GNU/Linux system are also available in <ref id="vulnerable-system">.
fr: Certaines questions générales sur la façon de gérer un système Debian GNU/Linux compromis sont également disponibles dans <ref id="vulnerable-system">.

note: type: <heading></heading>
en: Backing up the system
fr: Copies de sauvegarde du système

note: type: <p></p>
en: Remember that if you are sure the system has been compromised you cannot trust the installed software or any information that it gives back to you. Applications might have been trojanized, kernel modules might be installed, etc.
fr: Rappelez-vous que si vous êtes certain que le système a été compromis, vous ne pouvez pas faire confiance aux logiciels qui s'y trouvent ou à n'importe quelle autre information qu'il vous donne. Les applications pourraient dissimuler un cheval de Troie, des modules pourraient être installés dans le noyau, etc.

note: type: <p></p>
en: The best thing to do is a complete file system backup copy (using <prgn>dd</prgn>) after booting from a safe medium. Debian GNU/Linux CD-ROMs can be handy for this since they provide a shell in console 2 when the installation is started (jump to it using Alt+2 and pressing Enter). From this shell, backup the information to another host if possible (maybe a network file server through NFS/FTP). Then any analysis of the compromise or re-installation can be performed while the affected system is offline.
fr: La meilleure chose à faire est une sauvegarde complète du système de fichiers (en utilisant <prgn>dd</prgn>) après avoir démarré depuis un support sûr. Les CD Debian GNU/Linux peuvent être utiles pour cela, car une console en mode texte est disponible dans le deuxième terminal une fois l'installateur démarré (allez-y en pressant CTRL+ALT+F2 suivi de la touche «&nbsp;Entrée&nbsp;»). À partir de cette console, sauvegardez les informations ailleurs si possible (éventuellement sur un serveur de fichiers par NFS ou FTP). Par la suite, vous pourrez analyser les informations pendant que le système compromis est hors-ligne ou réinstallé.

note: type: <p></p>
en: If you are sure that the only compromise is a Trojan kernel module, you can try to run the kernel image from the Debian CD-ROM in <em>rescue</em> mode. Make sure to startup in <em>single user</em> mode, so no other Trojan processes run after the kernel.
fr: Si vous êtes certain que la seule compromission est un cheval de Troie dans l'un des modules du noyau, vous pouvez tenter d'exécuter le noyau à partir du CD en mode <em>rescue</em>. Assurez-vous aussi de démarrer en mode <em>single user</em> de façon à ce qu'aucun autre cheval de Troie ne s'exécute après le redémarrage.

note: type: <heading></heading>
en: Contact your local CERT
fr: Contacter le CERT local

note: type: <p></p>
en: The CERT (Computer and Emergency Response Team) is an organization that can help you recover from a system compromise. There are CERTs worldwide <footnote><p>This is a list of some CERTs, for a full list look at the <url id="http://www.first.org/about/organization/teams/index.html" name="FIRST Member Team information"> (FIRST is the Forum of Incident Response and Security Teams): <url id="http://www.auscert.org.au" name="AusCERT"> (Australia), <url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Mexico) <url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finland), <url id="http://www.dfn-cert.de" name="DFN-CERT"> (Germany), <url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Germany), <url id="http://security.dico.unimi.it/" name="CERT-IT"> (Italy), <url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Japan), <url id="http://cert.uninett.no" name="UNINETT CERT"> (Norway), <url id="http://www.cert.hr" name="HR-CERT"> (Croatia) <url id="http://www.cert.pl" name="CERT Polskay"> (Poland), <url id="http://www.cert.ru" name="RU-CERT"> (Russia), <url id="http://www.arnes.si/si-cert/" name="SI-CERT"> (Slovenia) <url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Spain), <url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Switzerland), <url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taiwan), and <url id="http://www.cert.org" name="CERT/CC"> (US).</p></footnote> and you should contact your local CERT in the event of a security incident which has lead to a system compromise. The people at your local CERT can help you recover from it.
fr: Le CERT (<em>Computer and Emergency Response Team</em>) est une organisation qui peut vous aider à récupérer un système compromis. Il y a des CERT partout dans le monde <footnote><p>Voici une liste de quelques CERT. Pour la liste complète, consultez le <url id="http://www.first.org/about/organization/teams/index.html" name="FIRST Member Team information"> (FIRST est le <em>Forum of Incident Response and Security Teams</em>)&nbsp;: <url id="http://www.auscert.org.au" name="AusCERT"> (Australie), <url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Mexique) <url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finlande), <url id="http://www.dfn-cert.de" name="DFN-CERT"> (Allemagne), <url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Allemagne), <url id="http://security.dico.unimi.it/" name="CERT-IT"> (Italie), <url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Japon), <url id="http://cert.uninett.no" name="UNINETT CERT"> (Norvège), <url id="http://www.cert.hr" name="HR-CERT"> (Croatie) <url id="http://www.cert.pl" name="CERT Polska"> (Pologne), <url id="http://www.cert.ru" name="RU-CERT"> (Russie), <url id="http://www.arnes.si/si-cert/" name="SI-CERT"> (Slovénie) <url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Espagne), <url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Suisse), <url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taïwan) et <url id="http://www.cert.org" name="CERT/CC"> (États-Unis).</p></footnote> et vous devriez contacter le CERT local en cas d'incident de sécurité qui a conduit à une compromission système. Les personnes du CERT local peuvent vous aider à le récupérer.

note: type: <p></p>
en: Providing your local CERT (or the CERT coordination center) with information on the compromise even if you do not seek assistance can also help others since the aggregate information of reported incidents is used in order to determine if a given vulnerability is in wide spread use, if there is a new worm aloft, which new attack tools are being used. This information is used in order to provide the Internet community with information on the <url id="http://www.cert.org/current/" name="current security incidents activity">, and to publish <url id="http://www.cert.org/incident_notes/" name="incident notes"> and even <url id="http://www.cert.org/advisories/" name="advisories">. For more detailed information read on how (and why) to report an incident read <url id="http://www.cert.org/tech_tips/incident_reporting.html" name="CERT's Incident Reporting Guidelines">.
fr: Fournir au CERT (ou au centre de coordination CERT) des informations sur la compromission, même si vous ne demandez pas d'aide, peut également aider d'autres personnes car les informations agrégées des incidents reportés sont utilisées pour déterminer si une faille donnée est répandue, s'il y a un nouveau ver dans la nature, les nouveaux outils d'attaque utilisés. Ces renseignements sont utilisés pour fournir à la communauté Internet des informations sur les <url id="http://www.cert.org/current/" name="activités actuelles des incidents de sécurité"> et pour publier des <url id="http://www.cert.org/incident_notes/" name="notes d'incident"> et même des <url id="http://www.cert.org/advisories/" name="alertes">. Pour des informations plus détaillées sur la façon (et les raisons) de rendre compte d'un incident, veuillez consulter les <url id="http://www.cert.org/tech_tips/incident_reporting.html" name="règles de compte-rendu d'incident du CERT">.

note: type: <p></p>
en: You can also use less formal mechanisms if you need help for recovering from a compromise or want to discuss incident information. This includes the <url id="http://marc.theaimsgroup.com/?l=incidents" name="incidents mailing list"> and the <url id="http://marc.theaimsgroup.com/?l=intrusions" name="Intrusions mailing list">.
fr: Vous pouvez également utiliser un mécanisme moins formel si vous avez besoin d'aide pour récupérer un système compromis ou si vous voulez discuter d'informations d'incident, comme la <url id="http://marc.theaimsgroup.com/?l=incidents" name="liste de diffusion des incidents"> et la <url id="http://marc.theaimsgroup.com/?l=intrusions" name="liste de diffusion des intrusions">.

note: type: <heading></heading>
en: Forensic analysis
fr: Analyse post mortem

note: type: <p></p>
en: If you wish to gather more information, the <package>tct</package> (The Coroner's Toolkit from Dan Farmer and Wietse Venema) package contains utilities which perform a <em>post mortem</em> analysis of a system. <package>tct</package> allows the user to collect information about deleted files, running processes and more. See the included documentation for more information. These same utilities and some others can be found in <url id="http://www.sleuthkit.org/" name="Sleuthkit and Autopsy"> by Brian Carrier, which provides a web front-end for forensic analysis of disk images. In Debian you can find both <package>sleuthkit</package> (the tools) and <package>autopsy</package> (the graphical front-end).
fr: Si vous souhaitez rassembler plus d'informations, le paquet <package>tct</package> (The Coroner's Toolkit de Dan Farmer et Wietse Venema) contient des utilitaires pour effectuer une analyse post mortem d'un système. <package>tct</package> permet à l'utilisateur de collecter des informations sur les fichiers effacés, les processus qui s'exécutent et plus. Consultez la documentation fournie pour plus d'informations. Ces utilitaires, ainsi que quelques autres, sont disponibles dans <url id="http://www.sleuthkit.org/" name="Sleuthkit et Autopsy"> de Brian Carrier. Ils permettent l'analyse post mortem d'une image des disques par une interface Web. Dans Debian, vous trouverez les paquets <package>sleuthkit</package> (les outils) et <package>autopsy</package> (l'interface graphique).

note: type: <p></p>
en: Remember that forensics analysis should be done always on the backup copy of the data, <em>never</em> on the data itself, in case the data is altered during analysis and the evidence is lost.
fr: N'oubliez pas que l'analyse post mortem devrait toujours être faite sur une copie des données et <em>jamais</em> sur les données elles-mêmes. Si ces dernières sont altérées par cette analyse, vous pourriez perdre des indices importants pour comprendre ce qui s'est passé exactement, en plus de rendre les preuves potentiellement non recevables en cour.

note: type: <p></p>
en: You will find more information on forensic analysis in Dan Farmer's and Wietse Venema's <url id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery"> book (available online), as well as in their <url id="http://www.porcupine.org/forensics/column.html" name="Computer Forensics Column"> and their <url id="http://www.porcupine.org/forensics/handouts.html" name="Computer Forensic Analysis Class handouts">. Brian Carrier's newsletter <url id="http://www.sleuthkit.org/informer/index.php" name="The Sleuth Kit Informer"> is also a very good resource on forensic analysis tips. Finally, the <url id="http://www.honeynet.org/misc/chall.html" name="Honeynet Challenges"> are an excellent way to hone your forensic analysis skills as they include real attacks against honeypot systems and provide challenges that vary from forensic analysis of disks to firewall logs and packet captures. For information about available forensics packages in Debian visit <url id="http://forensics.alioth.debian.org/" name="Debian Forensics">
fr: Vous trouverez plus d'informations sur les analyses post mortem dans le livre <url id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery"> (disponible en ligne) de Dan Farmer's et Wietse Venema, ainsi que leur <url id="http://www.porcupine.org/forensics/column.html" name="Computer Forensics Column"> et leur <url id="http://www.porcupine.org/forensics/handouts.html" name="Computer Forensic Analysis Class handouts">. Le bulletin de Brian Carrier, <url id="http://www.sleuthkit.org/informer/index.php" name="The Sleuth Kit Informer">, est également une très bonne source d'astuces pour les analyses post mortem. Finalement, le <url id="http://www.honeynet.org/misc/chall.html" name="Honeynet Challenges"> est une excellente façon de peaufiner vos compétences en analyse post mortem puisqu'ils contiennent des attaques réelles contre des <em>pots de miel</em> et procurent des défis qui vont de l'analyse post mortem de disques durs à l'analyse des journaux des pare-feu et la capture de paquets. Pour obtenir des renseignements sur les paquets d'analyse post mortem dans Debian, consultez <url id="http://forensics.alioth.debian.org/" name="Debian Forensics">.

note: type: <p></p>
en: FIXME: This paragraph will hopefully provide more information about forensics in a Debian system in the coming future.
fr: FIXME : Ce paragraphe fournira, dans un avenir proche je l'espère, plus d'informations sur l'analyse post mortem d'un système Debian.

note: type: <p></p>
en: FIXME: Talk on how to do a debsums on a stable system with the MD5sums on CD and with the recovered file system restored on a separate partition.
fr: FIXME : Décrire comment utiliser debsums sur un système stable avec les md5sums sur un CD et le système de fichiers récupéré restauré sur une partition séparée.

note: type: <p></p>
en: FIXME: Add pointers to forensic analysis papers (like the Honeynet's reverse challenge or <url id="http://staff.washington.edu/dittrich/" name="David Dittrich's papers">).
fr: FIXME : Ajouter des liens vers des articles d'analyse post mortem (tel que le défi inversé de Honeynet ou les <url id="http://staff.washington.edu/dittrich/" name="articles de David Dittrich">).

note: type: <heading></heading>
en: Analysis of malware
fr: Analyse des programmes malveillants (malware)

note: type: <p><list>
en: Some other tools that can be used for forensic analysis provided in the Debian distribution are:
fr: D'autres outils permettant l'analyse post mortem sont disponibles pour la distribution Debian&nbsp;:

note: type: <p></p>
en: <package>strace</package>.
fr: <package>strace</package> ;

note: type: <p></p>
en: Any of these packages can be used to analyze rogue binaries (such as back doors), in order to determine how they work and what they do to the system. Some other common tools include <prgn>ldd</prgn> (in <package>libc6</package>), <prgn>strings</prgn> and <prgn>objdump</prgn> (both in <package>binutils</package>).
fr: L'un de ces paquets peut être utilisé pour analyser des binaires dangereux (comme des portes dérobées) afin de déterminer comment ils fonctionnent et ce qu'ils font au système. <prgn>ldd</prgn> (dans <package>libc6</package>), <prgn>strings</prgn> et <prgn>objdump</prgn> (tous deux dans <package>binutils</package>) font aussi partie des outils fréquemment utilisés.

note: type: <p></p>
en: If you try to do forensic analysis with back doors or suspected binaries retrieved from compromised systems, you should do so in a secure environment (for example in a <package>bochs</package> or <package>xen</package> image or a <prgn>chroot</prgn>'ed environment using a user with low privileges<footnote><p>Be <em>very</em> careful if using chroots, since if the binary uses a kernel-level exploit to increase its privileges it might still be able to infect your system</p></footnote>). Otherwise your own system can be back doored/r00ted too!
fr: Pour faire l'autopsie de binaires suspects ou contenant des portes dérobées récupérés d'un système compromis, vous devriez utiliser un environnement sécurisé (par exemple, dans une image <package>bochs</package>, <package>xen</package> ou un environnement <prgn>chroot</prgn>é en utilisant un compte ayant peu de droits<footnote><p>Faites <em>très</em> attention si vous utilisez <prgn>chroot</prgn>, car si le programme utilise une faille de sécurité au niveau du noyau afin d'accroître ses droits, il pourrait tout de même réussir à compromettre le système.</p></footnote>). Le système pourrait être victime de la porte dérobée et compromis à son tour si vous ne prenez pas garde !

note: type: <p></p>
en: If you are interested in malware analysis then you should read the <url id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" name="Malware Analysis Basics"> chapter of Dan Farmer's and Wietse Venema's forensics book.
fr: Si vous êtes intéressé par les programmes malveillants, alors vous devriez lire le chapitre <url id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" name="Malware Analysis Basics"> du livre <url id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery"> de Dan Farmer et Wietse Venema.

note: type: <heading></heading>
en: Frequently asked Questions (FAQ)
fr: Foire Aux Questions (FAQ)

note: type: <p></p>
en: This chapter introduces some of the most common questions from the Debian security mailing list. You should read them before posting there or else people might tell you to RTFM.
fr: Ce chapitre introduit quelques questions qui reviennent souvent sur la liste de diffusion de sécurité. Vous devriez les consulter avant de poster sur la liste ou certains pourraient vous dire d'aller RTFM.

note: type: <heading></heading>
en: Security in the Debian operating system
fr: La sécurité dans le système d'exploitation Debian

note: type: <heading></heading>
en: Is Debian more secure than X?
fr: Debian est-elle plus sûre que X&nbsp;?

note: type: <p></p>
en: A system is only as secure as its administrator is capable of making it. Debian's default installation of services aims to be <em>secure</em>, but may not be as paranoid as some other operating systems which install all services <em>disabled by default</em>. In any case, the system administrator needs to adapt the security of the system to his local security policy.
fr: Un système est aussi sûr que l'administrateur est capable de le rendre. Debian essaie d'installer les services d'une façon <em>sûre par défaut</em>, mais elle n'est peut-être pas aussi paranoïaque que d'autres systèmes d'exploitation qui installent tous les services <em>désactivés par défaut</em>. Toutefois, l'administrateur système a besoin d'adapter la sécurité du système à la politique de sécurité locale.

note: type: <p></p>
en: For a collection of data regarding security vulnerabilities for many operating systems, see the <url id="http://www.cert.org/stats/cert_stats.html" name="US-CERT stats"> or generate stats using the <url id="http://nvd.nist.gov/statistics.cfm" name="National Vulnerability Database"> (formerly ICAT) Is this data useful? There are several factors to consider when interpreting the data, and it is worth noticing that the data cannot be used to compare the vulnerabilities of one operating system versus another.<footnote><p>For example, based on some data, it might seem that Windows NT is more secure than Linux, which is a questionable assertion. After all, Linux distributions usually provide many more applications compared to Microsoft's Windows NT. This <em>counting vulnerabilities</em> issues are better described in <url id="http://www.dwheeler.com/oss_fs_why.html#security" name="Why Open Source Software / Free Software (OSS/FS)? Look at the Numbers!"> by David A. Wheeler</p></footnote> Also, keep in mind that some reported vulnerabilities regarding Debian apply only to the <em>unstable</em> (i.e. unreleased) branch.
fr: Pour une liste des données concernant les failles de sécurité pour plusieurs systèmes d'exploitation, consultez les <url id="http://www.cert.org/stats/cert_stats.html" name="statistiques de US-CERT"> ou générez des statistiques en utilisant la <url id="http://nvd.nist.gov/statistics.cfm" name="base de données nationale de vulnérabilités"> (anciennement ICAT). Est-ce que ces données sont utiles&nbsp;? Plusieurs facteurs sont à considérer pour l'interprétation des données, mais remarquez qu'elles ne permettent pas de comparer les failles d'un système d'exploitation par rapport à un autre.<footnote><p>Par exemple, à partir de certaines données, Windows NT semblerait plus sûr que Linux, ce qui est une assertion discutable. Après tout, les distributions Linux fournissent habituellement beaucoup plus d'applications par rapport à Windows NT de Microsoft. Ces problèmes de <em>failles comptabilisées</em> sont mieux décrits dans <url id="http://www.dwheeler.com/oss_fs_why.html#security" name="Pourquoi des logiciels libres ? Regardez les chiffres !"> de David A. Wheeler.</p></footnote> Rappelez-vous également que certaines failles signalées concernant Debian ne s'appliquent qu'à la branche <em>unstable</em> (c'est-à-dire non publiée).

note: type: <heading></heading>
en: Is Debian more secure than other Linux distributions (such as Red Hat, SuSE...)?
fr: Debian est-elle mieux sécurisée que d'autres distributions Linux (comme Red Hat, SuSE, etc.) ?

note: type: <p></p>
en: There are not really many differences between Linux distributions, with exceptions to the base installation and package management system. Most distributions share many of the same applications, with differences mainly in the versions of these applications that are shipped with the distribution's stable release. For example, the kernel, Bind, Apache, OpenSSH, Xorg, gcc, zlib, etc. are all common across Linux distributions.
fr: Peu de grandes différences existent entre les distributions Linux, à l'exception de l'installation de base et du système de gestion des paquets. La plupart des distributions partagent une grande partie des mêmes applications, les différences étant seulement dans les versions de ces applications livrées avec la version stable de la distribution. Par exemple, le noyau, BIND, Apache, OpenSSH, Xorg, gcc, zlib, etc. sont tous communs entre les distributions Linux.

note: type: <p></p>
en: For example, Red Hat was unlucky and shipped when foo 1.2.3 was current, which was then later found to have a security hole. Debian, on the other hand, was lucky enough to ship foo 1.2.4, which incorporated the bug fix. That was the case in the big <url id="http://www.cert.org/advisories/CA-2000-17.html" name="rpc.statd"> problem from a couple years ago.
fr: Par exemple, Red Hat a joué de malchance et a livré une version stable quand truc était en version 1.2.3, où une faille sécurité a été découverte plus tard. Debian, d'un autre côté, a été plus chanceuse de livrer truc 1.2.4, qui contient la correction du bogue. Cela a été le cas avec le gros problème de <url id="http://www.cert.org/advisories/CA-2000-17.html" name="rpc.statd"> il y quelques années.

note: type: <p></p>
en: There is a lot of collaboration between the respective security teams for the major Linux distributions. Known security updates are rarely, if ever, left unfixed by a distribution vendor. Knowledge of a security vulnerability is never kept from another distribution vendor, as fixes are usually coordinated upstream, or by <url id="http://www.cert.org" name="CERT">. As a result, necessary security updates are usually released at the same time, and the relative security of the different distributions is very similar.
fr: Beaucoup de collaboration existe entre les équipes de sécurité respectives des distributions Linux majeures. Les mises à jour de sécurité connues sont rarement, voire jamais, laissées non corrigées par un distributeur. La connaissance d'une faille de sécurité n'est jamais cachée à un autre distributeur, tout comme les corrections sont habituellement coordonnées en amont ou par le <url id="http://www.cert.org" name="CERT">. Par conséquent, les mises à jour de sécurité nécessaires sont habituellement diffusés en même temps et la sécurité relative des différentes distributions est très semblable.

note: type: <p><list>
en: One of Debian's main advantages with regards to security is the ease of system updates through the use of <prgn>apt</prgn>. Here are some other aspects of security in Debian to consider:
fr: L'un des principaux avantages de Debian concernant la sécurité est la facilité des mises à jour du système par l'utilisation d'<prgn>apt</prgn>. Voici quelques autres aspects de la sécurité dans Debian à considérer.

note: type: <p></p>
en: Debian provides more security tools than other distributions, see <ref id="sec-tools">.
fr: Debian fournit plus d'outils de sécurité que les autres distributions, consultez <ref id="sec-tools">.

note: type: <p></p>
en: Debian's standard installation is smaller (less functionality), and thus more secure. Other distributions, in the name of usability, tend to install many services by default, and sometimes they are not properly configured (remember the <url id="http://www.sophos.com/virusinfo/analyses/linuxlion.html" name="Lion"> <url id="http://www.sophos.com/virusinfo/analyses/linuxramen.html" name="Ramen">). Debian's installation is not as limited as OpenBSD (no daemons are active per default), but it's a good compromise. <footnote><p>Without diminishing the fact that some distributions, such as Red Hat or Mandrake, are also taking into account security in their standard installations by having the user select <em>security profiles</em>, or using wizards to help with configuration of <em>personal firewalls</em>.</p></footnote>
fr: L'installation standard de Debian est plus petite (moins de fonctionnalités) et donc plus sûre. Les autres distributions, au nom de l'utilisabilité, ont tendance à installer plusieurs services par défaut et parfois, ils ne sont pas configurés correctement (rappelez-vous de <url id="http://www.sophos.com/virusinfo/analyses/linuxlion.html" name="Lion"> et <url id="http://www.sophos.com/virusinfo/analyses/linuxramen.html" name="Ramen">). L'installation de Debian n'est pas aussi limitée que celle d'OpenBSD (aucun démon n'est activé par défaut), mais c'est un bon compromis.<footnote><p>Sans diminuer le fait que d'autres distributions, comme Red Hat ou Mandrake, prennent aussi en compte la sécurité dans leurs installations standard en demandant à l'utilisateur de sélectionner des <em>profils de sécurité</em> ou en utilisant des assistants pour configurer des <em>pare-feu personnels</em>.</p></footnote>

note: type: <p></p>
en: Debian documents best security practices in documents like this one.
fr: Debian documente les meilleures pratiques de sécurité dans des documents comme celui-ci.

note: type: <heading></heading>
en: There are many Debian bugs in Bugtraq. Does this mean that it is very vulnerable?
fr: De nombreux bogues Debian sont dans Bugtraq, cela la rend-elle plus vulnérable&nbsp;?

note: type: <p></p>
en: The Debian distribution boasts a large and growing number of software packages, probably more than provided by many proprietary operating systems. The more packages installed, the greater the potential for security issues in any given system.
fr: Debian distribue un grand nombre, en augmentation constante, de paquets logiciels, probablement plus que la plupart des systèmes d'exploitation propriétaires. Par conséquent le risque est plus grand de trouver des logiciels victimes de failles de sécurité exploitables que sur les systèmes contenant moins de logiciels.

note: type: <p></p>
en: More and more people are examining source code for flaws. There are many advisories related to source code audits of the major software components included in Debian. Whenever such source code audits turn up security flaws, they are fixed and an advisory is sent to lists such as Bugtraq.
fr: De plus en plus de personnes examinent le code source à la recherche de failles. De nombreux annonces sont liées à des audits de code source effectués sur des composants logiciels majeurs livrés dans Debian. Lorsqu'un de ces audits de code source fait ressortir une faille majeur, elle est réparée et une alerte est envoyée aux listes comme celle de BugTraq.

note: type: <p></p>
en: Bugs that are present in the Debian distribution usually affect other vendors and distributions as well. Check the "Debian specific: yes/no" section at the top of each advisory (DSA).
fr: Les bogues présents dans la distribution Debian affectent également d'autres distributeurs et distributions. Vérifiez la partie « Debian specific: yes/no » en haut de chaque annonce (DSA).

note: type: <heading></heading>
en: Does Debian have any certification related to security?
fr: Debian possède-t-elle une certification relative à la sécurité&nbsp;?

note: type: <p></p>
en: Short answer: no.
fr: Réponse courte&nbsp;: non.

note: type: <p></p>
en: Long answer: certification costs money (specially a <em>serious</em> security certification), nobody has dedicated the resources in order to certify Debian GNU/Linux to any level of, for example, the <url id="http://niap.nist.gov/cc-scheme/st/" name="Common Criteria">. If you are interested in having a security-certified GNU/Linux distribution, try to provide the resources needed to make it possible.
fr: Réponse longue&nbsp;: la certification coûte de l'argent (particulièrement, une certification de sécurité <em>sérieuse</em> et personne n'a attribué de ressources pour faire certifier la distribution Debian GNU/Linux à n'importe quel niveau que ce soit, par exemple, la Common Criteria. Si vous êtes intéressé par l'obtention d'une distribution GNU/Linux certifiée, essayez de fournir les ressources pour que cela devienne possible.

note: type: <p></p>
en: There are currently at least two linux distributions certified at different <url id="http://en.wikipedia.org/wiki/Evaluation_Assurance_Level" name="EAL"> levels. Notice that some of the CC tests are being integrated into the <url id="http://ltp.sourceforge.net" name="Linux Testing Project"> which is available in Debian in the <package>ltp</package>.
fr: Au moins deux distributions Linux sont actuellement certifiées à différents niveaux <url id="http://fr.wikipedia.org/wiki/Evaluation_Assurance_Level" name="EAL">. Remarquez que certains des tests CC sont en cours d'intégration dans le <url id="http://ltp.sourceforge.net" name="Linux Testing Project"> disponible dans le paquet Debian <package>ltp</package>.

note: type: <heading></heading>
en: Are there any hardening programs for Debian?
fr: Existe-t-il un programme de durcissement pour Debian&nbsp;?

note: type: <p></p>
en: Yes. <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux">, originally oriented toward other Linux distributions (Red Hat and Mandrake), it currently works also for Debian. Steps are being taken to integrate the changes made to the upstream version into the Debian package, named <package>bastille</package>.
fr: Oui. <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux">, orienté à la base vers certaines distributions Linux (Red Hat et Mandrake), cela fonctionne actuellement aussi sur Debian. Des étapes sont prévues pour intégrer les changements de la version amont dans le paquet Debian nommé <package>bastille</package>.

note: type: <p></p>
en: Some people believe, however, that a hardening tool does not eliminate the need for good administration.
fr: Certains pensent, cependant, qu'un outil de durcissement n'élimine pas la nécessité d'une bonne administration.

note: type: <heading></heading>
en: I want to run XYZ service, which one should I choose?
fr: Je veux fournir le service XYZ, lequel dois-je choisir&nbsp;?

note: type: <p><list>
en: One of Debian's great strengths is the wide variety of choice available between packages that provide the same functionality (DNS servers, mail servers, ftp servers, web servers, etc.). This can be confusing to the novice administrator when trying to determine which package is right for you. The best match for a given situation depends on a balance between your feature and security needs. Here are some questions to ask yourself when deciding between similar packages:
fr: L'une des grandes forces de Debian est la grande variété de choix disponibles entre les paquets fournissant la même fonctionnalité (serveurs DNS, serveurs de messagerie, serveurs FTP, serveurs web, etc.). Cela peut être déroutant pour l'administrateur débutant lorsqu'il essaie de déterminer l'outil adapté à son besoin. Le meilleur choix dans une situation donnée dépend d'un équilibre entre les fonctionnalités et la sécurité nécessaires. Voici quelques questions à se poser pour choisir parmi des paquets semblables.

note: type: <p></p>
en: Is the software maintained upstream? When was the last release?
fr: Est-ce que le logiciel est maintenu en amont&nbsp;? De quand date la dernière version ?

note: type: <p></p>
en: Is the package mature? The version number really does <em>not</em> tell you about its maturity. Try to trace the software's history.
fr: Le paquet est-il mûr&nbsp;? Le numéro de version n'indiquera vraiment <em>rien</em> concernant sa maturité. Essayez de tracer l'histoire du logiciel.

note: type: <p></p>
en: Is the software bug-ridden? Have there been security advisories related to it?
fr: Est-ce que le logiciel est truffé de bogues&nbsp;? Y a-t-il eu des alertes de sécurité liées au logiciel&nbsp;?

note: type: <p></p>
en: Does the software provide all the functionality you need? Does it provide more than you really need?
fr: Est-ce que le logiciel fournit toutes les fonctionnalités nécessaires ? Fournit-il plus que le nécessaire ?

note: type: <heading></heading>
en: How can I make service XYZ more secure in Debian?
fr: Comment mieux sécuriser le service XYZ dans Debian&nbsp;?

note: type: <p></p>
en: You will find information in this document to make some services (FTP, Bind) more secure in Debian GNU/Linux. For services not covered here, check the program's documentation, or general Linux information. Most of the security guidelines for Unix systems also apply to Debian. In most cases, securing service X in Debian is like securing that service in any other Linux distribution (or Un*x, for that matter).
fr: Les informations disponibles dans ce document vous permettront de rendre certains services (FTP, BIND) plus sécurisés dans Debian GNU/Linux. Toutefois, pour les services non abordés ici, vous pouvez vérifier la documentation des programmes ou les informations générales sur Linux. La plupart des directives concernant la sécurité des systèmes UNIX peut également s'appliquer à Debian. Ainsi, la sécurisation d'un service X dans Debian revient, la plupart du temps, à sécuriser un service dans n'importe quelle autre distribution Linux (ou UNIX, peu importe).

note: type: <heading></heading>
en: How can I remove all the banners for services?
fr: Comment supprimer toutes les informations de version pour les services&nbsp;?

note: type: <p><example>
en: If you do not like users connecting to your POP3 daemon, for example, and retrieving information about your system, you might want to remove (or change) the banner the service shows to users. <footnote><p>Note that this is 'security by obscurity', and will probably not be worth the effort in the long term.</p></footnote> Doing so depends on the software you are running for a given service. For example, in <prgn>postfix</prgn>, you can set your SMTP banner in <file>/etc/postfix/main.cf</file>:
fr: Si vous ne voulez pas que des utilisateurs se connectent au démon POP3, par exemple, et récupèrent des renseignements sur le système, vous pourriez supprimer (ou modifier) les versions affichées aux utilisateurs. <footnote><p>Notez que c'est de la «&nbsp;sécurité par l'obscurité&nbsp;» et ne vaudra probablement pas l'effort à long terme.</p></footnote> Faire cela dépend du logiciel que vous utilisez pour un service donné. Par exemple, dans <prgn>postfix</prgn>, vous pouvez placer la bannière SMTP suivante ans <file>/etc/postfix/main.cf</file>&nbsp;:

note: type: <p></p>
en: Other software is not as easy to change. <package>ssh</package> will need to be recompiled in order to change the version that it prints. Take care not to remove the first part (<tt>SSH-2.0</tt>) of the banner, which clients use to identify which protocol(s) is supported by your package.
fr: D'autres logiciels ne sont pas aussi faciles à modifier. <package>SSH</package> devra être recompilé pour pouvoir modifier la version affichée. Prenez garde à ne pas supprimer la première partie (<tt>SSH-2.0</tt>) de la bannière, car les clients l'utilisent pour identifier les protocoles pris en charge par le paquet.

note: type: <heading></heading>
en: Are all Debian packages safe?
fr: Les paquets Debian sont-ils tous sûrs&nbsp;?

note: type: <p></p>
en: The Debian security team cannot possibly analyze all the packages included in Debian for potential security vulnerabilities, since there are just not enough resources to source code audit the whole project. However, Debian does benefit from the source code audits made by upstream developers.
fr: L'équipe de sécurité Debian ne peut pas analyser tous les paquets inclus dans Debian pour tester des potentielles failles de sécurité, simplement à cause du manque de ressources pour contrôler le code source de l'ensemble du projet. Cependant Debian bénéficie des audits de code source réalisés par des développeurs amont.

note: type: <p></p>
en: As a matter of fact, a Debian developer could distribute a Trojan in a package, and there is no possible way to check it out. Even if introduced into a Debian branch, it would be impossible to cover all the possible situations in which the Trojan would execute. This is why Debian has a <em>"no guarantees"</em> license clause.
fr: De fait, un développeur Debian pourrait distribuer un cheval de Troie dans un paquet sans moyen de le vérifier. Même s'il était introduit dans une branche Debian, il serait impossible de couvrir toutes les situations imaginables dans lesquelles le cheval de Troie pourrait agir. C'est pourquoi Debian a une clause de licence de <em>«&nbsp;non garantie&nbsp;»</em>.

note: type: <p></p>
en: However, Debian users can take confidence in the fact that the stable code has a wide audience and most problems would be uncovered through use. Installing untested software is not recommended in a critical system (if you cannot provide the necessary code audit). In any case, if there were a security vulnerability introduced into the distribution, the process used to include packages (using digital signatures) ensures that the problem can be ultimately traced back to the developer. The Debian project has not taken this issue lightly.
fr: Cependant, les utilisateurs Debian peuvent être assurés que le code stable rassemble une large audience et que la plupart des problèmes seront découverts pendant l'utilisation. Installer des logiciels non testés dans un système critique n'est pas recommandé (si vous ne pouvez pas fournir l'audit de code nécessaire). Dans tous les cas, si des failles de sécurité étaient intégrées à la distribution, le processus permettant d'inclure les paquets (utilisation de signature numérique) assure que le problème pourra être remonté jusqu'au développeur, et que le projet Debian ne prend pas cela à la légère.

note: type: <heading></heading>
en: Why are some log files/configuration files world-readable, isn't this insecure?
fr: Pourquoi certains fichiers journaux ou fichiers de configuration sont-ils lisibles par tous les utilisateurs, est-ce que c'est sûr&nbsp;?

note: type: <p></p>
en: Of course, you can change the default Debian permissions on your system. The current policy regarding log files and configuration files is that they are world readable <em>unless</em> they provide sensitive information.
fr: Vous pouvez bien sûr modifier les permissions Debian par défaut du système. La règle actuelle concernant les fichiers journaux et les fichiers de configuration est qu'ils doivent être lisibles par tous les utilisateurs <em>sauf</em> s'ils fournissent des informations sensibles.

note: type: <p><list>
en: Be careful if you do make changes since:
fr: Soyez attentifs si vous faites des modifications car&nbsp;:

note: type: <p></p>
en: Processes might not be able to write to log files if you restrict their permissions.
fr: des processus pourraient ne plus pouvoir écrire dans des fichiers journaux si leurs permissions ont été restreintes ;

note: type: <p></p>
en: Some applications may not work if the configuration file they depend on cannot be read. For example, if you remove the world-readable permission from <file>/etc/samba/smb.conf</file>, the <prgn>smbclient</prgn> program will not work when run by a normal user.
fr: certains applications peuvent ne pas fonctionner si le fichier de configuration dont elles dépendent est illisible. Par exemple, si vous supprimez la permission en lecture pour tous les utilisateurs de <file>/etc/samba/smb.conf</file>, le programme <prgn>smbclient</prgn> ne pourra pas fonctionner pour un utilisateur normal.

note: type: <p></p>
en: FIXME: Check if this is written in the Policy. Some packages (i.e. ftp daemons) seem to enforce different permissions.
fr: FIXME : Vérifier si c'est écrit dans la Charte. Certains paquets (par exemple, les démons FTP) semblent nécessiter différentes permissions.

note: type: <heading></heading>
en: Why does /root/ (or UserX) have 755 permissions?
fr: Pourquoi est-ce que /root/ (ou UserX) a 755 comme permissions&nbsp;?

note: type: <p></p>
en: As a matter of fact, the same questions stand for any other user. Since Debian's installation does not place <em>any</em> file under that directory, there's no sensitive information to protect there. If you feel these permissions are too broad for your system, consider tightening them to 750. For users, read <ref id="limit-user-perm">.
fr: De fait, la même question s'applique pour tout autre utilisateur. Comme l'installation de Debian ne place <em>aucun</em> fichier dans ce répertoire, il n'y a aucune information sensible à y protéger. Si vous pensez que ces permissions sont trop laxistes pour le système, vous pouvez les renforcer en 750. Pour les utilisateurs, veuillez lire <ref id="limit-user-perm">.

note: type: <p></p>
en: This Debian security mailing list <url id="http://lists.debian.org/debian-devel/2000/debian-devel-200011/msg00783.html" name="thread"> has more on this issue.
fr: Ce <url id="http://lists.debian.org/debian-devel/2000/debian-devel-200011/msg00783.html" name="fil"> de la liste de diffusion de sécurité Debian contient plus d'informations sur ce problème.

note: type: <heading></heading>
en: After installing a grsec/firewall, I started receiving many console messages! How do I remove them?
fr: Après l'installation de grsec ou d'un pare-feu, j'ai commencé à recevoir beaucoup de messages de console&nbsp;! Comment les supprimer&nbsp;?

note: type: <p></p>
en: If you are receiving console messages, and have configured <file>/etc/syslog.conf</file> to redirect them to either files or a special TTY, you might be seeing messages sent directly to the console.
fr: Si vous recevez des messages en console et que <file>/etc/syslog.conf</file> est configuré pour les rediriger dans des fichiers ou dans un TTY spécial, vous pourriez voir des messages envoyés directement en console.

note: type: <p></p>
en: The default console log level for any given kernel is 7, which means that any message with lower priority will appear in the console. Usually, firewalls (the LOG rule) and some other security tools log lower that this priority, and thus, are sent directly to the console.
fr: Le niveau de journalisation en console par défaut est 7 quel que soit le noyau, donc tous les messages avec une priorité inférieure apparaîtront dans la console. En général, les pare-feu (la règle LOG) et d'autres outils de sécurité journalisent à des priorités inférieures donc les messages sont envoyés directement en console.

note: type: <p><example>
en: To reduce messages sent to the console, you can use <prgn>dmesg</prgn> (<tt>-n</tt> option, see <manref name="dmesg" section="8">), which examines and <em>controls</em> the kernel ring buffer. To fix this after the next reboot, change <file>/etc/init.d/klogd</file> from:
fr: Pour réduire les messages envoyés en console, vous pouvez utiliser <prgn>dmesg</prgn> (l'option <tt>-n</tt>, consultez <manref section="8" name="dmesg">), qui examine et <em>contrôle</em> le tampon anneau du noyau. Pour corriger cela après le prochain redémarrage, modifiez <file>/etc/init.d/klogd</file> en substituant :

note: type: <p><example>
en: Use a lower number for <tt>-c</tt> if you are still seeing them. A description of the different log levels can be found in <file>/usr/include/sys/syslog.h</file>:
fr: Utilisez un nombre plus petit pour <tt>-c</tt> si vous les voyez toujours. Une description des différents niveaux de journalisation est disponible dans <file>/usr/include/sys/syslog.h</file> :

note: type: <example></example>
en:   #define LOG_EMERG       0       /* system is unusable */
      #define LOG_ALERT       1       /* action must be taken immediately */
      #define LOG_CRIT        2       /* critical conditions */
      #define LOG_ERR         3       /* error conditions */
      #define LOG_WARNING     4       /* warning conditions */
      #define LOG_NOTICE      5       /* normal but significant condition */
      #define LOG_INFO        6       /* informational */
      #define LOG_DEBUG       7       /* debug-level messages */
fr:   #define LOG_EMERG   0  /* le système est inutilisable */
      #define LOG_ALERT   1  /* une action doit être entreprise immédiatement */
      #define LOG_CRIT    2  /* conditions critiques */
      #define LOG_ERR     3  /* conditions d'erreur */
      #define LOG_WARNING 4  /* conditions d'avertissement */
      #define LOG_NOTICE  5  /* normal, mais conditions significatives */
      #define LOG_INFO    6  /* informatif */
      #define LOG_DEBUG   7  /* messages de débogage */

note: type: <heading></heading>
en: Operating system users and groups
fr: Les utilisateurs et les groupes du système d'exploitation

note: type: <heading></heading>
en: Are all system users necessary?
fr: Tous les utilisateurs systèmes sont-ils nécessaires&nbsp;?

note: type: <p></p>
en: Yes and no. Debian comes with some predefined users (user id (UID) &lt; 99 as described in <url id="http://www.debian.org/doc/debian-policy/" name="Debian Policy"> or <file>/usr/share/doc/base-passwd/README</file>) to ease the installation of some services that require that they run under an appropriate user/UID. If you do not intend to install new services, you can safely remove those users who do not own any files in your system and do not run any services. In any case, the default behavior is that UID's from 0 to 99 are reserved in Debian, and UID's from 100 to 999 are created by packages on install (and deleted when the package is purged).
fr: Oui et non. Debian est livrée avec certains utilisateurs prédéfinis (identifiant utilisateur (UID) &lt; 99 comme décrit dans la <url id="http://www.debian.org/doc/debian-policy/" name="Charte Debian"> ou <file>/usr/share/doc/base-passwd/README</file>) afin de faciliter l'installation de certains services qui imposent d'être lancés par un utilisateur ayant un UID approprié. Si vous n'avez pas l'intention d'installer de nouveaux services, vous pouvez supprimer sans problème ces utilisateurs qui ne possèdent aucun fichier sur le système et n'exécutent aucun service. Dans tous les cas, le comportement par défaut est que les UID de 0 à 99 sont réservées dans Debian et les UID de 100 à 999 sont crées par des paquets lors de l'installation (et supprimées quand le paquet est purgé).

note: type: <p><example>
en: To easily find users who don't own any files, execute the following command<footnote><p>Be careful, as this will traverse your whole system. If you have a lot of disk and partitions you might want to reduce it in scope.</p></footnote> (run it as root, since a common user might not have enough permissions to go through some sensitive directories):
fr: Vous pouvez facilement trouver les utilisateurs ne possédant aucun fichier en exécutant la commande suivante<footnote><p>Prenez garde, car cela parcourt tout le système. Si vous avez beaucoup de disques et partitions, vous pourriez réduire sa portée.</p></footnote> (assurez-vous de l'exécuter en tant que superutilisateur, étant donné qu'un utilisateur ordinaire pourrait ne pas avoir les droits nécessaires pour accéder à certains répertoires sensibles)&nbsp;:

note: type: <example></example>
en:   cut -f 1 -d : /etc/passwd | \
      while read i; do find / -user "$i" | grep -q . || echo "$i"; done
fr: cut -f 1 -d : /etc/passwd |
    while read i; do find / -user "$i" | grep -q . || echo "$i"; done

note: type: <p><list>
en: These users are provided by <package>base-passwd</package>. Look in its documentation for more information on how these users are handled in Debian. The list of default users (with a corresponding group) follows:
fr: Ces utilisateurs sont fournis par <package>base-passwd</package>. Vous trouverez dans sa documentation plus d'informations sur la manière dont ces utilisateurs sont gérés dans Debian. Voici la liste des utilisateurs par défaut (avec un groupe correspondant).

note: type: <p></p>
en: root: Root is (typically) the superuser.
fr: root&nbsp;: c'est (typiquement) le superutilisateur.

note: type: <p></p>
en: daemon: Some unprivileged daemons that need to write to files on disk run as daemon.daemon (e.g., <prgn>portmap</prgn>, <prgn>atd</prgn>, probably others). Daemons that don't need to own any files can run as nobody.nogroup instead, and more complex or security conscious daemons run as dedicated users. The daemon user is also handy for locally installed daemons.
fr: daemon&nbsp;: quelques démons sans droit ont besoin de pouvoir écrire certains fichiers du disque en tant que daemon:daemon (par exemple, <prgn>portmap</prgn>, <prgn>atd</prgn>, et probablement d'autres). Les démons qui n'ont besoin d'aucune appartenance de fichier peuvent tourner en tant que nobody:nogroup, et des démons plus complexes ou plus consciencieux de la sécurité tournent en tant qu'utilisateurs spécifiques. L'utilisateur daemon est aussi utile pour les démons installés localement.

note: type: <p></p>
en: bin: maintained for historic reasons.
fr: bin&nbsp;: maintenu pour des raisons historiques.

note: type: <p></p>
en: sys: same as with bin. However, /dev/vcs* and <file>/var/spool/cups</file> are owned by group sys.
fr: sys&nbsp;: comme bin. Toutefois, /dev/vcs* et <file>/var/spool/cups</file> appartiennent au groupe sys.

note: type: <p></p>
en: sync: The shell of user sync is <file>/bin/sync</file>. Thus, if its password is set to something easy to guess (such as ""), anyone can sync the system at the console even if they have don't have an account.
fr: sync&nbsp;: l'interpréteur de commandes de l'utilisateur sync est /bin/sync. Donc, si son mot de passe est quelque chose de facile à deviner (comme «  »), n'importe qui peut synchroniser le système depuis la console même sans compte sur le système.

note: type: <p></p>
en: games: Many games are SETGID to games so they can write their high score files. This is explained in policy.
fr: games&nbsp;: de nombreux jeux sont SETGID à games pour pouvoir écrire dans les fichiers des meilleurs scores. C'est expliqué dans la Charte.

note: type: <p></p>
en: man: The man program (sometimes) runs as user man, so it can write cat pages to <file>/var/cache/man</file>
fr: man&nbsp;: le programme man est (parfois) lancé en tant qu'utilisateur man, il peut alors écrire les pages cat vers <file>/var/cache/man</file>.

note: type: <p></p>
en: lp: Used by printer daemons.
fr: lp&nbsp;: utilisé par les démons d'impression.

note: type: <p></p>
en: mail: Mailboxes in <file>/var/mail</file> are owned by group mail, as explained in policy. The user and group are used for other purposes by various MTA's as well.
fr: mail&nbsp;: les boîtes aux lettres de <file>/var/mail</file> appartiennent au groupe mail, comme décrit dans la Charte. L'utilisateur et le groupe sont également utilisés à d'autres fins par différents MTA.

note: type: <p></p>
en: news: Various news servers and other associated programs (such as <prgn>suck</prgn>) use user and group news in various ways. Files in the news spool are often owned by user and group news. Programs such as <prgn>inews</prgn> that can be used to post news are typically SETGID news.
fr: news&nbsp;: plusieurs serveurs de nouvelles et autres programmes associés (comme <prgn>suck</prgn>) utilisent l'utilisateur et le groupe news de différentes façons. Les fichiers dans la file d'attente des nouvelles appartiennent souvent à l'utilisateur et au groupe news. Les programmes comme <prgn>inews</prgn> qui peuvent être utilisés pour envoyer des nouvelles sont typiquement SETGID news.

note: type: <p></p>
en: uucp: The uucp user and group is used by the UUCP subsystem. It owns spool and configuration files. Users in the uucp group may run uucico.
fr: uucp&nbsp;: l'utilisateur et le groupe uucp sont utilisés par le sous-système UUCP. Les fichiers de file d'attente et de configuration lui appartiennent. Les utilisateurs du groupe uucp peuvent exécuter <prgn>uucico</prgn>.

note: type: <p></p>
en: proxy: Like daemon, this user and group is used by some daemons (specifically, proxy daemons) that don't have dedicated user id's and that need to own files. For example, group proxy is used by <prgn>pdnsd</prgn>, and <prgn>squid</prgn> runs as user proxy.
fr: proxy&nbsp;: comme daemon, cet utilisateur et ce groupe sont utilisés par certains démons (en particulier les démons de mandataire) qui ne possèdent pas d'identifiant utilisateur et qui n'ont pas besoin de posséder des fichiers. Par exemple, le groupe proxy est utilisé par <prgn>pdnsd</prgn> et <prgn>squid</prgn> est exécuté en tant qu'utilisateur proxy.

note: type: <p></p>
en: majordom: <prgn>Majordomo</prgn> has a statically allocated UID on Debian systems for historical reasons. It is not installed on new systems.
fr: majordom&nbsp;: <prgn>majordomo</prgn> a un identifiant utilisateur alloué statiquement sur les systèmes Debian pour des raisons historiques. Il n'est plus installé sur les nouveaux systèmes.

note: type: <p></p>
en: postgres: <prgn>Postgresql</prgn> databases are owned by this user and group. All files in <file>/var/lib/postgresql</file> are owned by this user to enforce proper security.
fr: postgres&nbsp;: les bases de données <prgn>postgresql</prgn> appartiennent à cet utilisateur et ce groupe. Tous les fichiers dans <file>/var/lib/postgresql</file> appartiennent à cet utilisateur afin d'imposer un niveau de sécurité convenable.

note: type: <p></p>
en: www-data: Some web servers run as www-data. Web content should <em>not</em> be owned by this user, or a compromised web server would be able to rewrite a web site. Data written out by web servers, including log files, will be owned by www-data.
fr: www-data&nbsp;: certains serveurs web tournent en tant que www-data. Le contenu web <em>ne devrait pas</em> appartenir à cet utilisateur, sinon un serveur Internet compromis serait en mesure de réécrire un site web. Les données transférées par les serveurs web, incluant les fichiers journaux, seront la propriété de www-data.

note: type: <p></p>
en: backup: So backup/restore responsibilities can be locally delegated to someone without full root permissions.
fr: backup&nbsp;: de cette manière la responsabilité de sauvegarde ou restauration peut être localement déléguée à quelqu'un sans avoir à lui donner tous les droits du superutilisateur.

note: type: <p></p>
en: operator: Operator is historically (and practically) the only 'user' account that can login remotely, and doesn't depend on NIS/NFS.
fr: operator&nbsp;: c'est historiquement (et pratiquement) le seul compte «&nbsp;utilisateur&nbsp;» qui peut se connecter à distance, sans dépendre de NIS ou NFS.

note: type: <p></p>
en: list: Mailing list archives and data are owned by this user and group. Some mailing list programs may run as this user as well.
fr: list&nbsp;: les archives des listes de diffusion et les données appartiennent à cet utilisateur et à son groupe. Certains programmes de listes de diffusion utilisent aussi cet utilisateur.

note: type: <p></p>
en: irc: Used by irc daemons. A statically allocated user is needed only because of a bug in <prgn>ircd</prgn>, which SETUID()s itself to a given UID on startup.
fr: irc&nbsp;: utilisé par les démons IRC. Un utilisateur alloué statiquement est nécessaire à cause d'un bogue dans <prgn>ircd</prgn>, il se SETUID lui-même vers un UID donné au démarrage.

note: type: <p></p>
en: nobody, nogroup: Daemons that need not own any files run as user nobody and group nogroup. Thus, no files on a system should be owned by this user or group.
fr: nobody, nogroup&nbsp;: les démons qui n'ont pas besoin d'être propriétaires de fichiers devraient fonctionner sous l'utilisateur nobody et le groupe nogroup. Donc, aucun fichier sur un système ne devrait appartenir à cet utilisateur ou à ce groupe.

note: type: <p><list>
en: Other groups which have no associated user:
fr: Les autres groupes suivants n'ont pas d'utilisateur associé.

note: type: <p></p>
en: adm: Group adm is used for system monitoring tasks. Members of this group can read many log files in <file>/var/log</file>, and can use xconsole. Historically, <file>/var/log</file> was <file>/usr/adm</file> (and later <file>/var/adm</file>), thus the name of the group.
fr: adm&nbsp;: utilisé pour les tâches de surveillance du système. Les membres de ce groupe peuvent lire de nombreux journaux d'événements dans <file>/var/log</file> et peuvent utiliser xconsole. Historiquement, <file>/var/log</file> était <file>/usr/adm</file> (et plus tard <file>/var/adm</file>) d'où le nom du groupe.

note: type: <p></p>
en: tty: TTY devices are owned by this group. This is used by write and wall to enable them to write to other people's TTYs.
fr: tty&nbsp;: les périphériques TTY appartiennent à ce groupe. C'est utilisé par <prgn>write</prgn> et <file>wall</file> pour leur permettre d'écrire sur les TTY d'autres personnes.

note: type: <p></p>
en: disk: Raw access to disks. Mostly equivalent to root access.
fr: disk&nbsp;: accès brut aux disques. Quasiment équivalent à l'accès superutilisateur.

note: type: <p></p>
en: kmem: /dev/kmem and similar files are readable by this group. This is mostly a BSD relic, but any programs that need direct read access to the system's memory can thus be made SETGID kmem.
fr: kmem&nbsp;: <file>/dev/kmem</file> et les fichiers similaires sont lisibles par ce groupe. C'est la plupart du temps un reste de BSD, mais certains programmes en ont besoin pour un accès direct en lecture sur la mémoire du système ce qui peut ainsi être fait par SETGID kmem.

note: type: <p></p>
en: dialout: Full and direct access to serial ports. Members of this group can reconfigure the modem, dial anywhere, etc.
fr: dialout&nbsp;: accès direct et total aux ports séries. Les membres de ce groupe peuvent reconfigurer les modems, téléphoner n'importe où, etc.

note: type: <p></p>
en: dip: The group's name stands for "Dial-up IP", and membership in dip allows you to use tools like <prgn>ppp</prgn>, <prgn>dip</prgn>, <prgn>wvdial</prgn>, etc. to dial up a connection. The users in this group cannot configure the modem, but may run the programs that make use of it.
fr: dip&nbsp;: le nom du groupe signifie «&nbsp;Dialup IP&nbsp;». Être dans le groupe dip permet d'utiliser des outils comme <prgn>ppp</prgn>, <prgn>dip</prgn>, <prgn>wvdial</prgn>, etc. pour établir une connexion. Les utilisateurs de ce groupe ne peuvent pas configurer le modem, ils peuvent juste utiliser les programmes qui en font usage.

note: type: <p></p>
en: fax: Allows members to use fax software to send / receive faxes.
fr: fax&nbsp;: autorise les membres à utiliser les logiciels de fax pour envoyer et recevoir des faxes.

note: type: <p></p>
en: voice: Voicemail, useful for systems that use modems as answering machines.
fr: voice&nbsp;: boîte vocale, utile pour les systèmes qui utilisent les modems comme répondeurs.

note: type: <p></p>
en: cdrom: This group can be used locally to give a set of users access to a CDROM drive.
fr: cdrom&nbsp;: utilisé localement pour donner à certains utilisateurs un accès aux lecteurs de CD.

note: type: <p></p>
en: floppy: This group can be used locally to give a set of users access to a floppy drive.
fr: floppy&nbsp;: utilisé localement pour donner à certains utilisateurs un accès aux lecteurs de disquettes.

note: type: <p></p>
en: tape: This group can be used locally to give a set of users access to a tape drive.
fr: tape&nbsp;: utilisé localement pour donner à certains utilisateurs un accès aux lecteurs de bandes.

note: type: <p></p>
en: sudo: Members of this group don't need to type their password when using <prgn>sudo</prgn>. See <file>/usr/share/doc/sudo/OPTIONS</file>.
fr: sudo&nbsp;: les membres de ce groupe n'ont pas besoin de fournir un mot de passe lors de l'utilisation de <prgn>sudo</prgn>. Consultez <file>/usr/share/doc/sudo/OPTIONS</file>.

note: type: <p></p>
en: audio: This group can be used locally to give a set of users access to an audio device.
fr: audio&nbsp;: utilisé localement pour donner à certains utilisateurs un accès aux périphériques audio.

note: type: <p></p>
en: src: This group owns source code, including files in <file>/usr/src</file>. It can be used locally to give a user the ability to manage system source code.
fr: src&nbsp;: ce groupe possède les codes source, y compris les fichiers de <file>/usr/src</file>. Il peut être utilisé pour permettre à un utilisateur de manipuler les codes source du système.

note: type: <p></p>
en: shadow: <file>/etc/shadow</file> is readable by this group. Some programs that need to be able to access the file are SETGID shadow.
fr: shadow&nbsp;: <file>/etc/shadow</file> est lisible par ce groupe. Certains programmes ayant besoin d'accéder à ce fichier sont SETGID shadow.

note: type: <p></p>
en: utmp: This group can write to <file>/var/run/utmp</file> and similar files. Programs that need to be able to write to it are SETGID utmp.
fr: utmp&nbsp;: les membres de ce groupe peuvent écrire dans <file>/var/run/utmp</file> et dans fichiers similaires. Les programmes qui nécessitent l'écriture sont SETGID utmp.

note: type: <p></p>
en: video: This group can be used locally to give a set of users access to a video device.
fr: video&nbsp;: utilisé localement pour donner à certains utilisateurs un accès aux périphériques vidéo.

note: type: <p></p>
en: staff: Allows users to add local modifications to the system (<file>/usr/local</file>, <file>/home</file>) without needing root privileges. Compare with group "adm", which is more related to monitoring/security.
fr: staff&nbsp;: autorise les utilisateurs à ajouter des modifications au système local (<file>/usr/local</file>, <file>/home</file>) sans avoir les droits du superutilisateur. À comparer au groupe «&nbsp;adm&nbsp;» plus apparenté à la surveillance et la sécurité.

note: type: <p></p>
en: users: While Debian systems use the private user group system by default (each user has their own group), some prefer to use a more traditional group system, in which each user is a member of this group.
fr: users&nbsp;: alors que les systèmes Debian utilisent le système de groupe privé par utilisateur par défaut (chaque utilisateur a son propre groupe), certains préfèrent d'utiliser un système de groupes plus traditionnel. Dans ce système, chaque utilisateur est un membre de ce groupe.

note: type: <heading></heading>
en: I removed a system user! How can I recover?
fr: J'ai supprimé un utilisateur système&nbsp;! Comment puis-je le récupérer&nbsp;?

note: type: <p></p>
en: If you have removed a system user and have not made a backup of your <file>password</file> and <file>group</file> files you can try recovering from this issue using <prgn>update-passwd</prgn> (see <manref name="update-passwd" section="8">).
fr: Si vous avez supprimé un utilisateur système et que vous n'avez pas de sauvegardes des fichiers <file>password</file> et <file>group</file>, vous pouvez essayez de récupérer de ce problème en utilisant <prgn>update-passwd</prgn> (consultez <manref section="8" name="update-passwd">).

note: type: <heading></heading>
en: What is the difference between the adm and the staff group?
fr: Quelle est la différence entre les groupes adm et staff&nbsp;?

note: type: <p></p>
en: The 'adm' group are usually administrators, and this group permission allows them to read log files without having to <prgn>su</prgn>. The 'staff' group are usually help-desk/junior sysadmins, allowing them to work in <file>/usr/local</file> and create directories in <file>/home</file>.
fr: Le groupe «&nbsp;adm&nbsp;» est normalement celui des administrateurs et leur permet de lire les journaux d'activités sans utiliser <prgn>su</prgn>. Le groupe «&nbsp;staff&nbsp;» est généralement pour les administrateurs système secondaires afin de faire des choses dans <file>/usr/local</file> et de créer des répertoires dans <file>home</file>.

note: type: <heading></heading>
en: Why is there a new group when I add a new user? (or Why does Debian give each user one group?)
fr: Pourquoi y a-t-il un nouveau groupe à chaque ajout de nouvel utilisateur (ou pourquoi Debian attribue-t-elle un groupe à chaque utilisateur) ?

note: type: <p></p>
en: The default behavior in Debian is that each user has its own, private group. The traditional UN*X scheme assigned all users to the <em>users</em> group. Additional groups were created and used to restrict access to shared files associated with different project directories. Managing files became difficult when a single user worked on multiple projects because when someone created a file, it was associated with the primary group to which they belong (e.g. 'users').
fr: Le comportement par défaut dans Debian est que chaque utilisateur a son propre groupe privé. Le schéma traditionnel UNIX place tous les utilisateurs dans le groupe <em>users</em>. Des groupes supplémentaires étaient créés et utilisés pour restreindre l'accès à des fichiers partagés associés aux différents répertoires de projets. La gestion des fichiers devenait difficile quand un seul utilisateur travaillait sur plusieurs projets car quand quelqu'un créait un fichier, ce dernier était associé au groupe primaire auquel il appartenait (c'est-à-dire «&nbsp;users&nbsp;»).

note: type: <p></p>
en: Debian's scheme solves this problem by assigning each user to their own group; so that with a proper umask (0002) and the SETGID bit set on a given project directory, the correct group is automatically assigned to files created in that directory. This makes it easier for people who work on multiple projects, because they will not have to change groups or umasks when working on shared files.
fr: Le schéma Debian résout ce problème en attribuant à chaque utilisateur son propre groupe ; ainsi avec un umask correct (0002) et le bit SETGID positionné dans un répertoire de projet donné, le groupe correct est automatiquement attribué aux fichiers créés dans ce répertoire. Cela facilite le travail sur plusieurs projets sans modifier les groupes ou les umask pour travailler sur des fichiers partagés.

note: type: <p></p>
en: You can, however, change this behavior by modifying <file>/etc/adduser.conf</file>. Change the <em>USERGROUPS</em> variable to 'no', so that a new group is not created when a new user is created. Also, set <em>USERS_GID</em> to the GID of the users group which all users will belong to.
fr: Vous pouvez, cependant, changer ce comportement en modifiant <file>/etc/adduser.conf</file>. Changez la variable <em>USERGROUPS</em> à «&nbsp;no&nbsp;», pour qu'aucun nouveau groupe ne soit créé quand un nouvel utilisateur est créé. Positionnez également <em>USERS_GID</em> au GID du groupe users auquel appartiennent tous les utilisateurs.

note: type: <heading></heading>
en: Questions regarding services and open ports
fr: Questions concernant les services et les ports ouverts

note: type: <heading></heading>
en: Why are all services activated upon installation?
fr: Pourquoi tous les services sont-ils activés lors de l'installation&nbsp;?

note: type: <p></p>
en: That's just an approach to the problem of being, on one side, security conscious and on the other side user friendly. Unlike OpenBSD, which disables all services unless activated by the administrator, Debian GNU/Linux will activate all installed services unless deactivated (see <ref id="disableserv"> for more information). After all you installed the service, didn't you?
fr: C'est un compromis entre la présence de sécurité et la facilité d'utilisation. Contrairement à OpenBSD, qui désactive tous les services non activés par l'administrateur, Debian GNU/Linux activera tous les services installés à moins de les désactiver (consultez <ref id="disableserv"> pour plus de renseignements). Après tout, vous avez installé ces services de votre propre chef, n'est-ce pas&nbsp;?

note: type: <p></p>
en: There has been much discussion on Debian mailing lists (both at debian-devel and at debian-security) regarding which is the better approach for a standard installation. However, as of this writing (March 2002), there still isn't a consensus.
fr: De nombreuses discussions sur les listes de diffusion Debian (sur debian-devel et debian-security) ont eu lieu sur l'installation standard. Cependant, il n'y a pas de consensus à ce jour (mars 2002) sur la solution à adopter.

note: type: <heading></heading>
en: Can I remove <prgn>inetd</prgn>?
fr: Puis-je retirer inetd&nbsp;?

note: type: <p></p>
en: <prgn>Inetd</prgn> is not easy to remove since <package>netbase</package> depends on the package that provides it (<package>netkit-inetd</package>). If you want to remove it, you can either disable it (see <ref id="disableserv">) or remove the package by using the <package>equivs</package> package.
fr: <prgn>inetd</prgn> n'est pas aisé à retirer étant donné que <package>netbase</package> dépend du paquet qui le fournit (<package>netkit-inetd</package>). Si vous voulez le retirer, vous pouvez soit le désactiver (consultez <ref id="disableserv">), soit retirer le paquet en utilisant <package>equivs</package>.

note: type: <heading></heading>
en: Why do I have port 111 open?
fr: Pourquoi le port 111 est-il ouvert&nbsp;?

note: type: <p></p>
en: Port 111 is sunrpc's portmapper, and it is installed by default as part of Debian's base installation since there is no need to know when a user's program might need RPC to work correctly. In any case, it is used mostly for NFS. If you do not need it, remove it as explained in <ref id="rpc">.
fr: Le port 111 est le mappeur de port sunrpc, il est installé par défaut dans toutes les installations de base d'un système Debian puisqu'il est nécessaire pour savoir quand le programme d'un utilisateur a besoin de RPC pour fonctionner correctement. Dans tous les cas, il est principalement utilisé pour NFS. Si vous n'en avez pas besoin, retirez-le comme décrit en <ref id="rpc">.

note: type: <p></p>
en: In versions of the <package>portmap</package> package later than 5-5 you can actually have the portmapper installed but listening only on localhost (by modifying <file>/etc/default/portmap</file>)
fr: Dans les versions du paquet <package>portmap</package> ultérieures à 5-5, le portmapper peut être en fait installé en n'écoutant que localhost (en modifiant <file>/etc/default/portmap</file>).

note: type: <heading></heading>
en: What use is <prgn>identd</prgn> (port 113) for?
fr: À quoi sert identd (port 113)&nbsp;?

note: type: <p></p>
en: Identd service is an authentication service that identifies the owner of a specific TCP/IP connection to the remote server accepting the connection. Typically, when a user connects to a remote host, <prgn>inetd</prgn> on the remote host sends back a query to port 113 to find the owner information. It is often used by mail, FTP and IRC servers, and can also be used to track down which user in your local system is attacking a remote system.
fr: Le service identd est un service d'authentification du propriétaire d'une connexion TCP/IP spécifique au serveur distant acceptant la connexion. Par exemple, quand un utilisateur se connecte sur un hôte distant, <prgn>inetd</prgn> de l'hôte distant va envoyer une demande sur le port 113 pour déterminer les informations du propriétaire. C'est souvent utilisé pour les serveurs de courriers, FTP et IRC et peut également être utilisé pour remonter la trace de l'utilisateur qui attaque un système distant par l'intermédiaire de votre machine.

note: type: <p></p>
en: There has been extensive discussion on the security of <prgn>identd</prgn> (See <url id="http://lists.debian.org/debian-security/2001/debian-security-200108/msg00297.html" name="mailing list archives">). In general, <prgn>identd</prgn> is more helpful on a multi-user system than on a single user workstation. If you don't have a use for it, disable it, so that you are not leaving a service open to the outside world. If you decide to firewall the identd port, <em>please</em> use a reject policy and not a deny policy, otherwise a connection to a server utilizing <prgn>identd</prgn> will hang until a timeout expires (see <url id="http://logi.cc/linux/reject_or_deny.php3" name="reject or deny issues">).
fr: Des discussions complètes ont eu lieu sur la sécurité d'<prgn>identd</prgn> (consultez les <url id="http://lists.debian.org/debian-security/2001/debian-security-200108/msg00297.html" name="archives de la liste de diffusion">). En règle générale, <prgn>identd</prgn> est plus utile sur un système multiutilisateur que sur un poste de travail mono-utilisateur. Si vous n'en avez pas l'utilité, désactivez-le, pour ne pas laisser un service ouvert au monde extérieur. Mais si vous le bloquez par un pare-feu, <em>s'il vous plaît</em>, créez une règle de rejet et non une règle de déni, sinon la communication à un serveur utilisant <prgn>identd</prgn> pourrait être en attente jusqu'à l'expiration d'un délai (consultez les <url id="http://logi.cc/linux/reject_or_deny.php3" name="problèmes sur le rejet ou le déni">).

note: type: <heading></heading>
en: I have services using port 1 and 6, what are they and how can I remove them?
fr: Des services utilisent les ports 1 et 6, quels sont ces services et comment les enlever&nbsp;?

note: type: <p><example>
en: If you have run the command <tt>netstat -an</tt> and receive:
fr: Si la commande <tt>netstat -an</tt> affiche&nbsp;:

note: type: <p></p>
en: You are <em>not</em> seeing processes listening on TCP/UDP port 1 and 6. In fact, you are seeing a process listening on a <em>raw</em> socket for protocols 1 (ICMP) and 6 (TCP). Such behavior is common to both Trojans and some intrusion detection systems such as <package>iplogger</package> and <package>portsentry</package>. If you have these packages simply remove them. If you do not, try netstat's <tt>-p</tt> (process) option to see which process is running these listeners.
fr: <em>Aucun</em> processus n'écoute sur les ports 1 et 6. En fait, un processus écoute sur une socket <em>raw</em> (brut) pour les protocoles 1 (ICMP) et 6 (TCP). Un tel comportement est courant pour les chevaux de Troie et pour certains systèmes de détection d'intrusions comme <package>iplogger</package> et <package>portsentry</package>. Si ces paquets sont installés, supprimez-les simplement. Sinon, essayez l'option <tt>-p</tt> (processus) de netstat pour voir le processus à l'écoute.

note: type: <heading></heading>
en: I found the port XYZ open, can I close it?
fr: Le port XYZ est ouvert, puis-je le fermer&nbsp;?

note: type: <p></p>
en: Yes, of course. The ports you are leaving open should adhere to your individual site's policy regarding public services available to other networks. Check if they are being opened by <prgn>inetd</prgn> (see <ref id="inetd">), or by other installed packages and take the appropriate measures (i.e, configure inetd, remove the package, avoid it running on boot-up).
fr: Bien sûr que vous pouvez, les ports laissés ouverts doivent adhérer à la politique de sécurité du site concernant les services publiques disponibles pour les autres systèmes. Vérifiez s'ils sont ouvert par <prgn>inetd</prgn> (consultez <ref id="inetd">) ou par d'autres paquets installés et prenez les mesures adéquates (par exemple, configuration d'inetd, suppression du paquet, éviter qu'il démarre au démarrage).

note: type: <heading></heading>
en: Will removing services from <file>/etc/services</file> help secure my box?
fr: Est-ce que la suppression de services de /etc/services va aider à sécuriser la machine&nbsp;?

note: type: <p></p>
en: <em>No</em>, <file>/etc/services</file> only provides a mapping between a virtual name and a given port number. Removing names from this file will not (usually) prevent services from being started. Some daemons may not run if <file>/etc/services</file> is modified, but that's not the norm. To properly disable the service, see <ref id="disableserv">.
fr: <em>Non</em>, le fichier <file>/etc/services</file> fournit juste une cartographie d'un nom virtuel à un numéro de port donné. La suppression des noms ne va pas (en général) empêcher les services d'être lancées. Certains démons ne se lanceront peut-être pas si <file>/etc/services</file> est modifié mais ce n'est pas la norme. Pour désactiver correctement les services, consultez <ref id="disableserv">.

note: type: <heading></heading>
en: Common security issues
fr: Problèmes courants de sécurité

note: type: <heading></heading>
en: I have lost my password and cannot access the system!
fr: J'ai perdu mon mot de passe et je ne peux plus accéder au système&nbsp;!

note: type: <p></p>
en: The steps you need to take in order to recover from this depend on whether or not you have applied the suggested procedure for limiting access to <prgn>lilo</prgn> and your system's BIOS.
fr: Les démarches pour récupérer le système dépendent des différentes procédures appliquées pour limiter l'accès à <prgn>lilo</prgn> et au BIOS.

note: type: <p></p>
en: If you have limited both, you need to disable the BIOS setting that only allows booting from the hard disk before proceeding. If you have also forgotten your BIOS password, you will have to reset your BIOS by opening the system and manually removing the BIOS battery.
fr: Si les deux accès sont limités, vous devez désactiver les fonctionnalités du BIOS (démarrer uniquement depuis le disque dur) avant de commencer. Si vous avez également oublié le mot de passe du BIOS, vous devrez ouvrir le système et retirer manuellement la pile du BIOS.

note: type: <p><list>
en: Once you have enabled booting from a CD-ROM or diskette enable, try the following:
fr: Une fois activé l'amorçage depuis un CD ou une disquette, vous pouvez essayer de&nbsp;:

note: type: <p></p>
en: Boot-up from a rescue disk and start the kernel
fr: démarrer depuis une disquette de secours (rescue) et démarrer le noyau ;

note: type: <p></p>
en: Go to the virtual console (Alt+F2)
fr: accéder aux consoles virtuelles (Alt+F2) ;

note: type: <p></p>
en: Mount the hard disk where your /root is
fr: monter le disque dur où est placé la partition /root ;

note: type: <p><example>
en: Edit (Debian 2.2 rescue disk comes with the editor <prgn>ae</prgn>, and Debian 3.0 comes with <prgn>nano-tiny</prgn> which is similar to <prgn>vi</prgn>) <file>/etc/shadow</file> and change the line:
fr: éditer (la disquette de secours de Debian&nbsp;2.2 est livrée avec <prgn>ae</prgn>, Debian&nbsp;3.0 est livrée avec <prgn>nano-tiny</prgn> qui est similaire à <prgn>vi</prgn>) <file>/etc/shadow</file> et modifier la ligne&nbsp;:

note: type: <example></example>
en:   root:asdfjl290341274075:XXXX:X:XXXX:X::: (X=any number)
fr: root:asdfjl290341274075:XXXX:X:XXXX:X::: (X=n'importe quel nombre)

note: type: <p></p>
en: This will remove the forgotten root password, contained in the first colon separated field after the user name. Save the file, reboot the system and login with root using an empty password. Remember to reset the password. This will work unless you have configured the system more tightly, i.e. if you have not allowed users to have null passwords or not allowed root to login from the console.
fr: Cela retirera le mot de passe superutilisateur oublié, contenu dans le premier champ séparé par deux points après le nom d'utilisateur. Enregistrez le fichier, redémarrer le système et connectez-vous en tant que superutilisateur (avec un mot de passe vide). Cela fonctionnera sauf si le système est configuré plus strictement, par exemple sans autorisation des connexions avec mot de passe vide ou des connexions du superutilisateur à partir de la console.

note: type: <p></p>
en: If you have introduced these features, you will need to enter into single user mode. If LILO has been restricted, you will need to rerun <prgn>lilo</prgn> just after the root reset above. This is quite tricky since your <file>/etc/lilo.conf</file> will need to be tweaked due to the root (/) file system being a ramdisk and not the real hard disk.
fr: Si ces caractéristiques ont été introduites, vous devrez passer en mode utilisateur unique. Si LILO a été restreint, vous devrez relancer <prgn>lilo</prgn> après la réinitialisation du superutlisateur précédente. C'est assez rusé puisque <file>/etc/lilo.conf</file> devra être modifié car le système de fichiers racine est alors un disque virtuel et non le vrai disque dur.

note: type: <p><list>
en: Once LILO is unrestricted, try the following:
fr: Une fois que LILO n'est plus restreint, vous pouvez&nbsp;:

note: type: <p></p>
en: Press the Alt, shift or Control key just before the system BIOS finishes, and you should get the LILO prompt.
fr: presser l'une des touches Alt, Maj ou Ctrl juste avant que le BIOS système ne finisse, pour obtenir l'invite de LILO ;

note: type: <p></p>
en: Type <tt>linux single</tt>, <tt>linux init=/bin/sh</tt> or <tt>linux 1</tt> at the prompt.
fr: entrer <tt>linux single</tt>, <tt>linux init=/bin/sh</tt> ou <tt>linux 1</tt> à l'invite ;

note: type: <p></p>
en: This will give you a shell prompt in single-user mode (it will ask for a password, but you already know it)
fr: cela donnera accès à une invite de commandes un mode utilisateur unique (un mot de passe sera demandé, mais vous le connaissez déjà) ;

note: type: <p><example>
en: Re-mount read/write the root (/) partition, using the mount command.
fr: remonter en lecture/écriture la partition racine (/), en utilisant la commande de montage :

note: type: <example></example>
en:   # mount -o remount,rw /
fr: mount -o remount,rw /

note: type: <p></p>
en: Change the superuser password with <prgn>passwd</prgn> (since you are superuser it will not ask for the previous password).
fr: modifier le mot de passe du superutilisateur avec <prgn>passwd</prgn> (étant superutilisateur, l'ancien mot de passe ne sera pas demandé).

note: type: <heading></heading>
en: How do I accomplish setting up a service for my users without giving out shell accounts?
fr: Comment mettre en place un service pour les utilisateurs sans leur donner un compte avec invite de commande&nbsp;?

note: type: <p><example>
en: For example, if you want to set up a POP service, you don't need to set up a user account for each user accessing it. It's best to set up directory-based authentication through an external service (like Radius, LDAP or an SQL database). Just install the appropriate PAM library (<package>libpam-radius-auth</package>, <package>libpam-ldap</package>, <package>libpam-pgsql</package> or <package>libpam-mysql</package>), read the documentation (for starters, see <ref id="auth-pam">) and configure the PAM-enabled service to use the back end you have chosen. This is done by editing the files under <file>/etc/pam.d/</file> for your service and modifying the
fr: Par exemple, si vous voulez mettre en place un service POP, vous n'avez pas besoin de configurer un compte d'utilisateur pour chaque utilisateur y accédant. Il est préférable de mettre en place une authentification basé sur un répertoire grâce à un service externe (comme Radius, LDAP ou une base de données SQL). Installez simplement la bibliothèque PAM appropriée (<package>libpam-radius-auth</package>, <package>libpam-ldap</package>, <package>libpam-pgsql</package> ou <package>libpam-mysql</package>), consultez la documentation (pour commencer, consultez <ref id="auth-pam">) et configurez le service en activant PAM pour utiliser la méthode que vous avez choisi. C'est fait en éditant les fichiers de <file>/etc/pam.d/</file> pour les services et en modifiant :

note: type: </example><example>
en: to, for example, ldap:
fr: en, par exemple pour ldap&nbsp;:

note: type: <p><example>
en: In the case of LDAP directories, some services provide LDAP schemas to be included in your directory that are required in order to use LDAP authentication. If you are using a relational database, a useful trick is to use the <em>where</em> clause when configuring the PAM modules. For example, if you have a database with the following table attributes:
fr: Dans le cas de répertoires LDAP, certains services fournissent des schémas LDAP à inclure dans le répertoire et qui sont nécessaires pour utiliser l'authentification LDAP. Si vous utilisez une base de données relationnelle, une astuce utile est d'utiliser la clause <em>where</em> en configurant les modules PAM. Par exemple, avec une base de données contenant les attributs de table suivants&nbsp;:

note: type: <p><list>
en: By making the services attributes boolean fields, you can use them to enable or disable access to the different services just by inserting the appropriate lines in the following files:
fr: En modifiant les attributs de service en champs booléens, vous pouvez les utiliser pour permettre ou interdire l'accès aux différents services avec simplement les lignes appropriées dans les fichiers suivants&nbsp;:

note: type: <p></p>
en: <file>/etc/pam.d/imap</file>:<tt>where=imap=1</tt>.
fr: <file>/etc/pam.d/imap</file>&nbsp;: <tt>where=imap=1</tt> ;

note: type: <p></p>
en: <file>/etc/pam.d/qpopper</file>:<tt>where=pop=1</tt>.
fr: <file>/etc/pam.d/qpopper</file>&nbsp;: <tt>where=pop=1</tt> ;

note: type: <p></p>
en: <file>/etc/nss-mysql*.conf</file>:<tt>users.where_clause = user.sys = 1;</tt>.
fr: <file>/etc/nss-mysql*.conf</file>&nbsp;: <tt>users.where_clause = user.sys = 1;</tt> ;

note: type: <p></p>
en: <file>/etc/proftpd.conf</file>:<tt> SQLWhereClause "ftp=1"</tt>.
fr: <file>/etc/proftpd.conf</file>&nbsp;: <tt> SQLWhereClause "ftp=1"</tt>.

note: type: <heading></heading>
en: My system is vulnerable! (Are you sure?)
fr: Le système est vulnérable&nbsp;! (En êtes-vous certain&nbsp;?)

note: type: <heading></heading>
en: Vulnerability assessment scanner X says my Debian system is vulnerable!
fr: Le scanneur X de vérification des failles indique que le système Debian est vulnérable&nbsp;!

note: type: <p></p>
en: Many vulnerability assessment scanners give false positives when used on Debian systems, since they only use version checks to determine if a given software package is vulnerable, but do not really test the security vulnerability itself. Since Debian does not change software versions when fixing a package (many times the fix made for newer releases is back ported), some tools tend to think that an updated Debian system is vulnerable when it is not.
fr: Plusieurs scanneurs de vérification de failles renvoient des faux positifs quand ils sont utilisés sur des systèmes Debian, car ils n'utilisent que le numéro de version pour déterminer si un paquet donné de logiciel est vulnérable, mais ils ne testent pas réellement la faille de sécurité elle-même. Comme Debian ne change de numéros de version lors de la correction d'un paquet (il est courant que la correction effectuée pour des versions plus récentes soit rétroportée), certains outils ont tendance à croire qu'un système Debian mis à jour est vulnérable alors qu'il ne l'est pas.

note: type: <p></p>
en: If you think your system is up to date with security patches, you might want to use the cross references to security vulnerability databases published with the DSAs (see <ref id="dsa">) to weed out false positives, if the tool you are using includes CVE references.
fr: Si vous pensez que le système est à jour des correctifs de sécurité, vous pourriez utiliser les références croisées des bases de données des failles de sécurité publiées avec les DSA (consultez <ref id="dsa">) pour éliminer les faux positifs, si l'outil utilisé inclut des références CVE.

note: type: <heading></heading>
en: I've seen an attack in my system's logs. Is my system compromised?
fr: Une attaque apparaît dans les fichiers journaux du système. Le système est-il compromis&nbsp;?

note: type: <p></p>
en: A trace of an attack does not always mean that your system has been compromised, and you should take the usual steps to determine if the system is indeed compromised (see <ref id="after-compromise">). Even if your system was not vulnerable to the attack that was logged, a determined attacker might have used some other vulnerability besides the ones you have detected.
fr: Une trace d'une attaque ne veut pas toujours dire que le système a été compromis et vous devriez effectuer les étapes habituelles pour déterminer si le système est vraiment compromis (consultez <ref id="after-compromise">). Même si le système n'était pas vulnérable à l'attaque journalisée, un attaquant déterminé pourrait avoir utilisé une autre faille en plus de celles détectées.

note: type: <heading></heading>
en: I have found strange 'MARK' lines in my logs: Am I compromised?
fr: D'étranges lignes «&nbsp;MARK&nbsp;» apparaissent dans les journaux&nbsp;: le système est-il compromis&nbsp;?

note: type: <p><example>
en: You might find the following lines in your system logs:
fr: Les lignes suivantes pourraient apparaître dans les fichiers journaux du système&nbsp;:

note: type: <p><example>
en: This does not indicate any kind of compromise, and users changing between Debian releases might find it strange. If your system does not have high loads (or many active services), these lines might appear throughout your logs. This is an indication that your <prgn>syslogd</prgn> daemon is running properly. From <manref name="syslogd" section="8">:
fr: Cela n'indique pas un type de compromission et les utilisateurs changeant de versions de Debian peuvent trouver cela étrange. Si le système n'a pas une charge importante (ou beaucoup de services actifs), ces lignes peuvent apparaître dans les journaux. C'est pour indiquer que le démon <prgn>syslogd</prgn> fonctionne correctement. De <manref section="8" name="syslogd">&nbsp;:

note: type: <example></example>
en:        -m interval
                  The syslogd logs a mark timestamp  regularly.   The
                  default interval between two -- MARK -- lines is 20
                  minutes.  This can be  changed  with  this  option.
                  Setting the interval to zero turns it off entirely.
fr:        -m interval
                Syslogd garde dans un journal une marque d'horodatage
                régulièrement. L'intervalle par défaut entre deux lignes
                -- MARK -- est de 20 minutes. Cela peut être modifié
                par cette option. Positionner l'intervalle à 0 le
                désactive complètement.

note: type: <heading></heading>
en: I found users using 'su' in my logs: Am I compromised?
fr: Des utilisateurs utilisant «&nbsp;su&nbsp;» apparaissent dans les journaux&nbsp;: le système est-il compromis&nbsp;?

note: type: <p><example>
en: You might find lines in your logs like:
fr: Vous pouvez trouver ce genre de lignes dans les journaux&nbsp;:

note: type: <p><example>
en: Don't worry too much. Check to see if these entries are due to <prgn>cron</prgn> jobs (usually <file>/etc/cron.daily/find</file> or <prgn>logrotate</prgn>):
fr: Ne vous inquiétez pas trop. Vérifiez que ces entrées sont dues à des tâches <prgn>cron</prgn> (habituellement, <file>/etc/cron.daily/find</file> ou <prgn>logrotate</prgn>)&nbsp;:

note: type: <heading></heading>
en: I have found 'possible SYN flooding' in my logs: Am I under attack?
fr: «&nbsp;possible SYN flooding&nbsp;» apparaît dans les journaux&nbsp;: le système est-il attaqué&nbsp;?

note: type: <p><example>
en: If you see entries like these in your logs:
fr: Si vous voyez ce genre d'entrées dans les fichiers journaux&nbsp;:

note: type: <p><example>
en: Check if there is a high number of connections to the server using <prgn>netstat</prgn>, for example:
fr: Vérifiez le nombre de connexions au serveur en utilisant <prgn>netstat</prgn>, par exemple&nbsp;:

note: type: <p></p>
en: This is an indication of a denial of service (DoS) attack against your system's X port (most likely against a public service such as a web server or mail server). You should activate TCP syncookies in your kernel, see <ref id="tcp-syncookies">. Note, however, that a DoS attack might flood your network even if you can stop it from crashing your systems (due to file descriptors being depleted, the system might become unresponsive until the TCP connections timeout). The only effective way to stop this attack is to contact your network provider.
fr: Cela peut indiquer une attaque par déni de service (DoS) sur le port X du système (très certainement sur un service public comme un serveur web ou un serveur de courrier). Vous devriez activer TCP syncookies dans le noyau, consultez <ref id="tcp-syncookies">. Cependant, notez qu'une attaque par déni de service peut inonder le réseau même si vous pouvez l'empêcher de planter les systèmes (à cause de la raréfaction de descripteurs de fichiers, le système peut ne plus répondre avant que les connexions TCP expirent). Le seul moyen efficace pour arrêter cette attaque est de contacter le fournisseur d'accès réseau.

note: type: <heading></heading>
en: I have found strange root sessions in my logs: Am I compromised?
fr: Des sessions superutilisateur étranges apparaissent dans les journaux&nbsp;: le système est-il compromis&nbsp;?

note: type: <p><example>
en: You might see these kind of entries in your <file>/var/log/auth.log</file> file:
fr: Ce genre d'entrées peut apparaître dans le fichier <file>/var/log/auth.log</file>&nbsp;:

note: type: <p></p>
en: These are due to a <prgn>cron</prgn> job being executed (in this example, every five minutes). To determine which program is responsible for these jobs, check entries under: <file>/etc/crontab</file>, <file>/etc/cron.d</file>, <file>/etc/crond.daily</file> and root's <file>crontab</file> under <file>/var/spool/cron/crontabs</file>.
fr: Elles sont dues à l'exécution d'une tâche <prgn>cron</prgn> (dans cet exemple, toutes les cinq minutes). Pour déterminer le programme responsable de ces tâches, vérifiez les entrées dans&nbsp;: <file>/etc/crontab</file>, <file>/etc/cron.d</file>, <file>/etc/crond.daily</file> et la <file>crontab</file> du superutilisateur dans <file>/var/spool/cron/crontabs</file>.

note: type: <heading></heading>
en: I have suffered a break-in, what do I do?
fr: Le système a été victime d'une intrusion, que faire&nbsp;?

note: type: <p><list>
en: There are several steps you might want to take in case of a break-in:
fr: Plusieurs étapes sont à prendre en compte en cas d'intrusion.

note: type: <p></p>
en: Check if your system is up to date with security patches for published vulnerabilities. If your system is vulnerable, the chances that the system is in fact compromised are increased. The chances increase further if the vulnerability has been known for a while, since there is usually more activity related to older vulnerabilities. Here is a link to <url id="http://www.sans.org/top20/" name="SANS Top 20 Security Vulnerabilities">.
fr: Vérifiez que le système est à jour avec les correctifs de sécurité pour les failles publiées. Si le système est vulnérable, les risques de compromission réelle du système augmentent. Les risques augmentent encore plus si la faille est connue depuis un certain temps, car il y a habituellement plus d'activité en lien avec d'anciennes failles. Voici un lien vers les <url id="http://www.sans.org/top20/" name="20 principales failles de sécurité selon le SANS">.

note: type: <p></p>
en: Read this document, especially the <ref id="after-compromise"> section.
fr: Consultez ce document, en particulier la section <ref id="after-compromise">.

note: type: <p></p>
en: Ask for assistance. You might use the debian-security mailing list and ask for advice on how to recover/patch your system.
fr: Demandez de l'aide. La liste de diffusion debian-security permet de demander conseil sur la manière de récupérer ou corriger le système.

note: type: <p></p>
en: Notify your local <url id="http://www.cert.org" name="CERT"> (if it exists, otherwise you may want to consider contacting CERT directly). This might or might not help you, but, at the very least, it will inform CERT of ongoing attacks. This information is very valuable in determining which tools and attacks are being used by the <em>blackhat</em> community.
fr: Informez le <url id="http://www.cert.org" name="CERT"> local (s'il existe, sinon vous pourriez contacter le CERT directement). Cela peut ou non vous aider, mais au minimum, cela informera le CERT des attaques en cours. Cette information est très précieuse pour déterminer les outils et attaques utilisés par la communauté <em>blackhat</em>.

note: type: <heading></heading>
en: How can I trace an attack?
fr: Comment pister une attaque&nbsp;?

note: type: <p></p>
en: By watching the logs (if they have not been tampered with), using intrusion detection systems (see <ref id="intrusion-detect">), <prgn>traceroute</prgn>, <prgn>whois</prgn> and similar tools (including forensic analysis), you may be able to trace an attack to the source. The way you should react to this information depends solely on your security policy, and what <em>you</em> consider is an attack. Is a remote scan an attack? Is a vulnerability probe an attack?
fr: En regardant les journaux (s'ils n'ont pas été modifiés), en utilisant un système de détection d'intrusions (consultez <ref id="intrusion-detect">), <prgn>traceroute</prgn>, <prgn>whois</prgn> et outils similaires (y compris des analyses post-mortem) vous pourriez trouver la source de l'attaque. La réaction face à ces informations dépend uniquement des règles de sécurité, et de ce que <em>vous</em> considérez comme une attaque Un scan distant est-il une attaque&nbsp;? Un test de failles de sécurité est-il une attaque&nbsp;?

note: type: <heading></heading>
en: Program X in Debian is vulnerable, what do I do?
fr: Le programme X dans Debian est vulnérable, que faire&nbsp;?

note: type: <p></p>
en: First, take a moment to see if the vulnerability has been announced in public security mailing lists (like Bugtraq) or other forums. The Debian Security Team keeps up to date with these lists, so they may also be aware of the problem. Do not take any further actions if you see an announcement at <url id="http://security.debian.org">.
fr: Tout d'abord, vérifiez si la vulnérabilité a été annoncée sur les listes de diffusion publiques de sécurité (comme Bugtraq) ou autre forums. L'équipe de sécurité Debian se met à jour à l'aide de ces listes, elle peut donc déjà être consciente du problème. Ne lancez pas d'autres actions si l'annonce est sur <url id="http://security.debian.org">.

note: type: <p></p>
en: If no information seems to be published, please send e-mail about the affected package(s), as well as a detailed description of the vulnerability (proof of concept code is also OK), to <url id="mailto:team@security.debian.org" name="team@security.debian.org">. This will get you in touch with Debian's security team.
fr: Si rien n'a été publié, veuillez envoyer un message à propos des paquets concernés avec une description aussi détaillée que possible de la vulnérabilité rencontrée (la preuve par un code d'exploitation est aussi bienvenue) à <url id="mailto:team@security.debian.org" name="team@security.debian.org">. Cela vous mettra en rapport avec l'équipe de sécurité Debian.

note: type: <heading></heading>
en: The version number for a package indicates that I am still running a vulnerable version!
fr: Le numéro de version pour un paquet indique une version vulnérable&nbsp;!

note: type: <p></p>
en: Instead of upgrading to a new release, Debian backports security fixes to the version that was shipped in the stable release. The reason for this is to make sure that the stable release changes as little as possible, so that things will not change or break unexpectedly as a result of a security fix. You can check if you are running a secure version of a package by looking at the package changelog, or comparing its exact (upstream version -slash- debian release) version number with the version indicated in the Debian Security Advisory.
fr: Au lieu de mettre à jour vers une nouvelle version, Debian rétroporte le correctif de sécurité dans la version de la distribution stable. La raison d'agir ainsi est simple : cela permet d'assurer qu'une version a le moins de modifications possible, de cette manière les choses ne changeront pas ou ne se briseront pas à cause d'une mise à jour de sécurité. Vous pouvez vérifier qu'une version sécurisée du paquet est utilisée en regardant le journal de modifications du paquet ou en comparant le numéro exact de version (version amont et révision Debian) avec celui indiqué dans l'alerte de sécurité Debian (« Debian Security Advisory »).

note: type: <heading></heading>
en: Specific software
fr: Logiciels spécifiques

note: type: <heading></heading>
en: <package>proftpd</package> is vulnerable to a Denial of Service attack.
fr: ProFTPD est vulnérable à une attaque de déni de service

note: type: <p></p>
en: Add <tt>DenyFilter \*.*/</tt> to your configuration file, and for more information see <url id="http://www.proftpd.org/bugs.html">.
fr: Ajoutez <tt>DenyFilter \*.*/</tt> au fichier de configuration, pour plus d'informations, consultez <url id="http://www.proftpd.org/bugs.html">.

note: type: <heading></heading>
en: After installing <package>portsentry</package>, there are a lot of ports open.
fr: Après l'installation de portsentry, de nombreux ports sont ouverts.

note: type: <p></p>
en: That's just the way <prgn>portsentry</prgn> works. It opens about twenty unused ports to try to detect port scans.
fr: Il s'agit simplement du mode de fonctionnement de <prgn>portsentry</prgn>. Il ouvre environ 20 ports non utilisés pour tenter de détecter les scans de ports.

note: type: <heading></heading>
en: Questions regarding the Debian security team
fr: Questions concernant l'équipe de sécurité Debian

note: type: <p></p>
en: This information is derived from the <url id="http://www.debian.org/security/faq" name="Debian Security FAQ">. It includes the information as of January, 2006, and provides answers for some other common questions asked in the debian-security mailing list.
fr: Cette information est tirée de la <url id="http://www.debian.org/security/faq" name="FAQ de l'équipe Debian sur la sécurité">. Elle inclut les informations jusqu'à janvier 2006 et fournit des réponses à d'autres questions souvent posées sur la liste de diffusion debian-security.

note: type: <heading></heading>
en: What is a Debian Security Advisory (DSA)?
fr: Qu'est ce qu'une alerte de sécurité Debian (Debian Security Advisory, DSA)&nbsp;?

note: type: <p></p>
en: It is information sent by the Debian Security Team (see below) regarding the discovery and fix for a security related vulnerability in a package available in Debian GNU/Linux. Signed DSAs are sent to public mailing lists (debian-security-announce) and posted on Debian's web site (both in the front page and in the <url id="http://www.debian.org/security/" name="security area">).
fr: C'est le bulletin d'informations envoyé par l'équipe de sécurité Debian (voir ci-dessous) informant qu'une mise à jour de sécurité concernant une vulnérabilité d'un paquet de Debian GNU/Linux est disponible. Les DSA signés sont envoyées aux listes de diffusion publiques (debian-security-announce) et postées sur le site Debian (sur la page de garde et dans la <url id="http://www.debian.org/security/" name="zone concernant la sécurité">).

note: type: <p></p>
en: DSAs include information on the affected package(s), the security flaw that was discovered and where to retrieve the updated packages (and their MD5 sums).
fr: Les DSA incluent des informations sur les paquets concernés, la faille de sécurité découverte et l'endroit où récupérer les paquets mis à jour (ainsi que leurs sommes MD5).

note: type: <heading></heading>
en: The signature on Debian advisories does not verify correctly!
fr: La signature des alertes Debian ne se vérifie pas correctement!

note: type: <p></p>
en: This is most likely a problem on your end. The <url id="http://www.debian.org/security/faq" name="debian-security-announce"> list has a filter that only allows messages with a correct signature from one of the security team members to be posted.
fr: C'est la plupart du temps un problème de votre côté. La liste <url id="http://www.debian.org/security/faq" name="debian-security-announce"> a un filtre qui autorise uniquement l'envoi de messages ayant une signature correcte appartenant à un des membres de l'équipe de sécurité.

note: type: <p></p>
en: Most likely some piece of mail software on your end slightly changes the message, thus breaking the signature. Make sure your software does not do any MIME encoding or decoding, or tab/space conversions.
fr: Le plus probable est qu'un logiciel de courrier de votre côté change légèrement le message, ce qui rompt la signature. Assurez-vous pour cela que le logiciel ne fait aucun encodage ou décodage MIME, ou de conversion de tabulation ou espace.

note: type: <p></p>
en: Known culprits fetchmail (with the mimedecode option enabled), formail (from procmail 3.14 only) and evolution.
fr: Des coupables connus sont fetchmail (avec l'option mimedecode activée), formail (pour procmail 3.14 uniquement) et evolution.

note: type: <heading></heading>
en: How is security handled in Debian?
fr: Comment la sécurité est-elle gérée chez Debian&nbsp;?

note: type: <p></p>
en: Once the Security Team receives a notification of an incident, one or more members review it and consider its impact on the stable release of Debian (i.e. if it's vulnerable or not). If our system is vulnerable, we work on a fix for the problem. The package maintainer is contacted as well, if he didn't contact the Security Team already. Finally, the fix is tested and new packages are prepared, which then are compiled on all stable architectures and uploaded afterwards. After all of that is done, an advisory is published.
fr: Dès que l'équipe de sécurité reçoit une notification d'un incident, un ou plusieurs membres l'inspecte et étudie si la distribution stable de Debian y est vulnérable ou pas. Si notre système est vulnérable, un travail est entrepris pour résoudre le problème. Le responsable du paquet est également contacté s'il n'a pas déjà contacté l'équipe de sécurité. Finalement, la solution est testée et de nouveaux paquets sont préparés qui sont ensuite compilés sur toutes les architectures stables et mis à disposition ensuite. Après que toutes ces tâches sont terminées, une alerte de sécurité est publiée.

note: type: <heading></heading>
en: Why are you fiddling with an old version of that package?
fr: Pourquoi vous embêtez-vous avec une vieille version de tel paquet&nbsp;?

note: type: <p></p>
en: The most important guideline when making a new package that fixes a security problem is to make as few changes as possible. Our users and developers are relying on the exact behavior of a release once it is made, so any change we make can possibly break someone's system. This is especially true in case of libraries: make sure you never change the Application Program Interface (API) or Application Binary Interface (ABI), no matter how small the change is.
fr: La règle la plus importante lors de la création d'un nouveau paquet qui corrige un problème de sécurité est de faire le moins de changements possible. Nos utilisateurs et développeurs comptent sur le comportement exact d'une distribution une fois qu'elle est stable, donc tout changement que nous faisons peut peut-être casser le système de quelqu'un. C'est particulièrement vrai dans le cas de bibliothèques&nbsp;: assurez-vous de ne jamais changer l'interface de programmation d'applications (API) ou l'interface binaire d'applications (ABI), quelque petit que soit le changement.

note: type: <p></p>
en: This means that moving to a new upstream version is not a good solution, instead the relevant changes should be backported. Generally upstream maintainers are willing to help if needed, if not the Debian security team might be able to help.
fr: Cela veut dire que passer à une nouvelle version amont n'est pas une bonne solution. Au lieu de cela, les modifications pertinentes devraient être rétroportées. Habituellement, les responsables amont veulent bien aider. Sinon l'équipe de sécurité Debian peut peut-être aider.

note: type: <p></p>
en: In some cases it is not possible to backport a security fix, for example when large amounts of source code need to be modified or rewritten. If that happens it might be necessary to move to a new upstream version, but this has to be coordinated with the security team beforehand.
fr: Dans certains cas, il n'est pas possible de rétroporter un correctif de sécurité, par exemple quand de grandes quantités de code source doivent être modifiées ou réécrites. Si cela arrive, il peut être nécessaire de passer à une nouvelle version amont, mais cela doit obligatoirement être coordonné avec l'équipe de sécurité auparavant.

note: type: <heading></heading>
en: What is the policy for a fixed package to appear in security.debian.org?
fr: Quelle est la règle pour qu'un paquet fixé apparaisse sur security.debian.org&nbsp;?

note: type: <p></p>
en: Security breakage in the stable distribution warrants a package on security.debian.org. Anything else does not. The size of a breakage is not the real problem here. Usually the security team will prepare packages together with the package maintainer. Provided someone (trusted) tracks the problem and gets all the needed packages compiled and submit them to the security team, even very trivial security problem fixes will make it to security.debian.org. Please see below.
fr: Les problèmes de sécurité dans la distribution stable garantisse qu'un paquet ira sur security.debian.org. Rien d'autre ne le peut. La taille du problème n'est pas un problème réel ici. Habituellement, l'équipe de sécurité va préparer des paquets avec le responsable du paquet. Pourvu que quelqu'un (de confiance) suive le problème, compile tous les paquets nécessaires et les propose à l'équipe de sécurité, même des problèmes de sécurité très triviaux peuvent faire aller le paquet sur security.debian.org. Voir ci-dessous.

note: type: <p></p>
en: Security updates serve one purpose: to supply a fix for a security vulnerability. They are not a method for sneaking additional changes into the stable release without going through normal point release procedure.
fr: Les mises à jour de sécurité ont un but : fournir un correctif à une faille de sécurité. Elles ne permettent pas d'ajouter des modifications supplémentaires dans la publication stable sans passer par la procédure normale de mise à jour de publication.

note: type: <heading></heading>
en: What does "local (remote)" mean?
fr: Que signifie « local (remote) » ?

note: type: <p></p>
en: Some advisories cover vulnerabilities that cannot be identified with the classic scheme of local and remote exploitability. Some vulnerabilities cannot be exploited from remote, i.e. don't correspond to a daemon listening to a network port. If they can be exploited by special files that could be provided via the network while the vulnerable service is not permanently connected with the network, we write "local (remote)" in such cases.
fr: Certaines annonces couvrent des vulnérabilités qui ne peuvent pas être identifiées par le schéma habituel d'exploitation local ou à distance. Certaines vulnérabilités ne peuvent pas être exploitées à distance, c'est-à-dire ne correspondent pas à un démon qui écoute sur un port réseau. Si elles peuvent être exploitées par des fichiers particuliers qui pourraient être fournis par le réseau alors que le service vulnérable n'est pas connecté en permanence au réseau, « local (remote) » est alors écrit.

note: type: <p></p>
en: Such vulnerabilities are somewhat between local and remote vulnerabilities and often cover archives that could be provided through the network, e.g. as mail attachment or from a download page.
fr: De telles vulnérabilités sont en quelque sorte à la fois locale et à distance, et concernent souvent des archives qui pourraient être fournies par le réseau, par exemple en tant que pièce jointe à un courrier électronique ou depuis une page de téléchargement.

note: type: <p></p>
en: See <ref id="version-backport">.
fr: Consultez <ref id="version-backport">.

note: type: <heading></heading>
en: How is security handled for <tt>testing</tt> and <tt>unstable</tt>?
fr: Comment est assurée la sécurité pour les versions testing et unstable&nbsp;?

note: type: <p></p>
en: The short answer is: it's not. Testing and unstable are rapidly moving targets and the security team does not have the resources needed to properly support those. If you want to have a secure (and stable) server you are strongly encouraged to stay with stable. However, work is in progress to change this, with the formation of a <url id="http://secure-testing-master.debian.net/" name="testing security team"> which has begun work to offer security support for testing, and to some extent, for unstable. For more information see <ref id="security-support-testing">
fr: La réponse courte est&nbsp;: il n'y en a pas. <tt>testing</tt> et <tt>unstable</tt> évoluent très rapidement et l'équipe de sécurité n'a pas les ressources nécessaires pour les suivre correctement. Si vous désirez un serveur sécurisé (et stable), nous vous encourageons fortement à rester sur une version stable. Cependant, il y a du travail de fait dans cette direction, avec la formation d'une <url id="http://secure-testing-master.debian.net/" name="équipe en charge de la sécurité de testing"> qui a commencé à offrir un suivi en sécurité pour testing, et d'une certaine façon, pour unstable. Pour de plus amples renseignements, veuillez consulter <ref id="security-support-testing">.

note: type: <p></p>
en: In some cases, however, the unstable branch usually gets security fixes quite quickly, because those fixes are usually available upstream faster (other versions, like those in the stable branch, usually need to be back ported).
fr: Dans certains cas, cependant, la branche unstable récupère les correctifs de sécurité très rapidement puisque les mises à jour de sécurité sont généralement disponibles en amont plus rapidement (pour les autres versions, comme celles introduites dans la branche stable, il est nécessaire de faire un rétroportage).

note: type: <p></p>
en: You can review public vulnerabilities affecting the <tt>testing</tt> and <tt>unstable</tt> release at the <url id="http://security-tracker.debian.net/tracker/" name="Security Bug Tracker">.
fr: Vous pouvez consulter les vulnérabilités publique concernant les publications <tt>testing</tt> et <tt>unstable</tt> sur le <url id="http://security-tracker.debian.net/tracker/" name="système de suivi en sécurité">.

note: type: <heading></heading>
en: I use an older version of Debian, is it supported by the Debian Security Team?
fr: Je possède un ancienne version de Debian, est-elle suivie par l'équipe de sécurité Debian&nbsp;?

note: type: <p></p>
en: No. Unfortunately, the Debian Security Team cannot handle both the stable release (unofficially, also the unstable) and other older releases. However, you can expect security updates for a limited period of time (usually several months) immediately following the release of a new Debian distribution.
fr: Malheureusement non. L'équipe de sécurité Debian ne peut pas gérer à la fois la version stable (officieusement elle ne gère pas non plus la version <tt>unstable</tt>) et d'autres anciennes versions. Cependant, vous pouvez espérer des mises à jour de sécurité pour une période limitée juste (habituellement plusieurs mois) après la sortie d'une nouvelle distribution Debian.

note: type: <heading></heading>
en: How does <em>testing</em> get security updates?
fr: Comment testing reçoit-elle les mises à jour de sécurité&nbsp;?

note: type: <p></p>
en: Security updates will migrate into the testing distribution via unstable. They are usually uploaded with their priority set to high, which will reduce the quarantine time to two days. After this period, the packages will migrate into testing automatically, given that they are built for all architectures and their dependencies are fulfilled in testing.
fr: Les mises à jour de sécurité migrerons de la distribution <tt>unstable</tt> vers <tt>testing</tt>. Elles sont généralement envoyées avec une priorité haute, ce qui réduit le temps d'attente à deux jours. Après cette période, les paquets migreront automatiquement vers <tt>testing</tt>, étant données qu'ils sont construits pour toutes les architectures et que leurs dépendances sont disponibles dans <tt>testing</tt>.

note: type: <p></p>
en: The <url id="http://secure-testing-master.debian.net/" name="testing security team"> also makes security fixes available in their repository when the normal migration process is not fast enough.
fr: L'<url id="http://secure-testing-master.debian.net/" name="équipe en charge de la sécurité de testing"> prépare aussi des correctifs de sécurité disponibles dans leur dépôt quand un processus de migration normal n'est pas assez rapide.

note: type: <heading></heading>
en: How is security handled for contrib and non-free?
fr: Comment la sécurité est-elle gérée pour contrib et non-free ?

note: type: <p></p>
en: The short answer is: it's not. Contrib and non-free aren't official parts of the Debian Distribution and are not released, and thus not supported by the security team. Some non-free packages are distributed without source or without a license allowing the distribution of modified versions. In those cases no security fixes can be made at all. If it is possible to fix the problem, and the package maintainer or someone else provides correct updated packages, then the security team will generally process them and release an advisory.
fr: La réponse courte est : elle ne l'est pas. contrib et non-free ne font pas officiellement partie de la distribution Debian et ne sont pas publiés, et ne sont de fait pas suivis par l'équipe en charge de la sécurité. Certains paquets de non-free sont distribués dans source ou sans licence permettant le distribution de versions modifiées. Dans ces cas, aucun correctif de sécurité ne peut être réalisé. S'il est possible de corriger le problème, et que le mainteneur du paquet ou quelqu'un d'autre fournit des paquets correctement mis à jour, alors l'équipe de sécurité les traitera normalement et publiera une annonce.

note: type: <heading></heading>
en: Why are there no official mirrors for security.debian.org?
fr: Pourquoi n'y a-t-il pas de miroirs officiels de security.debian.org&nbsp;?

note: type: <p></p>
en: Actually, there are. There are several official mirrors, implemented through DNS aliases. The purpose of security.debian.org is to make security updates available as quickly and easily as possible.
fr: En fait il y en a. Plusieurs miroirs officiels existent, implémentés à l'aide d'alias DNS. Le but de security.debian.org est de mettre à disposition les mises à jour de sécurité le plus rapidement et facilement possible.

note: type: <p></p>
en: Encouraging the use of unofficial mirrors would add extra complexity that is usually not needed and that can cause frustration if these mirrors are not kept up to date.
fr: Encourager l'utilisation de miroirs non officiels ajouterait un niveau de complexité qui n'est généralement pas nécessaire et qui pourrait provoquer une certaine frustration si ces miroirs ne sont pas gardés à jour.

note: type: <heading></heading>
en: I've seen DSA 100 and DSA 102, now where is DSA 101?
fr: J'ai vu la DSA 100 et la DSA 102, mais où est la DSA 101&nbsp;?

note: type: <p></p>
en: Several vendors (mostly of GNU/Linux, but also of BSD derivatives) coordinate security advisories for some incidents and agree to a particular timeline so that all vendors are able to release an advisory at the same time. This was decided in order to not discriminate against some vendors that need more time (e.g. when the vendor has to pass packages through lengthy QA tests or has to support several architectures or binary distributions). Our own security team also prepares advisories in advance. Every now and then, other security issues have to be dealt with before the parked advisory could be released, and hence temporarily leaving out one or more advisories by number.
fr: Plusieurs vendeurs (la plupart pour GNU/Linux, mais aussi des dérivés BSD) coordonnent les alertes de sécurité pour certains incidents et se mettent d'accord pour un calendrier particulier pour que tous les vendeurs puissent diffuser l'alerte en même temps. Cela a été décidé afin de ne pas discriminer un vendeur en particulier qui aurait besoin de plus de temps (par exemple si le vendeur doit faire passer ses paquets par de longs tests de QA ou doit prendre en charge plusieurs architectures ou distributions binaires). Notre propre équipe de sécurité prépare également les alertes à l'avance. De temps en temps, d'autres problèmes de sécurité doivent être traités avant que l'alerte en attente puisse être diffusée, cela laisse donc temporairement vide un ou plusieurs numéros d'alerte.

note: type: <heading></heading>
en: I tried to download a package listed in one of the security advisories, but I got a `file not found' error.
fr: J'ai essayé de télécharger un paquet faisant partie d'une annonce de sécurité, mais j'obtiens une erreur « fichier non trouvé ».

note: type: <p></p>
en: Whenever a newer bugfix supersedes an older package on security.debian.org, chances are high that the old package will be removed by the time the new one gets installed. Hence, you'll get this `file not found' error. We don't want to distribute packages with known security bugs longer than absolutely necessary.
fr: Si une correction de bogue plus récente remplace un paquet plus ancien de security.debian.org, il y a de fortes chances que l'ancien paquet soit retiré pendant que le nouveau est installé. Par conséquent, vous obtiendrez cette erreur de « fichier non trouvé ». Nous ne voulons pas distribuer de paquets avec des bogues de sécurité plus longtemps qu'absolument nécessaire.

note: type: <p></p>
en: Please use the packages from the latest security advisories, which are distributed through the <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce mailing list">. It's best to simply run <em>apt-get update</em> before upgrading the package.
fr: Veuillez utiliser les paquets de la dernière annonce de sécurité, qui sont annoncés sur la <url id="http://lists.debian.org/debian-security-announce" name="liste de diffusion debian-security-announce">. Il vaut mieux simplement exécuter <em>apt-get update</em> avant de mettre à jour le paquet.

note: type: <heading></heading>
en: How can I reach the security team?
fr: Comment joindre l'équipe de sécurité&nbsp;?

note: type: <p></p>
en: Security information can be sent to <url id="mailto:security@debian.org" name="security@debian.org">, which is read by all Debian developers. If you have sensitive information please use <url id="mailto:team@security.debian.org" name="team@security.debian.org"> which only the members of the team can read. If desired, email can be encrypted with the Debian Security Contact key (key ID <url id="http://pgpkeys.pca.dfn.de:11371/pks/lookup?search=0x363CCD95&amp;op=vindex" name="0x363CCD95">). See also the <url id="http://www.debian.org/security/keys.txt" name="PGP/GPG keys for the security team">.
fr: Les informations de sécurité peuvent être envoyées à <url id="mailto:security@debian.org" name="security@debian.org">, qui est lue par tous les développeurs Debian. Si vous disposez d'informations sensibles, veuillez utiliser <url id="mailto:team@security.debian.org" name="team@security.debian.org"> qui n'est lue que par les membres de l'équipe de sécurité. Si vous le désirez, le message peut être chiffré à l'aide de la clef de contact de la sécurité Debian (identifiant de clef <url id="http://pgpkeys.pca.dfn.de:11371/pks/lookup?search=0x363CCD95&amp;op=vindex" name="0x363CCD95">). Consultez également <url id="http://www.debian.org/security/keys.txt" name="les clefs PGP/GPG de l'équipe de sécurité">.

note: type: <heading></heading>
en: What difference is there between security@debian.org and debian-security@lists.debian.org?
fr: Quelles différence existe-t-il entre security@debian.org et debian-security@lists.debian.org&nbsp;?

note: type: <p></p>
en: When you send messages to security@debian.org, they are sent to the developers' mailing list (debian-private). All Debian developers are subscribed to this list and posts are kept private <footnote><p>There has been a declassification decision, voted in <url id="http://www.debian.org/vote/2005/vote_002" name="GR-2005-002">, that might make some posts available in the future, however.</p></footnote> (i.e. are not archived at the public website). The public mailing list, debian-security@lists.debian.org, is open to anyone that wants to <url id="http://www.debian.org/MailingLists/" name="subscribe">, and there are searchable archives available <url id="http://lists.debian.org/search.html" name="here">.
fr: Lorsque vous envoyez des messages à security@debian.org, ceux-ci sont envoyés aux listes de diffusion des développeurs (debian-private). Tous les développeurs Debian sont inscrits à cette liste et tous les envois à cette liste sont tenus confidentiels<footnote><p>La <url id="http://www.debian.org/vote/2005/vote_002" name="publication des archives de la liste debian-private"> a cependant été votée en 2005, ce qui pourrait rendre certains messages publiques à l'avenir.</p></footnote> (c'est-à-dire ne sont pas archivés sur le site web public). La liste de diffusion publique debian-security@lists.debian.org est ouverte à tous ceux qui désirent s'y <url id="http://www.debian.org/MailingLists/" name="inscrire">, et des archives sont disponible pour la recherche à partir du site Internet <url id="http://lists.debian.org/search.html" name="ici">.

note: type: <heading></heading>
en: I guess I found a security problem, what should I do?
fr: Je crois avoir trouvé un problème de sécurité, que dois-je faire ?

note: type: <p></p>
en: If you learn about a security problem, either in one of your own packages or in someone else's please always contact the security team. If the Debian security team confirms the vulnerability and other vendors are likely to be vulnerable as well, they usually contact other vendors as well. If the vulnerability is not yet public they will try to coordinate security advisories with the other vendors, so all major distributions are in sync.
fr: Si vous vous rendez-compte d'un problème de sécurité, dans un paquets que vous maintenez ou non, veillez contacter l'équipe de sécurité. Si l'équipe de sécurité confirme la vulnérabilité et que d'autres distributeurs sont aussi potentiellement vulnérables, ils seront contactés. Si la vulnérabilité n'est pas encore publique, l'équipe essayera de coordonner l'annonce avec les autres distributeurs, de telle sorte que les distributions principales soient synchronisées.

note: type: <p></p>
en: If the vulnerability is already publicly known, be sure to file a bug report in the Debian BTS, and tag it <em>security</em>.
fr: Si la vulnérabilité est déjà publiquement connue, n'oubliez pas de soumettre un rapport de bogue dans le système de suivi de bogue Debian, et de l'étiqueter <em>security</em>.

note: type: <heading></heading>
en: How can I contribute to the Debian security team?
fr: Comment puis-je aider l'équipe de sécurité Debian&nbsp;?

note: type: <p></p>
en: By contributing to this document, fixing FIXMEs or providing new content. Documentation is important and reduces the overhead of answering common issues. Translation of this documentation into other languages is also of great help.
fr: En contribuant à ce document, en résolvant les FIXME ou en fournissant un nouveau contenu. La documentation est importante et réduit le nombre de réponses aux problèmes courants. La traduction de ce document dans d'autres langues est également un bonne contribution.

note: type: <p></p>
en: By packaging applications that are useful for checking or enhancing security in a Debian GNU/Linux system. If you are not a developer, file a <url id="http://www.debian.org/devel/wnpp/" name="WNPP bug"> and ask for software you think would be useful, but is not currently provided.
fr: En empaquetant des applications utiles pour vérifier ou améliorer la sécurité d'un système Debian GNU/Linux. Si vous n'êtes pas un développeur, remplissez un <url id="http://www.debian.org/devel/wnpp/" name="rapport de bogue WNPP"> et proposez des logiciels que vous pensez utiles et qui ne sont pas encore disponibles.

note: type: <p></p>
en: Audit applications in Debian or help solve security bugs and report issues to security@debian.org.
fr: Contrôler les applications dans Debian ou aider à résoudre des bogues de sécurité et signaler les problèmes à security@debian.org.

note: type: <p></p>
en: In all cases, please review each problem before reporting it to security@debian.org. If you are able to provide patches, that would speed up the process. Do not simply forward Bugtraq mails, since they are already received. Providing additional information, however, is always a good idea.
fr: Dans tous les cas, s'il vous plaît, passez en revue chaque problème avant de les signaler à security@debian.org. Si vous êtes capable de fournir des correctifs, cela accélérera le processus. Ne faites pas simplement suivre le courrier de Bugtraq étant donné qu'ils l'ont déjà reçu. Fournir des informations supplémentaires est cependant toujours une bonne idée.

note: type: <heading></heading>
en: Who is the Security Team composed of?
fr: Qui compose l'équipe de sécurité&nbsp;?

note: type: <p></p>
en: The Debian security team consists of <url id="http://www.debian.org/intro/organization" name="several officers and secretaries">. The security team itself appoints people to join the team.
fr: L'équipe de sécurité Debian est constituée de <url id="http://www.debian.org/intro/organization" name="plusieurs membres et assistant">. L'équipe de sécurité elle-même invite tout le monde à se joindre à l'équipe.

note: type: <heading></heading>
en: Does the Debian Security team check every new package in Debian?
fr: L'équipe de sécurité Debian vérifie-t-elle chaque nouveau paquet dans Debian&nbsp;?

note: type: <p></p>
en: No, the Debian security team does not check every new package and there is no automatic (lintian) check to detect new packages including malicious codes, since those checks are rather impossible to perform automatically. Maintainers, however, are fully responsible for the packages they introduce into Debian, and all packages are first signed by an authorized developer(s). The developer is in charge of analyzing the security of all packages that they maintain.
fr: Non, l'équipe de sécurité Debian ne vérifie pas tous les paquets et il n'existe pas de vérification automatique (lintian) afin de déceler de nouveaux paquets contenant du code malveillant, étant donné que ces vérifications sont plutôt impossibles à réaliser automatiquement. Toutefois, les développeurs sont complètement responsables du logiciel qu'ils introduisent dans Debian et tout logiciel est d'abord signé par un développeur habilité. Celui-ci a la responsabilité d'analyser la sécurité du paquet qu'il maintient.

note: type: <heading></heading>
en: How much time will it take Debian to fix vulnerability XXXX?
fr: Combien de temps faudra-t-il à Debian pour résoudre la vulnérabilité XXXX ?

note: type: <p></p>
en: The Debian security team works quickly to send advisories and produce fixed packages for the stable branch once a vulnerability is discovered. A report <url id="http://lists.debian.org/debian-security/2001/debian-security-200112/msg00257.html" name="published in the debian-security mailing list"> showed that in the year 2001, it took the Debian Security Team an average of 35 days to fix security-related vulnerabilities. However, over 50% of the vulnerabilities where fixed in a 10-day time frame, and over 15% of them where fixed the <em>same day</em> the advisory was released.
fr: L'équipe de sécurité Debian travaille rapidement pour envoyer les alertes et produire des paquets corrigés pour la branche stable une fois que la vulnérabilité a été découverte. Un rapport <url id="http://lists.debian.org/debian-security/2001/debian-security-200112/msg00257.html" name="publié sur la liste de diffusion debian-security"> a montré que durant l'année 2001, il a fallu un temps moyen de 35 jours à l'équipe de sécurité Debian pour corriger les vulnérabilités découvertes. Cependant, plus de 50&nbsp;% de ces vulnérabilités ont été réparées dans une durée de dix jours, et plus de 15&nbsp;% de celles-ci ont été réparées <em>le jour même</em> de la sortie de l'alerte.

note: type: <p><list>
en: However, when asking this question people tend to forget that:
fr: Cependant, quand ils posent cette question, les gens ont tendance à oublier que&nbsp;:

note: type: <p><list>
en: DSAs are not sent until:
fr: Les DSA ne sont pas envoyées avant que&nbsp;:

note: type: <p></p>
en: packages are available for <em>all</em> architectures supported by Debian (which takes some time for packages that are part of the system core, especially considering the number of architectures supported in the stable release).
fr: les paquets soient disponibles pour <em>toutes</em> les architectures prises en charge par Debian (ce qui prend du temps pour les paquets qui font partie intégrante du système de base, spécialement si l'on considère le nombre d'architectures prises en charge dans la version stable)&nbsp;;

note: type: <p></p>
en: new packages are thoroughly tested in order to ensure that no new bugs are introduced
fr: les nouveaux paquets sont ensuite testés pour s'assurer qu'aucun nouveau bug n'est introduit.

note: type: <p></p>
en: Packages might be available before the DSA is sent (in the incoming queue or on the mirrors).
fr: Les paquets peuvent être disponibles avant que la DSA ne soit envoyée (dans la file d'arrivée ou sur les miroirs).

note: type: <p></p>
en: Debian is a volunteer-based project.
fr: Debian est un projet basé sur le volontariat.

note: type: <p></p>
en: Debian is licensed with a "no guarantees" clause.
fr: La licence de Debian comprend une clause de «&nbsp;non garantie&nbsp;».

note: type: <p></p>
en: If you want more in-depth analysis on the time it takes for the Security Team to work on vulnerabilities, you should consider that new DSAs (see <ref id="dsa">) published on the <url id="http://security.debian.org" name="security website">, and the metadata used to generate them, include links to vulnerability databases. You could download the sources from the web server (from the <url id="http://cvs.debian.org" name="CVS">) or use the HTML pages to determine the time that it takes for Debian to fix vulnerabilities and correlate this data with public databases.
fr: Si vous désirez une analyse plus poussée du temps que cela prend à l'équipe de sécurité Debian de travailler sur les vulnérabilités, vous devriez considérer que les nouvelles DSA (consultez <ref id="dsa">) publiées sur le <url id="http://security.debian.org" name="site web de sécurité"> et les métadonnées utilisées pour les générer incluent des liens vers les bases de données de vulnérabilités. Vous pouvez télécharger les sources depuis le serveur web (depuis le <url id="http://cvs.debian.org" name="CVS">) ou utiliser les pages HTML pour déterminer le temps que cela prend à Debian pour corriger les vulnérabilités et corréler cette donnée avec les bases de données publiques.

note: type: <heading></heading>
en: How long will security updates be provided?
fr: Pendant combien de temps les mises à jour de sécurité sont-elles fournies ?

note: type: <p></p>
en: The security team tries to support a stable distribution for about one year after the next stable distribution has been released, except when another stable distribution is released within this year. It is not possible to support three distributions; supporting two simultaneously is already difficult enough.
fr: L'équipe de sécurité essaye de suivre la distribution stable pendant environ un an après la publication de la distribution stable suivante, sauf si une autre distribution stable a été publié dans l'année. Ce n'est pas possible de suivre trois distributions, c'est déjà bien assez difficile avec deux.

note: type: <heading></heading>
en: How can I check the integrity of packages?
fr: Comment puis-je contrôler l'intégrité des paquets ?

note: type: <p></p>
en: This process involve checking the Release file signature against the public key (available at <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, substitute 2006 for the current year) for the archive. The Release file contains the MD5 checksums of Packages and Sources files, which contain MD5 checksums of binary and source packages. Detailed instruction on how to check packages integrity can be found <ref id="deb-pack-sign">.
fr: Ce processus consiste à contrôler la signature du fichier Release à l'aide de la clef publique (disponible en <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, en remplaçant 2006 par l'année en cours) utilisée pour l'archive. Le fichier Release contient les sommes de contrôle MD5 des fichiers Packages et Sources qui contiennent respectivement les sommes de contrôle MD5 des paquets binaires et des paquets source. Des instructions détaillées sur la façon de contrôler l'intégrité des paquets peuvent être obtenues en <ref id="deb-pack-sign">.

note: type: <heading></heading>
en: What to do if a random package breaks after a security update?
fr: Que faire si un paquet est cassé suite à une mise à jour de sécurité ?

note: type: <p></p>
en: First of all, you should figure out why the package breaks and how it is connected to the security update, then contact the security team if it is serious or the stable release manager if it is less serious. We're talking about random packages that break after a security update of a different package. If you can't figure out what's going wrong but have a correction, talk to the security team as well. You may be redirected to the stable release manager though.
fr: Premièrement, vous devez essayer de comprendre pourquoi le paquet est défaillant et comment il interagit avec la mise à jour de sécurité. Ensuite, prenez contact avec l'équipe en charge de la sécurité s'il s'agit de quelque chose de sérieux ou bien le responsable de la distribution stable s'il s'agit de quelque chose de moins grave. Nous parlons ici de paquets quelconques qui cessent de fonctionner après une mise à jour de sécurité d'un autre paquet. Si vous ne parvenez pas à identifier la cause du problème, mais que vous connaissez le correctif, parlez-en également à l'équipe en charge de la sécurité. Il est toutefois possible qu'on vous renvoie vers le responsable de la distribution stable.

note: type: <heading></heading>
en: The hardening process step by step
fr: La procédure de durcissement étape par étape

note: type: <p><list>
en: Below is a post-installation, step-by-step procedure for hardening a Debian 2.2 GNU/Linux system. This is one possible approach to such a procedure and is oriented toward the hardening of network services. It is included to show the entire process you might use during configuration. Also, see <ref id="checklist">.
fr: Vous trouverez ci-dessous une procédure post-installation pour durcir un système Debian 2.2 GNU/Linux. Il s'agit d'une approche possible pour une telle procédure et celle-ci est orientée sur le renforcement des services réseaux. Elle est incluse pour présenter le processus entier que vous pouvez utiliser pendant la configuration. Veuillez également consultez <ref id="checklist">.

note: type: <p></p>
en: Install the system, taking into account the information regarding partitioning included earlier in this document. After base installation, go into custom install. Do not select task packages. Select shadow passwords.
fr: Faire une installation du système (tenez compte des informations dans ce manuel concernant le partitionnement). Après l'installation du système de base, allez dans l'installation personnalisée, ne sélectionnez pas de paquets par tâches (<em>task</em>). Sélectionnez les mots de passe cachés (<em>shadow</em>).

note: type: <p></p>
en: Using <prgn>dselect</prgn>, remove all unneeded but selected packages before doing [I]nstall. Keep the bare minimum of packages for the system.
fr: Passer les paquets en revue avec <prgn>dselect</prgn> et retirer les paquets non nécessaires mais sélectionnés auparavant avant de faire [I]nstall. Laisser le strict minimum de logiciels sur le système.

note: type: <p></p>
en: Update all software from the latest packages available at security.debian.org as explained previously in <ref id="security-update">.
fr: Actualiser tous les logiciels à partir des paquets les plus récents disponibles sur security.debian.org comme décrit précédemment dans <ref id="security-update">.

note: type: <p></p>
en: Implement the suggestions presented in this manual regarding user quotas, login definitions and <prgn>lilo</prgn>
fr: Appliquer les suggestions présentées dans ce manuel concernant les quotas par utilisateur, les définitions des connexions et <prgn>lilo</prgn>.

note: type: <p><example>
en: Make a list of services currently running on your system. Try:
fr: Faire une liste de services actifs sur le système. Exécuter ceci&nbsp;:

note: type: </example></p>
en: You will need to install <package>lsof-2.2</package> for the third command to work (run it as root). You should be aware that <prgn>lsof</prgn> can translate the word LISTEN to your locale settings.
fr: Vous devrez installer <package>lsof-2.2</package> pour que la troisième commande fonctionne (à exécuter en tant que superutilisateur). Vous devriez faire attention car <prgn>lsof</prgn> peut traduire le mot LISTEN en fonction des paramètres régionaux.

note: type: <p><example>
en: In order to remove unnecessary services, first determine what package provides the service and how it is started. This can be accomplished by checking the program that listens in the socket. The following shell script, which uses the programs <prgn>lsof</prgn> and <prgn>dpkg</prgn>, does just that:
fr: Afin de retirer les services non nécessaires, déterminer avant tout les paquets fournissant ces services et la façon de les démarrer. Cette tâche peut être facilement réalisée en vérifiant le programme qui écoute la «&nbsp;socket&nbsp;», l'exemple suivant le montre en utilisant ces outils et <prgn>dpkg</prgn>&nbsp;:

note: type: <example></example>
en: #!/bin/sh
    # FIXME: this is quick and dirty; replace with a more robust script snippet
    for i in `sudo lsof -i | grep LISTEN | cut -d " " -f 1 |sort -u` ; do
      pack=`dpkg -S $i |grep bin |cut -f 1 -d : | uniq`
      echo "Service $i is installed by $pack";
      init=`dpkg -L $pack |grep init.d/ `
      if [ ! -z "$init" ]; then
        echo "and is run by $init"
      fi
    done
fr: #!/bin/sh
    # FIXME : c'est du vite fait, mal fait ; à remplacer par un bout
    # de script plus robuste
    for i in `sudo lsof -i | grep LISTEN | cut -d " " -f 1 |sort -u` ; do
      pack=`dpkg -S $i |grep bin |cut -f 1 -d : | uniq`
      echo "Le service $i est installé par $pack";
      init=`dpkg -L $pack |grep init.d/ `
      if [ ! -z "$init" ]; then
        echo "et démarré par $init"
      fi
    done

note: type: <p></p>
en: Once you find any unwanted services, remove the associated package (with <prgn>dpkg --purge</prgn>), or disable the service from starting automatically at boot time using <prgn>update-rc.d</prgn> (see <ref id="disableserv">).
fr: Une fois les services indésirables trouvés, supprimer le paquet (avec <prgn>dpkg --purge</prgn>) ou utiliser <prgn>update-rc.d</prgn> (consultez <ref id="disableserv">) de façon à le retirer du système de démarrage.

note: type: <p><example>
en: For inetd services (launched by the superdaemon), check which services are enabled in <file>/etc/inetd.conf</file> using:
fr: Pour les services inetd (démarrés par le superdémon), vérifier les services activés dans <file>/etc/inetd.conf</file> avec&nbsp;:

note: type: </example></p>
en: Then disable those services that are not needed by commenting out the line that includes them in <file>/etc/inetd.conf</file>, removing the package, or using <prgn>update-inetd</prgn>.
fr: et désactiver ceux qui ne sont pas nécessaires en commentant la ligne qui les inclut dans <file>/etc/inetd.conf</file>, en supprimant le paquet ou en utilisant <prgn>update-inetd</prgn>.

note: type: <p></p>
en: If you have wrapped services (those using <prgn>/usr/sbin/tcpd</prgn>), check that the files <file>/etc/hosts.allow</file> and <file>/etc/hosts.deny</file> are configured according to your service policy.
fr: Si des services sont « encapsulés » («&nbsp;wrapped&nbsp;») (ceux utilisant <prgn>/usr/sbin/tcpd</prgn>), vérifier que les fichiers <file>/etc/hosts.allow</file> et <file>/etc/hosts.deny</file> sont configurés d'après les règles de services.

note: type: <p></p>
en: If the server uses more than one external interface, depending on the service, you may want to limit the service to listen on a specific interface. For example, if you want internal FTP access only, make the FTP daemon listen only on your management interface, not on all interfaces (i.e, 0.0.0.0:21).
fr: Si le serveur utilise plus d'une interface externe, vous pourriez limiter les services pour n'en écouter qu'une seule. Par exemple, pour un accès FTP interne, paramétrez le démon FTP pour n'écouter que sur l'interface désirée et non toutes les interfaces (c'est-à-dire 0.0.0.0:21).

note: type: <p><example>
en: Re-boot the machine, or switch to single user mode and then back to multiuser using the commands:
fr: Redémarrez la machine ou passez en mode utilisateur unique puis revenez en mode multiutilisateur avec&nbsp;:

note: type: <example></example>
en:   # init 1
      (....)
      # init 2
fr:   # init 1
      (...)
      # init 2

note: type: <p></p>
en: Check the services now available, and, if necessary, repeat the steps above.
fr: Vérifiez que les services sont maintenant disponibles et, si nécessaire, répétez les étapes ci-dessus.

note: type: <p></p>
en: Now install the needed services, if you have not done so already, and configure them properly.
fr: Installez maintenant les services nécessaires si ce n'est pas encore fait et configurez les correctement.

note: type: <p><example>
en: Use the following shell command to determine what user each available service is running as:
fr: Utilisez la commande d'interpréteur suivante pour déterminer l'utilisateur utilisé pour exécuter chaque service disponible&nbsp;:

note: type: <example></example>
en:   # for i in `/usr/sbin/lsof -i |grep LISTEN |cut -d " " -f 1 |sort -u`; \
      > do user=`ps ef |grep $i |grep -v grep |cut -f 1 -d " "` ; \
      > echo "Service $i is running as user $user"; done
fr:   # for i in `/usr/sbin/lsof -i |grep LISTEN |cut -d " " -f 1 |sort -u`;\
      > do user=`ps ef |grep $i |grep -v grep |cut -f 1 -d " "` ;\
      > echo "Le service $i a été démarré en tant qu'utilisateur $user"; done

note: type: </example></p>
en: Consider changing these services to a specific user/group and maybe <prgn>chroot</prgn>'ing them for increased security. You can do this by changing the <file>/etc/init.d</file> scripts which start the service. Most services in Debian use <prgn>start-stop-daemon</prgn>, which has options (<tt>--change-uid</tt> and <tt>--chroot</tt>) for accomplishing this. A word of warning regarding the <prgn>chroot</prgn>'ing of services: you may need to put all the files installed by the package (use dpkg -L) providing the service, as well as any packages it depends on, in the <prgn>chroot</prgn>'ed environment. Information about setting up a <prgn>chroot</prgn> environment for the <prgn>ssh</prgn> program can be found in <ref id="chroot-ssh-env">.
fr: Pensez à modifier les utilisateur et groupe lançant ces services pour un couple utilisateur et groupe donné, et utilisez éventuellement <prgn>chroot</prgn> pour augmenter le niveau de sécurité. Vous pouvez procéder en changeant les scripts de démarrage de services de <file>/etc/init.d</file>. La plupart des services dans Debian utilisent <prgn>start-stop-daemon</prgn> qui propose des options (<tt>--change-uid</tt> et <tt>--chroot</tt>) pour faire cela. Un petit avertissement concernant l'utilisation de <prgn>chroot</prgn> pour des services est nécessaire&nbsp;: tous les fichiers installés par le paquet (consultez la sortie de dpkg -L) fournissant le service ainsi que les paquets dont il dépend peuvent être nécessaires dans l'environnement <prgn>chroot</prgn>. Des renseignements sur la mise en place d'un environnement <prgn>chroot</prgn> pour le programme <prgn>ssh</prgn> sont disponibles en <ref id="chroot-ssh-env">.

note: type: <p></p>
en: Repeat the steps above in order to check that only desired services are running and that they are running as the desired user/group combination.
fr: Répéter les étapes ci-dessus afin de vérifier que seuls les services désirés sont en cours d'exécution et qu'ils fonctionnent avec une combinaison utilisateur et groupe désirée.

note: type: <p></p>
en: Test the installed services in order to see if they work as expected.
fr: Tester les services installés afin de voir si leur fonctionnement est bien celui souhaité.

note: type: <p></p>
en: Check the system using a vulnerability assessment scanner (like <package>nessus</package>), in order to determine vulnerabilities in the system (i.e., misconfiguration, old services or unneeded services).
fr: Vérifier le système en utilisant un scanner de vulnérabilités (comme <package>nessus</package>) de façon à déterminer les vulnérabilités du système (mauvaise configuration, services vieux ou non nécessaires).

note: type: <p></p>
en: Install network and host intrusion measures like <package>snort</package> and <package>logcheck</package>.
fr: Mettre en place des mesures contre les intrusions de réseau et d'hôte comme <package>snort</package> et <package>logcheck</package>.

note: type: <p></p>
en: Repeat the network scanner step and verify that the intrusion detection systems are working correctly.
fr: Répéter l'étape du scanner de réseau et vérifier que le système de détection d'intrusion fonctionne correctement.

note: type: <p><list>
en: For the truly paranoid, also consider the following:
fr: Pour les personnes vraiment paranoïaques, les considérations suivantes sont à envisager.

note: type: <p></p>
en: Add firewalling capabilities to the system, accepting incoming connections only to offered services and limiting outgoing connections only to those that are authorized.
fr: Ajouter au système des possibilités de pare-feu, acceptant les connexions entrantes uniquement pour les services définis et limitant les connexions sortantes à celles autorisées.

note: type: <p></p>
en: Re-check the installation with a new vulnerability assessment using a network scanner.
fr: Revérifier l'installation avec une nouvelle évaluation de vulnérabilité à l'aide d'un scanner de réseaux.

note: type: <p></p>
en: Using a network scanner, check outbound connections from the system to an outside host and verify that unwanted connections do not find their way out.
fr: Vérifier les connexions sortantes en utilisant un scanner de réseaux depuis le système jusqu'à un hôte à l'extérieur et vérifier que les connexions non voulues ne trouvent pas leur sortie.

note: type: <p></p>
en: FIXME: this procedure considers service hardening but not system hardening at the user level, include information regarding checking user permissions, SETUID files and freezing changes in the system using the ext2 file system.
fr: FIXME : Cette procédure considère le durcissement de service, mais pas le renforcement du système au niveau utilisateur, incluant des informations à propos de la vérification des droits d'utilisateurs, les fichiers setuid et le gel des changements dans le système en utilisant le système de fichiers ext2.

note: type: <heading></heading>
en: Configuration checklist
fr: Liste des contrôles de configuration

note: type: <p></p>
en: This appendix briefly reiterates points from other sections in this manual in a condensed checklist format. This is intended as a quick summary for someone who has already read the manual. There are other good checklists available, including Kurt Seifried's <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step"> and <url id="http://www.cert.org/tech_tips/usc20_full.html" name="CERT's Unix Security Checklist">.
fr: Cette annexe récapitule brièvement les points des autres sections de ce manuel sous une forme condensée de liste de contrôles. C'est un petit résumé pour ceux qui ont déjà lu le manuel. D'autres listes de contrôles sont disponibles, y compris la <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="sécurisation de Linux pas à pas"> de Kurt Seifried et la <url id="http://www.cert.org/tech_tips/usc20_full.html" name="liste de contrôles de sécurité UNIX du CERT">.

note: type: <p><list>
en: FIXME: This is based on v1.4 of the manual and might need to be updated.
fr: FIXME : C'est basé sur la version 1.4 du manuel et a peut-être besoin d'une mise à jour.

note: type: <p><list>
en: Limit physical access and booting capabilities
fr: Limiter les accès physiques et les possibilités de démarrage.

note: type: <p></p>
en: Enable a password in the BIOS.
fr: Activer un mot de passe pour le BIOS.

note: type: <p></p>
en: Disable floppy/cdrom/... booting in the system's BIOS.
fr: Désactiver le démarrage depuis disquette, CD, etc. dans le BIOS du système.

note: type: <p></p>
en: Set a LILO or GRUB password (<file>/etc/lilo.conf</file> or <file>/boot/grub/menu.lst</file>, respectively); check that the LILO or GRUB configuration file is read-protected.
fr: Mettre un mot de passe à LILO ou GRUB (respectivement <file>/etc/lilo.conf</file> ou <file>/boot/grub/menu.lst</file>)&nbsp;; vérifier que le fichier de configuration de LILO ou de GRUB est en lecture seule.

note: type: <p><list>
en: Partitioning
fr: Partitionnement.

note: type: <p></p>
en: Separate user-writable data, non-system data, and rapidly changing run-time data to their own partitions
fr: Séparer les données que les utilisateurs peuvent écrire, les données non système et les données d'exécution qui changent rapidement dans leurs propres partitions.

note: type: <p></p>
en: Set <tt>nosuid,noexec,nodev</tt> mount options in <file>/etc/fstab</file> on ext2/3 partitions that should not hold binaries such as <file>/home</file> or <file>/tmp</file>.
fr: Mettre les options de montage <tt>nosuid,noexec,nodev</tt> dans <file>/etc/fstab</file> pour les partitions ext2 ou ext3 telles que <file>/home</file> ou <file>/tmp</file>.

note: type: <p><list>
en: Password hygiene and login security
fr: Hygiène pour les mots de passe et la sécurité des connexions.

note: type: <p></p>
en: Set a good root password
fr: Choisir un bon mot de passe pour le superutilisateur.

note: type: <p></p>
en: Enable password shadowing and MD5
fr: Activer les mots de passe cachés et MD5.

note: type: <p><list>
en: Install and use PAM
fr: Installer et utiliser PAM.

note: type: <p></p>
en: Add MD5 support to PAM and make sure that (generally speaking) entries in <file>/etc/pam.d/</file> files which grant access to the machine have the second field in the pam.d file set to <tt>requisite</tt> or <tt>required</tt>.
fr: Ajouter la prise en charge de MD5 à PAM et s'assurer (de manière générale) que les entrées dans les fichiers <file>/etc/pam.d/</file> qui autorisent l'accès à la machine ont un second champ dans le fichier pam.d positionné à <tt>requisite</tt> ou <tt>required</tt>.

note: type: <p></p>
en: Tweak <file>/etc/pam.d/login</file> so as to only permit local root logins.
fr: Modifier <file>/etc/pam.d/login</file> pour que seul le superutilisateur puisse se connecter localement.

note: type: <p></p>
en: Also mark authorized tty:s in <file>/etc/security/access.conf</file> and generally set up this file to limit root logins as much as possible.
fr: Indiquer également les consoles (<em>ttys</em>) autorisées dans <file>/etc/security/access.conf</file> et configurer généralement ce fichier pour limiter au maximum les connexions du superutilisateur.

note: type: <p></p>
en: Add pam_limits.so if you want to set per-user limits
fr: Ajouter pam_limits.so pour définir des limites par utilisateur.

note: type: <p></p>
en: Tweak <file>/etc/pam.d/passwd</file>: set minimum length of passwords higher (6 characters maybe) and enable MD5
fr: Modifier <file>/etc/pam.d/passwd</file>&nbsp;: augmenter la taille minimale du mot de passe (6 caractères par exemple) et activer MD5.

note: type: <p></p>
en: Add group wheel to <file>/etc/group</file> if desired; add pam_wheel.so group=wheel entry to <file>/etc/pam.d/su</file>
fr: Ajouter éventuellement le groupe wheel à <file>/etc/group</file> ; ajouter l'entrée pam_wheel.so group=wheel au fichier <file>/etc/pam.d/su</file>.

note: type: <p></p>
en: For custom per-user controls, use pam_listfile.so entries where appropriate
fr: Pour les contrôles personnalisés par utilisateur, utiliser les entrées appropriées de pam_listfile.so.

note: type: <p></p>
en: Have an <file>/etc/pam.d/other</file> file and set it up with tight security
fr: Avoir un fichier <file>/etc/pam.d/other</file> et mettre en place une sécurité resserrée.

note: type: <p></p>
en: Set up limits in <file>/etc/security/limits.conf</file> (note that <file>/etc/limits</file> is not used if you are using PAM)
fr: Définir des limites dans <file>/etc/security/limits.conf</file> (remarquez que <file>/etc/limits</file> n'est pas utilisé si vous utilisez PAM).

note: type: <p></p>
en: Tighten up <file>/etc/login.defs</file>; also, if you enabled MD5 and/or PAM, make sure you make the corresponding changes here, too
fr: Resserrer <file>/etc/login.defs</file>&nbsp;; de même, si vous activez MD5 ou PAM, assurez-vous de faire également les modifications dans ce fichier.

note: type: <p></p>
en: Tighten up <file>/etc/pam.d/login</file>
fr: Resserrer <file>/etc/pam.d/login</file>

note: type: <p></p>
en: Disable root ftp access in <file>/etc/ftpusers</file>
fr: Désactiver l'accès FTP au superutilisateur dans le fichier <file>/etc/ftpusers</file>.

note: type: <p></p>
en: Disable network root login; use <manref name="su" section="1"> or <manref name="sudo" section="1">. (consider installing <package>sudo</package>)
fr: Désactiver la connexion réseau du superutilisateur ; utiliser <manref section="1" name="su"> ou <manref section="1" name="sudo"> (considérer l'installation du paquet <package>sudo</package>).

note: type: <p></p>
en: Use PAM to enforce additional constraints on logins?
fr: Utiliser PAM pour imposer des contraintes supplémentaires sur les connexions&nbsp;?

note: type: <p><list>
en: Other local security issues
fr: Autres problèmes locaux de sécurité.

note: type: <p></p>
en: Kernel tweaks (see <ref id="kernel-conf">)
fr: Modifications du noyau (consultez <ref id="kernel-conf">).

note: type: <p></p>
en: Kernel patches (see <ref id="kernel-patches">)
fr: Correctifs du noyau (consultez <ref id="kernel-patches">).

note: type: <p></p>
en: Tighten up log file permissions (<file>/var/log/{last,fail}log</file>, Apache logs)
fr: Resserrer les permissions sur les fichiers journaux (<file>/var/log/{last,fail}log</file>, journaux d'Apache).

note: type: <p></p>
en: Verify that SETUID checking is enabled in <file>/etc/checksecurity.conf</file>
fr: Vérifier que la vérification de setuid est activée dans <file>/etc/checksecurity.conf</file>.

note: type: <p></p>
en: Consider making some log files append-only and configuration files immutable using chattr (ext2/3 file systems only)
fr: Penser à créer des fichiers journaux avec uniquement le droit d'ajout et des fichiers de configuration invariants en utilisant chattr (systèmes de fichiers ext2 ou ext3 uniquement).

note: type: <p></p>
en: Set up file integrity (see <ref id="check-integ">). Install <package>debsums</package>
fr: Mettre en place une vérification d'intégrité des fichiers (consultez <ref id="check-integ">). Installer <package>debsums</package>.

note: type: <p></p>
en: Log everything to a local printer?
fr: Impression de tous les fichiers journaux sur une imprimante locale&nbsp;?

note: type: <p></p>
en: Burn your configuration on a boot-able CD and boot off that?
fr: Graver la configuration sur un CD amorçable et démarrer dessus ?

note: type: <p></p>
en: Disable kernel modules?
fr: Désactiver les modules pour le noyau&nbsp;?

note: type: <p><list>
en: Limit network access
fr: Restreindre les accès réseaux.

note: type: <p></p>
en: Install and configure <prgn>ssh</prgn> (suggest PermitRootLogin No in <file>/etc/ssh/sshd_config</file>, PermitEmptyPasswords No; note other suggestions in text also)
fr: Installer et configurer <prgn>ssh</prgn> (considérer « PermitRootLogin No » dans <file>/etc/ssh</file> et « PermitEmptyPasswords No » ; d'autres suggestions sont également dans le texte).

note: type: <p></p>
en: Disable or remove <prgn>in.telnetd</prgn>, if installed
fr: Désactiver ou supprimer <prgn>in.telnetd</prgn> s'il est installé.

note: type: <p></p>
en: Generally, disable gratuitous services in <file>/etc/inetd.conf</file> using <prgn>update-inetd --disable</prgn> (or disable <prgn>inetd</prgn> altogether, or use a replacement such as <prgn>xinetd</prgn> or <prgn>rlinetd</prgn>)
fr: Généralement, désactiver les services inutiles dans le fichier <file>/etc/inetd.conf</file> en utilisant <tt>update-inetd --disable</tt> (ou désactiver inetd complètement, ou utiliser une solution de rechange comme <prgn>xinetd</prgn> ou <prgn>rlinetd</prgn>).

note: type: <p></p>
en: Disable other gratuitous network services; ftp, DNS, WWW etc should not be running if you do not need them and monitor them regularly. In most cases mail should be running but configured for local delivery only.
fr: Désactiver les autres services inutiles&nbsp;; FTP, DNS, HTTP, etc. ne devraient pas être démarrés si vous n'en avez pas besoin et être surveillés régulièrement sinon. Dans la plupart des cas, les courriers électroniques devraient être fonctionnels, mais configurés uniquement pour la livraison locale.

note: type: <p></p>
en: For those services which you do need, do not just use the most common programs, look for more secure versions shipped with Debian (or from other sources). Whatever you end up running, make sure you understand the risks.
fr: Pour les services nécessaires, n'utilisez pas simplement les programmes usuels, recherchez des versions plus sécurisées disponibles dans Debian (ou depuis tout autre source). Peu importe celle choisie, assurez-vous de bien comprendre les risques induits.

note: type: <p></p>
en: Set up <prgn>chroot</prgn> jails for outside users and daemons.
fr: Mettre en place des prisons <prgn>chroot</prgn> pour les utilisateurs et démons extérieurs.

note: type: <p></p>
en: Configure firewall and tcpwrappers (i.e. <manref name="hosts_access" section="5">); note trick for <file>/etc/hosts.deny</file> in text.
fr: Configurer un pare-feu et l'encapsulation TCP (consulter <manref section="5" name="hosts_access">)&nbsp;; considérer l'astuce pour <file>/etc/hosts.deny</file> dans le texte.

note: type: <p></p>
en: If you run ftp, set up your ftpd server to always run <prgn>chroot</prgn>'ed to the user's home directory
fr: Si FTP est disponible, mettre en place un serveur FTP qui sera toujours démarré dans un environnement <prgn>chroot</prgn> dans le répertoire personnel de l'utilisateur.

note: type: <p></p>
en: If you run X, disable xhost authentication and go with <prgn>ssh</prgn> instead; better yet, disable remote X if you can (add -nolisten tcp to the X command line and turn off XDMCP in <file>/etc/X11/xdm/xdm-config</file> by setting the requestPort to 0)
fr: Si X est disponible, désactiver l'authentification xhost et utiliser plutôt <prgn>ssh</prgn>&nbsp;; de façon encore plus sécurisée, désactiver X à distance si possible (ajouter -nolisten tcp à la ligne de commande de X et désactiver XDMCP dans le fichier <file>/etc/X11/xdm/xdm-config</file> en affectant la valeur 0 à requestPort).

note: type: <p></p>
en: Disable remote access to printers
fr: Désactiver l'accès distant aux imprimantes.

note: type: <p></p>
en: Tunnel any IMAP or POP sessions through SSL or <prgn>ssh</prgn>; install stunnel if you want to provide this service to remote mail users
fr: Chiffrer toute session IMAP ou POP par SSL ou <prgn>ssh</prgn>&nbsp;; installer éventuellement stunnel pour fournir ce service aux utilisateurs de courrier à distance.

note: type: <p></p>
en: Set up a log host and configure other machines to send logs to this host (<file>/etc/syslog.conf</file>)
fr: Mettre en place un hôte de journaux et configurer les autres machines pour qu'elles envoient les journaux à cet hôte (<file>/etc/syslog.conf</file>).

note: type: <p></p>
en: Secure BIND, Sendmail, and other complex daemons (run in a <prgn>chroot</prgn> jail; run as a non-root pseudo-user)
fr: Sécuriser BIND, Sendmail et tout autre démon complexe (exécuter dans une prison <prgn>chroot</prgn>&nbsp;; exécuter en tant que peudo-utilisateur non superutilisateur).

note: type: <p></p>
en: Install tiger or a similar network intrusion detection tool.
fr: Installer tiger ou un outil similaire de détection d'intrusion réseau.

note: type: <p></p>
en: Install snort or a similar network intrusion detection tool.
fr: Installer snort ou un outil similaire de détection d'intrusion réseau.

note: type: <p></p>
en: Do without NIS and RPC if you can (disable portmap).
fr: Faire sans NIS et RPC si possible (désactiver portmap).

note: type: <p><list>
en: Policy issues
fr: Problèmes de règlement.

note: type: <p></p>
en: Educate users about the whys and hows of your policies. When you have prohibited something which is regularly available on other systems, provide documentation which explains how to accomplish similar results using other, more secure means.
fr: Expliquer aux utilisateurs les tenants et aboutissants des règles. Lorsque vous interdisez quelque chose habituellement disponible sur d'autres systèmes, fournissez-leur une documentation qui explique comment arriver aux mêmes résultats de façon plus sécurisée.

note: type: <p></p>
en: Prohibit use of protocols which use clear-text passwords (<prgn>telnet</prgn>, <prgn>rsh</prgn> and friends; ftp, imap, http, ...).
fr: Interdire l'utilisation de protocoles qui utilisent des mots de passe en clair (<prgn>telnet</prgn>, <prgn>rsh</prgn> et similaire&nbsp;; FTP, IMAP, HTTP, etc.)

note: type: <p></p>
en: Prohibit programs which use SVGAlib.
fr: Interdire les programmes qui utilisent la SVGAlib.

note: type: <p></p>
en: Use disk quotas.
fr: Utiliser les quotas de disque.

note: type: <p><list>
en: Keep informed about security issues
fr: Rester informé des problèmes de sécurité.

note: type: <p></p>
en: Subscribe to security mailing lists
fr: S'abonner aux listes de discussions liées à la sécurité.

note: type: <p></p>
en: Configure <package>apt</package> for security updates -- add to <file>/etc/apt/sources.list</file> an entry (or entries) for http://security.debian.org/
fr: Configurer <package>apt</package> pour les mises à jour de sécurité &mdash; ajouter une entrée (ou plusieurs entrées) à <file>/etc/apt/sources.list</file> pour http://security.debian.org/.

note: type: <p></p>
en: Also remember to periodically run <prgn>apt-get update ; apt-get upgrade</prgn> (perhaps install as a <prgn>cron</prgn> job?) as explained in <ref id="security-update">.
fr: Se rappeler périodiquement d'exécuter <prgn>apt-get update ; apt-get upgrade</prgn> (mettre en place peut-être une tâche <prgn>cron</prgn>&nbsp;?) comme expliqué dans <ref id="security-update">.

note: type: <heading></heading>
en: Setting up a stand-alone IDS
fr: Paramétrage d'un IDS autonome

note: type: <p><list>
en: You can easily set up a dedicated Debian system as a stand-alone Intrusion Detection System using <package>snort</package> and a web-based interface to analyse the intrusion detection alerts:
fr: Un système Debian autonome peut être facilement configuré en tant que système de détection d'intrusion (IDS) avec <package>snort</package> et une interface web pour analyser les alertes de détection d'intrusion :

note: type: <p></p>
en: Install a base Debian system and select no additional packages.
fr: installer un système de base Debian sans sélectionner de paquets supplémentaires ;

note: type: <p></p>
en: Install one of the Snort versions with database support and configure the IDS to log alerts into the database.
fr: installer une version de Snort avec prise en charge de base de données et configurer l'IDS pour journaliser les alertes dans la base de données ;

note: type: <p></p>
en: Download and install BASE (Basic Analysis and Security Engine), or ACID (Analysis Console for Intrusion Databases). Configure it to use the same database than Snort.
fr: télécharger et installer BASE (Basic Analysis and Security Engine) ou ACID (Analysis Console for Intrusion Databases). Le configurer pour utiliser la même base de données que Snort ;

note: type: <p></p>
en: Download and install the necessary packages<footnote><p>Typically the needed packages will be installed through the dependencies</p></footnote>.
fr: télécharger et installer les paquets nécessaires<footnote><p>Typiquement les paquets nécessaires seront installés par l'intermédiaire des dépendances.</p></footnote>.

note: type: <p></p>
en: BASE is currently packaged for Debian in <package>acidbase</package> and ACID is packaged as <package>acidlab</package><footnote><p>It can also be downloaded from <url id="http://www.cert.org/kb/acid/">, <url id="http://acidlab.sourceforge.net"> or <url id="http://www.andrew.cmu.edu/~rdanyliw/snort/">.</p></footnote>. Both provide a graphical WWW interface to Snort's output.
fr: BASE est actuellement empaqueté pour Debian dans <package>acidbase</package> et ACID est empaqueté sous le nom d'<package>acidlab</package><footnote><p>Il est aussi disponible au téléchargement depuis <url id="http://www.cert.org/kb/acid/">, <url id="http://acidlab.sourceforge.net"> et <url id="http://www.andrew.cmu.edu/~rdanyliw/snort/">.</p></footnote>. Les deux paquets fournissent une interface web graphique à la sortie de Snort.

note: type: <p></p>
en: Besides the base installation you will also need a web server (such as <package>apache</package>), a <prgn>PHP</prgn> interpreter and a relational database (such <package>postgresql</package> or <package>mysql</package>) where Snort will store its alerts.
fr: À part l'installation de base, vous aurez aussi besoin d'un serveur web (comme <package>apache</package>), un interpréteur <prgn>PHP</prgn> et une base de données relationnelle (comme <package>postgresql</package> ou <package>mysql</package>) où Snort enregistrera ses alertes.

note: type: <p></p>
en: This system should be set up with at least two interfaces: one interface connected to a management LAN (for accessing the results and maintaining the system), and one interface with no IP address attached to the network segment being analyzed. You should configure the web server to listen only on the interface connected to the management LAN.
fr: Le système devrait être mis en place avec au moins deux interfaces&nbsp;: l'une connectée à un réseau de gestion (pour accéder aux résultats et maintenir le système), l'autre sans adresse IP liée au secteur du réseau à analyser. Le serveur web devrait être configuré pour n'écouter que sur l'interface connectée au réseau de gestion.

note: type: <p><example>
en: You should configure both interfaces in the standard Debian <file>/etc/network/interfaces</file> configuration file. One (the management LAN) address can be configured as you would normally do. The other interface needs to be configured so that it is started up when the system boots, but with no interface address. You can use the following interface definition:
fr: Les deux interfaces devraient être configurées dans le fichier de configuration standard Debian <file>/etc/network/interfaces</file>. Une adresse (sur le réseau de gestion) peut être configurée normalement. L'autre interface doit être configurée pour être démarrée lorsque le système démarre, mais sans adresse d'interface. La définition d'interface suivante peut être utilisée :

note: type: <p></p>
en: The above configures an interface to read all the traffic on the network in a <em>stealth</em>-type configuration. This prevents the NIDS system to be a direct target in a hostile network since the sensors have no IP address on the network. Notice, however, that there have been known bugs over time in sensors part of NIDS (for example see <url id="http://www.debian.org/security/2003/dsa-297" name="DSA-297"> related to Snort) and remote buffer overflows might even be triggered by network packet processing.
fr: Ce qui précède configure une interface pour lire tout le trafic du réseau dans une configuration <em>dissimulée</em> (<em>stealth</em>). Cela empêche le système NIDS d'être une cible directe dans un réseau hostile car les détecteurs n'ont pas d'adresse IP sur ce réseau. Remarquez cependant que certains bogues ont existé sur la partie détecteurs de NIDS (consultez par exemple <url id="http://www.debian.org/security/2003/dsa-297" name="DSA-297"> sur Snort) et des dépassements de tampon distants pourraient même être déclenchés par le traitement de paquet réseau.

note: type: <p></p>
en: You might also want to read the <url id="http://www.faqs.org/docs/Linux-HOWTO/Snort-Statistics-HOWTO.html" name="Snort Statistics HOWTO"> and the documentation available at the <url id="http://www.snort.org/docs/" name="Snort official site">.
fr: Vous pouvez aussi consulter le <url id="http://www.faqs.org/docs/Linux-HOWTO/Snort-Statistics-HOWTO.html" name="HOWTO de statistiques de Snort"> et la documentation disponible sur le <url id="http://www.snort.org/docs/" name="site officiel de Snort">.

note: type: <heading></heading>
en: Setting up a bridge firewall
fr: Configuration d'un pare-feu pont

note: type: <p></p>
en: This information was contributed by Francois Bayart in order to help users set up a Linux bridge/firewall with the 2.4.x kernel and <package>iptables</package>. Kernel patches are no more needed as the code was made standard part of the Linux kernel distribution.
fr: Ces informations sont fournies par Francois Bayart pour aider les utilisateurs à mettre en place un pare-feu pont avec le noyau 2.4.x et <package>iptables</package>. Des correctifs de noyau ne sont plus nécessaires car le code est maintenant une partie standard de la distribution du noyau Linux.

note: type: <p><example>
en: To configure the kernel with necessary support, run <tt>make menuconfig</tt> or <tt>make xconfig</tt>. In the section <em>Networking options</em>, enable the following options:
fr: Pour configurer le noyau avec la prise en charge nécessaire, exécutez <tt>make menuconfig</tt> ou <tt>make xconfig</tt>. Dans la section <em>Networking options</em>, activez les options suivantes&nbsp;:

note: type: <p><example>
en: Caution: you must disable this if you want to apply some firewalling rules or else <prgn>iptables</prgn> will not work:
fr: Avertissement&nbsp;: vous devez désactiver ceci si vous voulez appliquer des règles de pare-feu ou sinon <prgn>iptables</prgn> ne fonctionnera pas&nbsp;:

note: type: <p></p>
en: Next, add the correct options in the section <em>IP: Netfilter Configuration</em>. Then, compile and install the kernel. If you want to do it the <em>Debian way</em>, install <package>kernel-package</package> and run <prgn>make-kpkg</prgn> to create a custom Debian kernel package you can install on your server using dpkg. Once the new kernel is compiled and installed, install the <package>bridge-utils</package> package.
fr: Ensuite, ajoutez les options correctes dans la section <em>IP: Netfilter Configuration</em>. Puis, compilez et installez le noyau. Si vous désirez le faire à la <em>sauce Debian</em>, installez <package>kernel-package</package> et exécutez <prgn>make-kpkg</prgn> pour créer un paquet noyau personnalisé Debian à installer sur le serveur en utilisant dpkg. Une fois le nouveau noyau compilé et installé, installez le paquet <package>bridge-utils</package>.

note: type: <p></p>
en: Once these steps are complete, you can complete the configuration of your bridge. The next section presents two different possible configurations for the bridge, each with a hypothetical network map and the necessary commands.
fr: Une fois ces étapes achevées, vous pouvez terminer la configuration du pont. La section suivante présente deux configurations différentes possibles pour le pont, chacune avec une carte réseau hypothétique et les commandes nécessaires.

note: type: <heading></heading>
en: A bridge providing NAT and firewall capabilities
fr: Un pont fournissant des fonctionnalités de traduction d'adresse (NAT) et de pare-feu

note: type: <p><example>
en: The first configuration uses the bridge as a firewall with network address translation (NAT) that protects a server and internal LAN clients. A diagram of the network configuration is shown below:
fr: La première configuration utilise le pont comme un pare-feu avec traduction d'adresse réseau (NAT) qui protège un serveur et les clients du réseau interne. Voici ci-dessous un diagramme de la configuration du réseau&nbsp;:

note: type: <example></example>
en: Internet ---- router ( 62.3.3.25 ) ---- bridge (62.3.3.26 gw 62.3.3.25 / 192.168.0.1)
                                              |
                                              |
                                              |---- WWW Server (62.3.3.27 gw 62.3.3.25)
                                              |
                                              |
                                             LAN --- Zipowz (192.168.0.2 gw 192.168.0.1)
fr: Internet ---- routeur ---- pont
                (62.3.3.25)  (62.3.3.26 gw 62.3.3.25 / 192.168.0.1)
                                |
                                |
                                |---- serveur web
                                |   (62.3.3.27 gw 62.3.3.25)
                                |
                               réseau ---- Zipowz
                                         (192.168.0.2 gw 192.168.0.1)

note: type: <p><example>
en: The following commands show how this bridge can be configured.
fr: Les commandes suivantes présentent une façon de configurer ce pont.

note: type: <example></example>
en: # Create the interface br0
    /usr/sbin/brctl addbr br0
    
    # Add the Ethernet interface to use with the bridge
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Start up the Ethernet interface
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configure the bridge ethernet
    # The bridge will be correct and invisible ( transparent firewall ).
    # It's hidden in a traceroute and you keep your real gateway on the 
    # other computers. Now if you want you can config a gateway on your 
    # bridge and choose it as your new gateway for the other computers.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
    
    # I have added this internal IP to create my NAT 
    ip addr add 192.168.0.1/24 dev br0
    /sbin/route add default gw 62.3.3.25
fr: # Créer l'interface br0
    /usr/sbin/brctl addbr br0
    
    # Ajouter l'interface Ethernet à utiliser avec le pont
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Activer l'interface Ethernet
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configurer le pont Ethernet
    # Le pont sera correct et invisible (pare-feu transparent).
    # Il est invisible à traceroute et la passerelle réelle est
    # conservée sur les autres machines. La passerelle pourrait aussi
    # être configurée sur le pont et être choisie comme nouvelle
    # passerelle pour les autres machines.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
    
    # Cette IP interne est ajoutée pour créer la traduction d'adresse
    ip addr add 192.168.0.1/24 dev br0
    /sbin/route add default gw 62.3.3.25

note: type: <heading></heading>
en: A bridge providing firewall capabilities
fr: Un pont fournissant des fonctionnalités de pare-feu

note: type: <p><example>
en: A second possible configuration is a system that is set up as a transparent firewall for a LAN with a public IP address space.
fr: Une seconde possibilité est un système mis en place comme un pare-feu transparent pour un réseau avec un espace d'adresses IP publiques.

note: type: <example></example>
en: Internet ---- router (62.3.3.25) ---- bridge (62.3.3.26)
                                            |
                                            |
                                            |---- WWW Server (62.3.3.28 gw 62.3.3.25)
                                            |
                                            |
                                            |---- Mail Server (62.3.3.27 gw 62.3.3.25)
fr: Internet ---- routeur ---- pont
                (62.3.3.25)  (62.3.3.26)
                                |
                                |
                                |---- serveur web
                                |   (62.3.3.28 gw 62.3.3.25)
                                |
                                |---- serveur de courriers
                                    (62.3.3.27 gw 62.3.3.25)

note: type: <example></example>
en: # Create the interface br0
    /usr/sbin/brctl addbr br0
    
    # Add the Ethernet interface to use with the bridge
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Start up the Ethernet interface
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configure the bridge Ethernet
    # The bridge will be correct and invisible ( transparent firewall ).
    # It's hidden in a traceroute and you keep your real gateway on the 
    # other computers. Now if you want you can config a gateway on your
    # bridge and choose it as your new gateway for the other computers.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
fr: # Créer l'interface br0
    /usr/sbin/brctl addbr br0
    
    # Ajouter l'interface Ethernet à utiliser avec le pont
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Activer l'interface Ethernet
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configurer le pont Ethernet
    # Le pont sera correct et invisible (pare-feu transparent).
    # Il est invisible à traceroute et la passerelle réelle est
    # conservée sur les autres machines. La passerelle pourrait aussi
    # être configurée sur le pont et être choisie comme nouvelle
    # passerelle pour les autres machines.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31

note: type: <p></p>
en: If you traceroute the Linux Mail Server, you won't see the bridge. If you want access to the bridge with <prgn>ssh</prgn>, you must have a gateway or you must first connect to another server, such as the "Mail Server", and then connect to the bridge through the internal network card.
fr: Si vous exécutez un traceroute vers le serveur de courriers Linux, vous ne verrez pas le pont. Si vous voulez accéder au pont avec <prgn>ssh</prgn>, vous devez utiliser une passerelle ou d'abord vous connecter sur un autre serveur comme le «&nbsp;serveur de courriers&nbsp;», puis ensuite vous connecter sur le pont par la carte réseau interne.

note: type: <heading></heading>
en: Basic IPtables rules
fr: Règles de base d'iptables

note: type: <p><example>
en: This is an example of the basic rules that could be used for either of these setups.
fr: Voici un exemple des règles de base qui pourraient être utilisées pour l'une ou l'autre des configurations.

note: type: <example></example>
en: iptables -F FORWARD
    iptables -P FORWARD DROP
    iptables -A FORWARD -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -m state --state INVALID -j DROP
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
    
    # Some funny rules but not in a classic Iptables sorry ...
    # Limit ICMP 
    # iptables -A FORWARD -p icmp -m limit --limit 4/s -j ACCEPT
    # Match string, a good simple method to block some VIRUS very quickly
    # iptables -I FORWARD -j DROP -p tcp -s 0.0.0.0/0 -m string --string "cmd.exe"
    
    # Block all MySQL connection just to be sure
    iptables -A FORWARD -p tcp -s 0/0 -d 62.3.3.0/24 --dport 3306 -j DROP
    
    # Linux Mail Server Rules
    
    # Allow FTP-DATA (20), FTP (21), SSH (22) 
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.27/32 --dport 20:22 -j ACCEPT
    
    # Allow the Mail Server to connect to the outside
    # Note: This is *not* needed for the previous connections 
    # (remember: stateful filtering) and could be removed.
    iptables -A FORWARD -p tcp -s 62.3.3.27/32 -d 0/0 -j ACCEPT
    
    # WWW Server Rules
    
    # Allow HTTP ( 80 ) connections with the WWW server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 80 -j ACCEPT
    
    # Allow HTTPS ( 443 ) connections with the WWW server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 443 -j ACCEPT
    
    # Allow the WWW server to go out
    # Note: This is *not* needed for the previous connections 
    # (remember: stateful filtering) and could be removed.
    iptables -A FORWARD -p tcp -s 62.3.3.28/32 -d 0/0 -j ACCEPT
fr: iptables -F FORWARD
    iptables -P FORWARD DROP
    iptables -A FORWARD -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -m state \
                        --state INVALID -j DROP
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
    
    # Quelques règles amusantes, mais pas pour un iptables classique,
    # désolé...
    # Limite ICMP 
    # iptables -A FORWARD -p icmp -m limit --limit 4/s -j ACCEPT
    # Correspond à une chaîne de caractères, une bonne méthode simple pour
    # bloquer certains VIRUS très rapidement
    # iptables -I FORWARD -j DROP -p tcp -s 0.0.0.0/0 -m string \
                        --string "cmd.exe"
    
    # Bloquer toutes les connexions MySQL simplement pour être sûr
    iptables -A FORWARD -p tcp -s 0/0 -d 62.3.3.0/24 --dport 3306 -j DROP
    
    # Règles du serveur de courriers Linux
    
    # Autoriser FTP-DATA (20), FTP (21), SSH (22)
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.27/32 --dport 20:22 \
                        -j ACCEPT
    
    # Autoriser le serveur de courriers à se connecter à l'extérieur
    # Remarque : ce n'est *pas* nécessaire pour les connexions précédentes
    # (rappel : filtrage à état) et peut être supprimé.
    iptables -A FORWARD -p tcp -s 62.3.3.27/32 -d 0/0 -j ACCEPT
    
    # Règles pour le serveur WWW
    
    # Autoriser les connexions HTTP (80) avec le serveur web
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 80 \
                        -j ACCEPT
    
    # Autoriser les connexions HTTPS (443) avec le serveur web
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 443 \
                        -j ACCEPT
    
    # Autoriser les connexions sortantes du serveur web
    # Remarque : ce n'est *pas* nécessaire pour les connexions précédentes
    # (rappel : filtrage à état) et peut être supprimé.
    iptables -A FORWARD -p tcp -s 62.3.3.28/32 -d 0/0 -j ACCEPT

note: type: <heading></heading>
en: Sample script to change the default Bind installation.
fr: Exemple de script pour changer l'installation par défaut de BIND

note: type: <p></p>
en: This script automates the procedure for changing the <prgn>bind</prgn> version 8 name server's default installation so that it does <em>not</em> run as the superuser. Notice that <prgn>bind</prgn> version 9 in Debian already does this by default <footnote><p>Since version 9.2.1-5. That is, since Debian release <em>sarge</em>.</p></footnote> , and you are much better using that version than <prgn>bind</prgn> version 8.
fr: Ce script automatise la procédure de modification d'installation par défaut du serveur de noms <prgn>bind</prgn> version 8 pour qu'il ne fonctionne <em>pas</em> en tant que superutilisateur. Remarquez que <prgn>bind</prgn> version 9 dans Debian fait déjà cela par défaut<footnote><p>Depuis la version 9.2.1-5. C'est-à-dire depuis Debian <em>Sarge</em>.</p></footnote>, et que vous devriez plutôt l'utiliser que <prgn>bind</prgn> version 8.

note: type: <p></p>
en: This script is here for historical purposes and to show how you can automate this kind of changes system-wide. The script will create the user and groups defined for the name server and will modify both <file>/etc/default/bind</file> and <file>/etc/init.d/bind</file> so that the program will run with that user. Use with extreme care since it has not been tested thoroughly.
fr: Ce script est laissé pour des raisons historiques et montre comment automatiser ce type de modifications globales du système. Le script créera les utilisateur et groupe définis pour le serveur de noms et modifiera à la fois <file>/etc/default/bind</file> et <file>/etc/init.d/bind</file> pour que le programme soit exécuté en tant que cet utilisateur. Utilisez-le avec la plus grande attention car il n'a pas été testé rigoureusement.

note: type: <p><example>
en: You can also create the users manually and use the patch available for the default init.d script attached to <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=157245" name="bug report #157245">.
fr: Vous pouvez aussi créer l'utilisateur vous-même et utiliser le correctif disponible pour le script d'initialisation par défaut attaché au <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=157245" name="rapport de bogue nº 157245">.

note: type: <example></example>
en:   #!/bin/sh
      # Change the default Debian bind v8 configuration to have it run
      # with a non-root user and group.
      # 
      # DO NOT USER this with version 9, use debconf for configure this instead
      #
      # WARN: This script has not been tested thoroughly, please
      # verify the changes made to the INITD script
    
      # (c) 2002 Javier Fernández-Sanguino Peña
      #
      #    This program is free software; you can redistribute it and/or modify
      #    it under the terms of the GNU General Public License as published by
      #    the Free Software Foundation; either version 1, or (at your option)
      #    any later version.
      #
      #    This program is distributed in the hope that it will be useful,
      #    but WITHOUT ANY WARRANTY; without even the implied warranty of
      #    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
      #    GNU General Public License for more details.
      #
      #     Please see the file `COPYING' for the complete copyright notice.
      #
    
      restore() {
      # Just in case, restore the system if the changes fail
        echo "WARN: Restoring to the previous setup since I'm unable to properly change it."
        echo "WARN: Please check the $INITDERR script."
        mv $INITD $INITDERR
        cp $INITDBAK $INITD
      }
    
    
      USER=named
      GROUP=named
      INITD=/etc/init.d/bind
      DEFAULT=/etc/default/bind
      INITDBAK=$INITD.preuserchange
      INITDERR=$INITD.changeerror
      AWKS="awk ' /\/usr\/sbin\/ndc reload/ { print \"stop; sleep 2; start;\"; noprint = 1; } /\\\\$/ { if ( noprint != 0 ) { noprint = noprint + 1;} } /^.*$/ { if ( noprint != 0 ) { noprint = noprint - 1; } else { print \$0; } } '"
    
      [ `id -u` -ne 0 ] && {
        echo "This program must be run by the root user"
        exit 1
      }
    
      RUNUSER=`ps eo user,fname |grep named |cut -f 1 -d " "`
    
      if [ "$RUNUSER" = "$USER" ] 
      then
        echo "WARN: The name server running daemon is already running as $USER"
        echo "ERR:  This script will not do any changes to your setup."
        exit 1
      fi
      if [ ! -f "$INITD" ]
      then
        echo "ERR:  This system does not have $INITD (which this script tries to change)"
        RUNNING=`ps eo fname |grep named`
        [ -z "$RUNNING" ] && \
          echo "ERR:  In fact the name server daemon is not even running (is it installed?)"
        echo "ERR:  No changes will be made to your system"
        exit 1
      fi
    
      # Check if there are options already setup 
      if [ -e "$DEFAULT" ]
      then
        if grep -q ^OPTIONS $DEFAULT; then
          echo "ERR: The $DEFAULT file already has options set."
          echo "ERR:  No changes will be made to your system"
        fi
      fi
    
      # Check if named group exists
      if [ -z "`grep $GROUP /etc/group`" ] 
      then
        echo "Creating group $GROUP:"
        addgroup $GROUP
      else
        echo "WARN: Group $GROUP already exists. Will not create it"
      fi
      # Same for the user
      if [ -z "`grep $USER /etc/passwd`" ] 
      then
        echo "Creating user $USER:"
        adduser --system --home /home/$USER \
          --no-create-home --ingroup $GROUP \
          --disabled-password --disabled-login $USER
      else
        echo "WARN: The user $USER already exists. Will not create it"
      fi
    
      # Change the init.d script
    
      # First make a backup (check that there is not already
      # one there first)
      if [ ! -f $INITDBAK ] 
      then
        cp $INITD $INITDBAK
      fi
    
      # Then use it to change it
      cat $INITDBAK |
      eval $AWKS &gt; $INITD
    
      # Now put the options in the /etc/default/bind file:
      cat &gt;&gt;$DEFAULT &lt;&lt;EOF
    # Make bind run with the user we defined
    OPTIONS="-u $USER -g $GROUP"
    EOF
    
      echo "WARN: The script $INITD has been changed, trying to test the changes."
      echo "Restarting the named daemon (check for errors here)."
    
      $INITD restart
      if [ $? -ne 0 ] 
      then
        echo "ERR:  Failed to restart the daemon."
        restore
        exit 1
      fi
    
      RUNNING=`ps eo fname |grep named`
      if [ -z "$RUNNING" ] 
      then
        echo "ERR:  Named is not running, probably due to a problem with the changes."
        restore
        exit 1
      fi
    
      # Check if it's running as expected
      RUNUSER=`ps eo user,fname |grep named |cut -f 1 -d " "`
    
      if [ "$RUNUSER" = "$USER" ] 
      then
        echo "All has gone well, named seems to be running now as $USER."
      else
        echo "ERR:  The script failed to automatically change the system."
        echo "ERR:  Named is currently running as $RUNUSER."
        restore
        exit 1
      fi
    
      exit 0
fr: #!/bin/sh
    # Modifier la configuration par défaut du BIND v8 de Debian pour qu'il
    # s'exécute en tant qu'utilisateur et groupe non superutilisateur.
    #
    # Ne pas utiliser cela avec la version 9, utiliser plutôt debconf pour le
    # configurer.
    #
    # Attention : ce script n'a pas été testé rigoureusement, veuillez
    # vérifier les modifications effectuées sur les scripts d'initialisation.
    
    # (c) 2002 Javier Fernández-Sanguino Peña
    #
    #    This program is free software; you can redistribute it and/or modify
    #    it under the terms of the GNU General Public License as published by
    #    the Free Software Foundation; either version 1, or (at your option)
    #    any later version.
    #
    #    This program is distributed in the hope that it will be useful,
    #    but WITHOUT ANY WARRANTY; without even the implied warranty of
    #    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    #    GNU General Public License for more details.
    #
    #     Please see the file `COPYING' for the complete copyright notice.
    #
    
    restore() {
    # Au cas où, restaurer le système si la modification échoue
      echo "Attention : restauration de la configuration précédente car il"
      echo "            est impossible de la modifier correctement."
      echo "Attention : veuillez vérifier le script $INITDERR."
      mv $INITD $INITDERR
      cp $INITDBAK $INITD
    }
    
    
    USER=named
    GROUP=named
    INITD=/etc/init.d/bind
    DEFAULT=/etc/default/bind
    INITDBAK=$INITD.preuserchange
    INITDERR=$INITD.changeerror
    AWKS="awk ' /\/usr\/sbin\/ndc reload/ { print \"stop; sleep 2; start;\"; noprint = 1; } /\\\\$/ { if ( noprint != 0 ) { noprint = noprint + 1;} } /^.*$/ { if ( noprint != 0 ) { noprint = noprint - 1; } else { print \$0; } } '"
    
    [ `id -u` -ne 0 ] && {
      echo "Ce script doit être exécuté en tant que superutilisateur"
      exit 1
    }
    
    RUNUSER=`ps eo user,fname |grep named |cut -f 1 -d " "`
    
    if [ "$RUNUSER" = "$USER" ] 
    then
      echo "Attention : le démon de serveur de noms est déjà exécuté en tant"
      echo "            que $USER."
      echo "Erreur :    ce script ne modifiera pas la configuration."
      exit 1
    fi
    if [ ! -f "$INITD" ]
    then
      echo "Erreur :    ce système n'a pas de $INITD (ce que ce script tente de"
      echo "            modifier)"
      RUNNING=`ps eo fname |grep named`
      [ -z "$RUNNING" ] && \
      echo "Erreur :    en fait, le démon de serveur de noms n'est même pas en"
      echo "            cours d'exécution (est-il installé ?)"
      echo "Erreur :    aucune modification ne sera apportée au système."
      exit 1
    fi
    
    # Vérifier si les options sont déjà configurées
    if [ -e "$DEFAULT" ]
    then
      if grep -q ^OPTIONS $DEFAULT; then
        echo "Erreur :    le fichier $DEFAULT a déjà des options configurées."
        echo "Erreur :    aucune modification ne sera apportée au système."
      fi
    fi
    # Vérifier si le groupe named existe
    if [ -z "`grep $GROUP /etc/group`" ] 
    then
      echo "Création du groupe $GROUP :"
      addgroup $GROUP
    else
      echo "Attention : le groupe $GROUP existe déjà. Il ne sera pas créé."
    fi
    # Pareil pour l'utilisateur
    if [ -z "`grep $USER /etc/passwd`" ] 
    then
      echo "Création de l'utilisateur $USER :"
      adduser --system --home /home/$USER \
      --no-create-home --ingroup $GROUP \
      --disabled-password --disabled-login $USER
    else
      echo "Attention : l'utilisateur $USER existe déjà. Il ne sera pas créé."
    fi
    
    # Modifier le script init.d
    
    # D'abord faire une sauvegarde (vérifier qu'il n'y en a pas déjà une)
    if [ ! -f $INITDBAK ] 
    then
      cp $INITD $INITDBAK
    fi
    
    # Puis l'utiliser pour la modifier
    cat $INITDBAK |
    eval $AWKS &gt; $INITD
    
    # Enfin placer les options dans le fichier /etc/default/bind
    cat &gt;&gt;$DEFAULT &lt;&lt;EOF
    # Utiliser l'utilisateur défini pour exécuter bind
    OPTIONS="-u $USER -g $GROUP"
    EOF
    echo "Attention : le script $INITD a été modifié, tentative de test des"
    echo "            modifications."
    echo "Redémarrage du démon named (vérification des erreurs en cours)."
    
    $INITD restart
    if [ $? -ne 0 ]
    then
      echo "Erreur :    échec du redémarrage du démon."
      restore
      exit 1
    fi
    
    RUNNING=`ps eo fname |grep named`
    if [ -z "$RUNNING" ] 
    then
      echo "Erreur :    named n'est pas en cours d'exécution, c'est sans doute"
      echo "            dû à un problème avec les modifications."
      restore
      exit 1
     fi
    
    # Vérifier que named fonctionne comme prévu
    RUNUSER=`ps eo user,fname |grep named |cut -f 1 -d " "`
    
    if [ "$RUNUSER" = "$USER" ] 
    then
      echo "Tout s'est bien passé, named semble maintenant fonctionner en tant"
      echo "            que $USER."
    else
      echo "Erreur :    le script a échoué à modifier automatiquement le système."
      echo "Erreur :    named fonctionne actuellement en tant que $RUNUSER."
      restore
      exit 1
    fi
    
    exit 0

note: type: <p></p>
en: The previous script, run on Woody's (Debian 3.0) custom <prgn>bind</prgn> (version 8), will modify the initd file after creating the 'named' user and group and will
fr: Le script précédent, exécuté sur le <prgn>bind</prgn> (version 8) personnalisé de Woody (Debian 3.0), modifiera le fichier initd après création de l'utilisateur et du groupe «&nbsp;named&nbsp;».

note: type: <heading></heading>
en: Security update protected by a firewall
fr: Mise à jour de sécurité protégée par un pare-feu

note: type: <p></p>
en: After a standard installation, a system may still have some security vulnerabilities. Unless you can download updates for the vulnerable packages on another system (or you have mirrored security.debian.org for local use), the system will have to be connected to the Internet for the downloads.
fr: Après une installation standard, un système peut toujours avoir des failles de sécurité. À moins de pouvoir télécharger les mises à jour pour les paquets vulnérables depuis un autre système (ou si vous avez fait un miroir de security.debian.org pour utilisation en local), le système devra être connecté à Internet pour les téléchargements.

note: type: <p></p>
en: However, as soon as you connect to the Internet you are exposing this system. If one of your local services is vulnerable, you might be compromised even before the update is finished! This may seem paranoid but, in fact, analysis from the <url id="http://www.honeynet.org" name="Honeynet Project"> has shown that systems can be compromised in less than three days, even if the system is not publicly known (i.e., not published in DNS records).
fr: Cependant, dès que vous vous connecter à Internet, vous exposez le système. Si l'un des services locaux est vulnérable, votre système peut même être compromis avant la fin de la mise à jour ! Cela peut sembler paranoïaque, mais une analyse du <url id="http://www.honeynet.org" name="Projet Honeynet"> a démontré que les systèmes peuvent être compromis en moins de trois jours, même si le système n'est pas connu publiquement (c'est-à-dire, non publié dans les enregistrements DNS).

note: type: <p></p>
en: When doing an update on a system not protected by an external system like a firewall, it is possible to properly configure your local firewall to restrict connections involving only the security update itself. The example below shows how to set up such local firewall capabilities, which allow connections from security.debian.org only, logging all others.
fr: Lorsque vous faites une mise à jour sur un système non protégé par un système externe comme un pare-feu, il est possible de configurer correctement votre pare-feu pour restreindre les connexions n'impliquant que la mise à jour de sécurité elle-même. L'exemple ci-dessous montre comment mettre en place des telles fonctionnalités de pare-feu, ne permettant que les connexions à security.debian.org et en journalisant toutes les autres.

note: type: <p><example>
en: The following example can be use to setup a restricted firewall ruleset. Run this commands from a local console (not a remote one) to reduce the chances of locking yourself out of the system.
fr: L'exemple suivant permet de configurer un jeu de règles de pare-feu restreint. Exécutez ces commandes depuis une console locale (pas à distance) pour limiter les risques de vous enfermer hors du système.

note: type: <example></example>
en:   # iptables -F
      # iptables -L
      Chain INPUT (policy ACCEPT)
      target     prot opt source               destination
    
      Chain FORWARD (policy ACCEPT)
      target     prot opt source               destination
    
      Chain OUTPUT (policy ACCEPT)
      target     prot opt source               destination
      # iptables -A OUTPUT -d security.debian.org --dport 80 -j ACCEPT
      # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # iptables -A INPUT -p icmp -j ACCEPT
      # iptables -A INPUT -j LOG
      # iptables -A OUTPUT -j LOG
      # iptables -P INPUT DROP
      # iptables -P FORWARD DROP
      # iptables -P OUTPUT DROP
      # iptables -L
      Chain INPUT (policy DROP)
      target     prot opt source               destination
      ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
      ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
      LOG        all  --  anywhere             anywhere           LOG level warning
    
      Chain FORWARD (policy DROP)
      target     prot opt source               destination
    
      Chain OUTPUT (policy DROP)
      target     prot opt source               destination
      ACCEPT     80   --  anywhere             security.debian.org
      LOG        all  --  anywhere             anywhere           LOG level warning
fr: # iptables -F
    # iptables -L
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination
    
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination
    
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination
    # iptables -A OUTPUT -d security.debian.org --dport 80 -j ACCEPT
    # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    # iptables -A INPUT -p icmp -j ACCEPT
    # iptables -A INPUT -j LOG
    # iptables -A OUTPUT -j LOG
    # iptables -P INPUT DROP
    # iptables -P FORWARD DROP
    # iptables -P OUTPUT DROP
    # iptables -L
    Chain INPUT (policy DROP)
    target     prot opt source               destination
    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
    LOG        all  --  anywhere             anywhere           LOG level warning
    
    Chain FORWARD (policy DROP)
    target     prot opt source               destination
    
    Chain OUTPUT (policy DROP)
    target     prot opt source               destination
    ACCEPT     80   --  anywhere             security.debian.org
    LOG        all  --  anywhere             anywhere           LOG level warning

note: type: <p></p>
en: Note: Using a <em>DROP</em> policy in the INPUT chain is the most correct thing to do, but be <em>very</em> careful when doing this after flushing the chain from a remote connection. When testing firewall rulesets from a remote location it is best if you run a script with the firewall ruleset (instead of introducing the ruleset line by line through the command line) and, as a precaution, keep a backdoor<footnote><p>Such as <em>knockd</em>. Alternatively, you can open a different console and have the system ask for confirmation that there is somebody on the other side, and reset the firewall chain if no confirmation is given. The following test script could be of use: <example>#!/bin/bash while true; do read -n 1 -p "Are you there? " -t 30 ayt if [ -z "$ayt" ] ; then break fi done # Reset the firewall chain, user is not available echo echo "Resetting firewall chain!" iptables -F iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT exit 1</example></p><p>Of course, you should disable any backdoors before getting the system into production.</p></footnote> configured so that you can re-enable access to the system if you make a mistake. That way there would be no need to go to a remote location to fix a firewall ruleset that blocks you.
fr: Remarque : l'utilisation d'une règle <em>DROP</em> dans la chaîne INPUT est la chose la plus correcte à faire, mais soyez <em>particulièrement</em> attentif lorsque c'est fait après avoir nettoyé la chaîne depuis une connexion distante. Lors d'un test des jeux de règles de pare-feu à distance, il est préférable d'exécuter un script avec le jeu de règles de pare-feu (au lieu d'introduire les règles une à une depuis la ligne de commande) et, par précaution, de garder une porte dérobée<footnote><p>Par exemple <em>knockd</em>. Sinon, il est possible d'ouvrir une autre console et forcer le système à confirmer que quelqu'un est présent de l'autre côté, et réinitialiser la chaîne de pare-feu en absence de confirmation. Le script de test suivant pourrait servir : <example>#!/bin/bash while true; do read -n 1 -p "Y a-t-il quelqu'un ? " -t 30 ayt if [ -z "$ayt" ] ; then break fi done # Réinitialiser la chaîne de pare-feu, l'utilisateur n'est pas disponible echo echo "Réinitialisation de la chaîne de pare-feu" iptables -F iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT exit 1</example></p><p>Bien sûr, toutes les portes dérobées devraient être désactivées avant de placer le système en production.</p></footnote> configurée pour pouvoir réactiver l'accès au système en cas d'erreur. Ainsi, il ne sera pas nécessaire de se déplacer pour corriger un jeu de règles de pare-feu bloquant.

note: type: <p></p>
en: FIXME: This needs DNS to be working properly since it is required for security.debian.org to work. You can add security.debian.org to /etc/hosts but now it is a CNAME to several hosts (there is more than one security mirror)
fr: FIXME : cela nécessite un DNS opérationnel puisqu'il est nécessaire pour résoudre security.debian.org. security.debian.org pourrait être ajouté à /etc/hosts mais c'est un nom canonique pour plusieurs hôtes (il y a plus d'un miroir de sécurité).

note: type: <p></p>
en: FIXME: this will only work with HTTP URLs since ftp might need the ip_conntrack_ftp module, or use passive mode.
fr: FIXME : cela ne fonctionnera qu'avec les URL HTTP car FTP peut avoir besoin du module ip_conntrack_ftp ou d'utiliser le mode passif.

note: type: <heading></heading>
en: <prgn>Chroot</prgn> environment for <prgn>SSH</prgn>
fr: Environnement de chroot pour SSH

note: type: <p></p>
en: Creating a restricted environment for <prgn>SSH</prgn> is a tough job due to its dependencies and the fact that, unlike other servers, <prgn>SSH</prgn> provides a remote shell to users. Thus, you will also have to consider the applications users will be allowed to use in the environment.
fr: Créer un environnement restreint pour <prgn>SSH</prgn> est un travail difficile à cause de ses dépendances et du fait que, à la différence d'autres serveurs, <prgn>SSH</prgn> fournit un interpréteur de commande distant pour les utilisateurs. C'est pourquoi vous devrez également considérer les applications que les utilisateurs auront le droit d'utiliser dans l'environnement.

note: type: <p><list>
en: You have two options to setup a restricted remote shell:
fr: Deux options existent pour configurer une invite de commande à distance restreinte :

note: type: <p></p>
en: Chrooting the ssh users, by properly configuring the ssh daemon you can ask it to chroot a user after authentication just before it is provided a shell. Each user can have their own environment.
fr: chrooter les utilisateurs SSH, en configurant correctement le démon SSH pour chrooter un utilisateur après l'authentification juste avant de lui fournir une invite de commande. Chaque utilisateur peut avoir son propre environnement ;

note: type: <p></p>
en: Chrooting the ssh server, since you chroot the ssh application itself all users are chrooted to the defined environment.
fr: chrooter le serveur SSH, puisque l'application SSH est elle même chrootée, tous les utilisateurs sont chrootés dans l'environnement défini.

note: type: <p></p>
en: The first option has the advantage of making it possible to have both non-chrooted and chrooted users, if you don't introduce any setuid application in the user's chroots it is more difficult to break out of it. However, you might need to setup individual chroots for each user and it is more difficult to setup (as it requires cooperation from the SSH server). The second option is more easy to setup, and protects from an exploitation of the ssh server itself (since it's also in the chroot) but it will have the limitation that all users will share the same chroot environment (you cannot setup a per-user chroot environment).
fr: La première option a l'avantage de permettre d'avoir à la fois des utilisateurs chrootés ou non, en absence d'application setuid dans les chroots de l'utilisateur, il est plus difficile de s'en échapper. Cependant, vous pourriez configurer des chroots spécifiques à chaque utilisateur ce qui est plus délicat (car cela nécessite une coopération de la part du serveur SSH). La seconde option est plus facile à configurer, et protège d'une exploitation du serveur SH lui-même (puisqu'il est également dans le chroot) mais il sera limité de telle sorte que tous les utilisateurs partageront le même environnement chroot (impossible de configurer un environnement chroot par utilisateur).

note: type: <heading></heading>
en: Chrooting the ssh users
fr: Chrooter les utilisateur SSH

note: type: <p></p>
en: You can setup the ssh server so that it will chroot a set of defined users into a shell with a limited set of applications available.
fr: Le serveur SSH peut être configuré pour chrooter un ensemble d'utilisateurs définis dans une invite de commande possédant un jeu d'applications disponibles limité.

note: type: <heading></heading>
en: Using <package>libpam-chroot</package>
fr: Utilisation de libpam_chroot

note: type: <p><list>
en: Probably the easiest way is to use the <package>libpam-chroot</package> package provided in Debian. Once you install it you need to:
fr: La façon probablement la plus facile est d'utiliser le paquet <package>libpam_chroot</package> fourni dans Debian. Une fois que vous l'avez installé, vous devez&nbsp;:

note: type: <p><example>
en: Modify <file>/etc/pam.d/ssh</file> to use this PAM module, add as its last line<footnote><p>You can use the <em>debug</em> option to have it send the progress of the module to the <em>authpriv.notice</em> facility</p></footnote>:
fr: modifier <file>/etc/pam.d/ssh</file> pour utiliser ce module PAM, ajouter cette ligne à la fin du fichier<footnote><p>L'option <em>debug</em> permet d'envoyer la progression du module à la facilité <em>authpriv.notice</em>.</p></footnote> :

note: type: <p></p>
en: set a proper chroot environment for the user. You can try using the scripts available at <file>/usr/share/doc/libpam-chroot/examples/</file>, use the <package>makejail</package> <footnote><p>You can create a very limited bash environment with the following python definition for makejail, just create the directory <file>/var/chroots/users/foo</file> and a file with the following contents and call it <file>bash.py</file>: <example>chroot="/var/chroots/users/foo" cleanJailFirst=1 testCommandsInsideJail=["bash ls"]</example></p><p>And then run <em>makejail bash.py</em> to create the user environment at <file>/var/chroots/users/foo</file>. To test the environment run: <example># chroot /var/chroots/users/foo/ ls bin dev etc lib proc sbin usr</example></p></footnote> program or setup a minimum Debian environment with <package>debootstrap</package>. Make sure the environment includes the needed devices <footnote><p>In some occasions you might need the <file>/dev/ptmx</file> and <file>/dev/pty*</file> devices and the <file>/dev/pts/</file> subdirectory. Running MAKEDEV in the <file>/dev</file> directory of the chrooted environment should be sufficient to create them if they do not exist. If you are using kernels (version 2.6) which dynamically create device files you will need to create the /dev/pts/ files yourself and grant them the proper privileges.</p></footnote>.
fr: configurer un environnement de chroot correct. Vous pouvez essayer d'utiliser les scripts disponibles en <file>/usr/share/doc/libpam-chroot/examples/</file>, utiliser le programme <package>makejail</package><footnote><p>Vous pouvez créer un environnement bash très limité avc les définitions Python suivante pour makejail, en créant simplement le répertoire <file>/var/chroots/users/truc</file> et un fichier <file>bash.py</file> avec le contenu suivant : <example>chroot="/var/chroots/users/truc" cleanJailFirst=1 testCommandsInsideJail=["bash ls"]</example></p><p>Exécuter ensuite <em>makejail bash.py</em> pour créer l'environnement de l'utilisateur en <file>/var/chroots/users/truc</file>. Pour tester l'environnement, exécuter : <example># chroot /var/chroots/users/truc/ ls bin dev etc lib proc sbin usr</example>.</p></footnote> ou mettre en place un environnement Debian minimal avec <package>debootstrap</package>. Assurez-vous que l'environnement contient les périphériques nécessaires<footnote><p>Dans certains cas, les périphériques <file>/dev/ptmx</file> et <file>/dev/pty*</file> et le sous-répertoire <file>/dev/pts/</file>. Exécuter MAKEDEV dans le répertoire <file>/dev</file> de l'environnement chrooté devrait suffire pour les créer s'ils n'existent pas. Avec les noyaux (version 2.6) qui créent dynamiquement les fichiers de périphérique, vous devrez créer les fichiers <file>/dev/pts/</file> vous-même et leur attribuer les droits nécessaires.</p></footnote> ;

note: type: <p></p>
en: Configure <file>/etc/security/chroot.conf</file> so that the users you determine are chrooted to the directory you setup previously. You might want to have independent directories for different users so that they will not be able to see neither the whole system nor each other's.
fr: configurer <file>/etc/security/chroot.conf</file> pour que les utilisateurs que vous déterminez soient chrootés dans le répertoire que vous avez mis en place auparavant. Vous pouvez vouloir ajouter des répertoires indépendants pour différents utilisateurs afin qu'ils ne puissent voir ni le système complet, ni les uns les autres ;

note: type: <p><example>
en: Configure SSH: Depending on your OpenSSH version the chroot environment might work straight of the box or not. Since 3.6.1p2 the <em>do_pam_session()</em> function is called after sshd has dropped privileges, since chroot() needs root priviledges it will not work with Privilege separation on. In newer OpenSSH versions, however, the PAM code has been modified and do_pam_session is called before dropping priviledges so it will work even with Privilege separation is on. If you have to disable it modify <file>/etc/ssh/sshd_config</file> like this:
fr: configurer SSH : suivant la version d'OpenSSH, l'environnement chroot pourrait fonctionner directement sans effort, ou non. Depuis 3.6.1p2 la fonction <em>do_pam_session()</em> est appelée après que sshd ait abandonné ses droits, mais puisque chroot() a besoin des droits du superutilisateur, il ne fonctionnera pas avec la séparation de droits activés. Dans les versions plus récentes d'OpenSSH, cependant, le code PAM a été modifié et do_pam_session est appelé avant l'abandon des droits donc il fonctionnera même avec la séparation de droits activée. Si vous devez le désactiver, modifiez <file>/etc/ssh/sshd_config</file> ce cette façon :

note: type: <p></p>
en: Notice that this will lower the security of your system since the OpenSSH server will then run as <em>root</em> user. This means that if a remote attack is found against OpenSSH an attacker will get <em>root</em> privileges instead of <em>sshd</em>, thus compromising the whole system. <footnote><p>If you are using a kernel that implements Mandatory Access Control (RSBAC/SElinux) you can avoid changing this configuration just by granting the <em>sshd</em> user privileges to make the chroot() system call.</p></footnote>
fr: Notez que cela réduira la sécurité de votre système car le serveur OpenSSH fonctionnera avec l'utilisateur <em>root</em>. Cela veut dire que si une attaque à distance est trouvée sur OpenSSH, un attaquant obtiendra les droits de <em>root</em> au lieu de ceux de <em>sshd</em>, ce qui compromettra le système en entier. <footnote><p>Si vous utilisez un noyau implémentant le contrôle d'accès obligatoire («&nbsp;Mandatory Access Control&nbsp;» ou MAC) (RSBAC/SElinux), vous pouvez éviter de changer cette configuration en autorisant simplement l'utilisateur <em>sshd</em> à exécuter l'appel système chroot().</p></footnote>

note: type: <p></p>
en: If you don't disable <em>Privilege Separation</em> you will need an <file>/etc/passwd</file> which includes the user's UID inside the chroot for <em>Privilege Separation</em> to work properly.
fr: Sans désactiver la <em>séparation de droits</em>, un <file>/etc/passwd</file> qui intègre l'UID de l'utilisateur dans le chroot sera nécessaire pour faire fonctionner correctement la <em>séparation de droits</em>.

note: type: <p><example>
en: If you have <em>Privilege Separation</em> set to <strong>yes</strong> and your OpenSSH version does not behave properly you will need to disable it. If you don't, users that try to connect to your server and would be chrooted by this module will see this:
fr: Si la <em>séparation de droits</em> est définie à <strong>yes</strong> est que la version d'OpenSSH ne se comporte pas correctement, il faudra la désactiver. Si non, les utilisateurs qui essayent de se connecter au serveur et en étant chrootés par ce module verront ceci :

note: type: <p></p>
en: This is because the ssh daemon, which is running as 'sshd', is not be able to make the chroot() system call. To disable Privilege separation you have to modify the <file>/etc/ssh/sshd_config</file> configuration file as described above.
fr: C'est parce que le démon SSH, qui est exécuté en tant que « sshd », n'est pas capable de faire l'appel système chroot(). Pour désactiver la séparation de droits, il faut modifier les fichier de configuration <file>/etc/ssh/sshd_config</file> comme décrit précédemment.

note: type: <p><list>
en: Notice that if any of the following is missing the users will not be able to logon to the chroot:
fr: Remarquez qu'en absence d'un des éléments suivants, les utilisateurs ne pourront pas se connecter au chroot :

note: type: <p></p>
en: The <file>/proc</file> filesystem needs to be mounted in the users' chroot.
fr: le système de fichiers <file>/proc</file> doit être monté dans le chroot des utilisateurs ;

note: type: <p></p>
en: The necessary <file>/dev/pts/</file> devices need to exist. If the files are generated by your running kernel automatically then you have to manually create them on the chroot's <file>/dev/</file>.
fr: les périphériques <file>/dev/pts/</file> nécessaires doivent exister. Si les fichiers sont créés automatiquement par le noyau utilisé, il faut les créer vous-même dans le <file>/dev/</file> du chroot ;

note: type: <p></p>
en: The user's home directory has to exist in the chroot, otherwise the ssh daemon will not continue.
fr: le répertoire personnel de l'utilisateur doit exister dans le chroot, sinon le démon SSH s'arrêtera.

note: type: <p></p>
en: You can debug all these issues if you use the <em>debug</em> keyword in the <file>/etc/pam.d/ssh</file> PAM definition. If you encounter issues you might find it useful to enable the debugging mode on the ssh client too.
fr: Tous ses problèmes peuvent être débogués en utilisant le mot-clef <em>debug</em> dans la définition PAM de <file>/etc/pam.d/ssh</file>. En cas de problème, il peut être utile d'activer aussi le mode de débogage sur le client.

note: type: <p></p>
en: Note: This information is also available (and maybe more up to date) in <file>/usr/share/doc/libpam-chroot/README.Debian.gz</file>, please review it for updated information before taking the above steps.
fr: Note&nbsp;: ces renseignements sont également disponibles (et peut-être plus à jour) dans <file>/usr/share/doc/libpam-chroot/README.Debian.gz</file>, veuillez consulter ce fichier pour obtenir des renseignements à jour avant d'entreprendre les étapes ci-dessus.

note: type: <heading></heading>
en: Patching the <prgn>ssh</prgn> server
fr: Appliquer des correctifs au serveur SSH

note: type: <p></p>
en: Debian's <prgn>sshd</prgn> does not allow restriction of a user's movement through the server, since it lacks the <prgn>chroot</prgn> function that the commercial program <prgn>sshd2</prgn> includes (using 'ChrootGroups' or 'ChrootUsers', see <manref name="sshd2_config" section="5">). However, there is a patch available to add this functionality available from <url id="http://chrootssh.sourceforge.net" name="ChrootSSH project"> (requested and available in <url id="http://bugs.debian.org/139047" name="Bug #139047"> in Debian). The patch may be included in future releases of the OpenSSH package. Emmanuel Lacour has <prgn>ssh</prgn> deb packages for <em>sarge</em> with this feature. They are available at <url id="http://debian.home-dn.net/sarge/ssh/">. Notice that those might not be up to date so completing the compilation step is recommended.
fr: Le serveur <prgn>sshd</prgn> de Debian ne vous autorisera pas à restreindre les mouvements des utilisateurs par le serveur étant donné que celui-ci est dépourvu de la fonction <prgn>chroot</prgn> que le programme commerciale <prgn>sshd2</prgn> possède (utilisation de «&nbsp;ChrootGroups&nbsp;» ou «&nbsp;ChrootUsers&nbsp;», consultez <manref section="5" name="sshd2_config">). Toutefois, un correctif est disponible pour le faire sur le <url id="http://bugs.debian.org/139047" name="rapport de bogue nº 139047">. Il sera peut-être appliquée au paquet OpenSSH dans le futur. Emmanuel Lacour dispose de paquets Debian <prgn>ssh</prgn> pour <em>Sarge</em> avec cette fonctionnalité. Ils sont disponibles à <url id="http://debian.home-dn.net/sarge/ssh/">. Notez que ceux-ci peuvent ne pas être à jour, effectuer l'étape de compilation est donc recommandé.

note: type: <p><example>
en: After applying the patch, modify <file>/etc/passwd</file> by changing the home path of the users (with the special <tt>/./</tt> token):
fr: Après avoir appliqué le correctif, modifiez <file>/etc/passwd</file> en changeant le chemin du répertoire des utilisateurs (avec l'indicateur spécial <tt>/./</tt>) :

note: type: <example></example>
en:   joeuser:x:1099:1099:Joe Random User:/home/joe/./:/bin/bash
fr:   utilisateurjean:x:1099:1099:Jean Dupont Utilisateur:/home/michel/./:/bin/bash

note: type: <p></p>
en: This will restrict <em>both</em> remote shell access, as well as remote copy through the <prgn>ssh</prgn> channel.
fr: Cela restreindra <em>à la fois</em> les accès distants au shell, ainsi que la copie par le tunnel <prgn>ssh</prgn>.

note: type: <p><example>
en: Make sure to have all the needed binaries and libraries in the <prgn>chroot</prgn>'ed path for users. These files should be owned by root to avoid tampering by the user (so as to exit the <prgn>chroot</prgn>'ed jailed). A sample might include:
fr: Assurez-vous que tous les programmes et bibliothèques sont bien présents dans le chemin <prgn>chroot</prgn>é pour les utilisateurs. Ces fichiers devraient appartenir à root pour éviter les fraudes de l'utilisateur (tel la sortie d'une prison <prgn>chroot</prgn>é). Un échantillon pourrait inclure ceci&nbsp;:

note: type: <example></example>
en: ./bin:
    total 660
    drwxr-xr-x    2 root     root         4096 Mar 18 13:36 .
    drwxr-xr-x    8 guest    guest        4096 Mar 15 16:53 ..
    -r-xr-xr-x    1 root     root       531160 Feb  6 22:36 bash
    -r-xr-xr-x    1 root     root        43916 Nov 29 13:19 ls
    -r-xr-xr-x    1 root     root        16684 Nov 29 13:19 mkdir
    -rwxr-xr-x    1 root     root        23960 Mar 18 13:36 more
    -r-xr-xr-x    1 root     root         9916 Jul 26  2001 pwd
    -r-xr-xr-x    1 root     root        24780 Nov 29 13:19 rm
    lrwxrwxrwx    1 root     root            4 Mar 30 16:29 sh -> bash
fr: ./bin:
    total 660
    drwxr-xr-x    2 root     root         4096 mars  18 13:36 .
    drwxr-xr-x    8 guest    guest        4096 mars  15 16:53 ..
    -r-xr-xr-x    1 root     root       531160 févr. 6 22:36 bash
    -r-xr-xr-x    1 root     root        43916 nov.  29 13:19 ls
    -r-xr-xr-x    1 root     root        16684 nov.  29 13:19 mkdir
    -rwxr-xr-x    1 root     root        23960 mars  18 13:36 more
    -r-xr-xr-x    1 root     root         9916 juil. 26  2001 pwd
    -r-xr-xr-x    1 root     root        24780 nov.  29 13:19 rm
    lrwxrwxrwx    1 root     root            4 mars  30 16:29 sh -> bash

note: type: <example></example>
en: ./etc:
    total 24
    drwxr-xr-x    2 root     root         4096 Mar 15 16:13 .
    drwxr-xr-x    8 guest    guest        4096 Mar 15 16:53 ..
    -rw-r--r--    1 root     root           54 Mar 15 13:23 group
    -rw-r--r--    1 root     root          428 Mar 15 15:56 hosts
    -rw-r--r--    1 root     root           44 Mar 15 15:53 passwd
    -rw-r--r--    1 root     root           52 Mar 15 13:23 shells
fr: ./etc:
    total 24
    drwxr-xr-x    2 root     root         4096 mars  15 16:13 .
    drwxr-xr-x    8 guest    guest        4096 mars  15 16:53 ..
    -rw-r--r--    1 root     root           54 mars  15 13:23 group
    -rw-r--r--    1 root     root          428 mars  15 15:56 hosts
    -rw-r--r--    1 root     root           44 mars  15 15:53 passwd
    -rw-r--r--    1 root     root           52 mars  15 13:23 shells

note: type: <example></example>
en: ./lib:
    total 1848
    drwxr-xr-x    2 root     root         4096 Mar 18 13:37 .
    drwxr-xr-x    8 guest    guest        4096 Mar 15 16:53 ..
    -rwxr-xr-x    1 root     root        92511 Mar 15 12:49 ld-linux.so.2
    -rwxr-xr-x    1 root     root      1170812 Mar 15 12:49 libc.so.6
    -rw-r--r--    1 root     root        20900 Mar 15 13:01 libcrypt.so.1
    -rw-r--r--    1 root     root         9436 Mar 15 12:49 libdl.so.2
    -rw-r--r--    1 root     root       248132 Mar 15 12:48 libncurses.so.5
    -rw-r--r--    1 root     root        71332 Mar 15 13:00 libnsl.so.1
    -rw-r--r--    1 root     root        34144 Mar 15 16:10
    libnss_files.so.2
    -rw-r--r--    1 root     root        29420 Mar 15 12:57 libpam.so.0
    -rw-r--r--    1 root     root       105498 Mar 15 12:51 libpthread.so.0
    -rw-r--r--    1 root     root        25596 Mar 15 12:51 librt.so.1
    -rw-r--r--    1 root     root         7760 Mar 15 12:59 libutil.so.1
    -rw-r--r--    1 root     root        24328 Mar 15 12:57 libwrap.so.0
fr: ./lib:
    total 1848
    drwxr-xr-x    2 root     root         4096 mars  18 13:37 .
    drwxr-xr-x    8 guest    guest        4096 mars  15 16:53 ..
    -rwxr-xr-x    1 root     root        92511 mars  15 12:49 ld-linux.so.2
    -rwxr-xr-x    1 root     root      1170812 mars  15 12:49 libc.so.6
    -rw-r--r--    1 root     root        20900 mars  15 13:01 libcrypt.so.1
    -rw-r--r--    1 root     root         9436 mars  15 12:49 libdl.so.2
    -rw-r--r--    1 root     root       248132 mars  15 12:48 libncurses.so.5
    -rw-r--r--    1 root     root        71332 mars  15 13:00 libnsl.so.1
    -rw-r--r--    1 root     root        34144 mars  15 16:10 libnss_files.so.2
    -rw-r--r--    1 root     root        29420 mars  15 12:57 libpam.so.0
    -rw-r--r--    1 root     root       105498 mars  15 12:51 libpthread.so.0
    -rw-r--r--    1 root     root        25596 mars  15 12:51 librt.so.1
    -rw-r--r--    1 root     root         7760 mars  15 12:59 libutil.so.1
    -rw-r--r--    1 root     root        24328 mars  15 12:57 libwrap.so.0

note: type: <example></example>
en: ./usr:
    total 16
    drwxr-xr-x    4 root     root         4096 Mar 15 13:00 .
    drwxr-xr-x    8 guest    guest        4096 Mar 15 16:53 ..
    drwxr-xr-x    2 root     root         4096 Mar 15 15:55 bin
    drwxr-xr-x    2 root     root         4096 Mar 15 15:37 lib
fr: ./usr:
    total 16
    drwxr-xr-x    4 root     root         4096 mars  15 13:00 .
    drwxr-xr-x    8 guest    guest        4096 mars  15 16:53 ..
    drwxr-xr-x    2 root     root         4096 mars  15 15:55 bin
    drwxr-xr-x    2 root     root         4096 mars  15 15:37 lib

note: type: <example></example>
en: ./usr/bin:
    total 340
    drwxr-xr-x    2 root     root         4096 Mar 15 15:55 .
    drwxr-xr-x    4 root     root         4096 Mar 15 13:00 ..
    -rwxr-xr-x    1 root     root        10332 Mar 15 15:55 env
    -rwxr-xr-x    1 root     root        13052 Mar 15 13:13 id
    -r-xr-xr-x    1 root     root        25432 Mar 15 12:40 scp
    -rwxr-xr-x    1 root     root        43768 Mar 15 15:15 sftp
    -r-sr-xr-x    1 root     root       218456 Mar 15 12:40 ssh
    -rwxr-xr-x    1 root     root         9692 Mar 15 13:17 tty
fr: ./usr/bin:
    total 340
    drwxr-xr-x    2 root     root         4096 mars  15 15:55 .
    drwxr-xr-x    4 root     root         4096 mars  15 13:00 ..
    -rwxr-xr-x    1 root     root        10332 mars  15 15:55 env
    -rwxr-xr-x    1 root     root        13052 mars  15 13:13 id
    -r-xr-xr-x    1 root     root        25432 mars  15 12:40 scp
    -rwxr-xr-x    1 root     root        43768 mars  15 15:15 sftp
    -r-sr-xr-x    1 root     root       218456 mars  15 12:40 ssh
    -rwxr-xr-x    1 root     root         9692 mars  15 13:17 tty

note: type: <example></example>
en: ./usr/lib:
    total 852
    drwxr-xr-x    2 root     root         4096 Mar 15 15:37 .
    drwxr-xr-x    4 root     root         4096 Mar 15 13:00 ..
    -rw-r--r--    1 root     root       771088 Mar 15 13:01
    libcrypto.so.0.9.6
    -rw-r--r--    1 root     root        54548 Mar 15 13:00 libz.so.1
    -rwxr-xr-x    1 root     root        23096 Mar 15 15:37 sftp-server
fr: ./usr/lib:
    total 852
    drwxr-xr-x    2 root     root         4096 mars  15 15:37 .
    drwxr-xr-x    4 root     root         4096 mars  15 13:00 ..
    -rw-r--r--    1 root     root       771088 mars  15 13:01 libcrypto.so.0.9.6
    -rw-r--r--    1 root     root        54548 mars  15 13:00 libz.so.1
    -rwxr-xr-x    1 root     root        23096 mars  15 15:37 sftp-server

note: type: <heading></heading>
en: Chrooting the ssh server
fr: Chrooter le serveur SSH

note: type: <p><example>
en: If you create a chroot which includes the SSH server files in, for example <file>/var/chroot/ssh</file>, you would start the <prgn>ssh</prgn> server <prgn>chroot</prgn>'ed with this command:
fr: Si un chroot est créé pour inclure les fichiers du serveur SSH, par exemple <file>/var/chroot/ssh</file>, le serveur SSH <prgn>chroot</prgn>é serait démarré avec cette commande :

note: type: <p><example>
en: That would make startup the <prgn>sshd</prgn> daemon inside the chroot. In order to do that you have to first prepare the contents of the <file>/var/chroot/ssh</file> directory so that it includes both the SSH server and all the utilities that the users connecting to that server might need. If you are doing this you should make certain that OpenSSH uses <em>Privilege Separation</em> (which is the default) having the following line in the configuration file <file>/etc/ssh/sshd_config</file>:
fr: Cela ferait démarrer le démon <prgn>sshd</prgn> dans le chroot. Pour faire cela, il faut d'abord préparer le contenu du répertoire <file>/var/chroot/ssh</file> pour inclure à la fois le serveur SSH et tous les utilitaires dont les utilisateurs se connectant à ce serveur pourraient avoir besoin. Dans ce cas, vous devez vous assurer qu'OpenSSH utilise la <em>séparation de droits</em> (ce qui est le cas par défaut) en ayant la ligne suivante dans le fichier de configuration <file>/etc/ssh/sshd_config</file> :

note: type: <p></p>
en: That way the remote daemon will do as few things as possible as the root user so even if there is a bug in it it will not compromise the chroot. Notice that, unlike the case in which you setup a per-user chroot, the ssh daemon is running in the same chroot as the users so there is at least one potential process running as root which could break out of the chroot.
fr: De cette façon, le démon distant fera aussi peu de choses que possible de même que le superutilisateur donc même en cas de bogue, le chroot ne sera pas compromis. Remarquez que, contrairement au cas de la configuration d'un chroot par utilisateur, le démon SSH est exécuté dans le même chroot que les utilisateurs, donc il y a au moins un processus potentiel exécuté en tant que superutilisateur qui pourrait s'échapper du chroot.

note: type: <p></p>
en: Notice, also, that in order for SSH to work in that location, the partition where the chroot directory resides cannot be mounted with the <em>nodev</em> option. If you use that option, then you will get the following error: <em>PRNG is not seeded</em>, because <file>/dev/urandom</file> does not work in the chroot.
fr: Remarquez aussi que pour permettre à SSH de fonctionner à cet endroit, la partition où le répertoire du chroot existe ne doit pas être montée avec l'option <em>nodev</em>. Avec cette option, l'erreur suivante se produira : <em>PRNG is not seeded</em> car <file>/dev/urandom</file> ne fonctionne pas dans le chroot.

note: type: <heading></heading>
en: Setup a minimal system (the really easy way)
fr: Configuration d'un système minimal (la manière vraiment simple)

note: type: <p></p>
en: You can use <package>debootstrap</package> to setup a minimal environment that just includes the ssh server. In order to do this you just have to create a chroot as described in the <url id="http://www.debian.org/doc/manuals/reference/ch09#_chroot_system" name="chroot section of the Debian Reference"> document. This method is bound to work (you will get all the necessary componentes for the chroot) but at the cost of disk space (a minimal installation of Debian will amount to several hundred megabytes). This minimal system might also include setuid files that a user in the chroot could use to break out of the chroot if any of those could be use for a privilege escalation.
fr: Utilisez <package>debootstrap</package> pour configurer un environnement minimal qui n'inclut que le serveur SSH. Pour faire cela, il suffit de créer un chroot comme décrit dans la <url id="http://www.debian.org/doc/manuals/reference/ch09#_chroot_system" name="section « Système protégé (chroot) » de la Référence Debian">. Cette méthode est sûre de fonctionner (tous les composants nécessaires seront dans le chroot) mais coûtera de l'espace disque (une installation minimale de Debian représente plusieurs milliers de mégaoctets). Ce système minimal pourrait aussi intégrer des fichiers setuid qu'un utilisateur dans le chroot pourrait utiliser pour s'en échapper si l'un d'entre eux peut être utiliser pour une augmentation de droits.

note: type: <heading></heading>
en: Automatically making the environment (the easy way)
fr: Créer l'environnement automatiquement (la manière simple)

note: type: <p></p>
en: You can easily create a restricted environment with the <package>makejail</package> package, since it automatically takes care of tracing the server daemon (with <prgn>strace</prgn>), and makes it run under the restricted environment.
fr: Vous pouvez facilement créer un environnement restreint avec le paquet <package>makejail</package> puisqu'il prend automatiquement soin de tracer le démon serveur (avec <prgn>strace</prgn>), et l'exécute dans l'environnement restreint.

note: type: <p></p>
en: The advantage of programs that automatically generate <prgn>chroot</prgn> environments is that they are capable of copying any package to the <prgn>chroot</prgn> environment (even following the package's dependencies and making sure it's complete). Thus, providing user applications is easier.
fr: L'avantage de programmes qui génèrent automatiquement l'environnement de <prgn>chroot</prgn> est qu'ils sont capables de copier tout paquet vers l'environnement de <prgn>chroot</prgn> (en suivant même les dépendances de paquet et en s'assurant qu'il est complet). Fournir les applications aux utilisateurs est donc plus facile.

note: type: <p><example>
en: To set up the environment using <prgn>makejail</prgn>'s provided examples, just create <file>/var/chroot/sshd</file> and use the command:
fr: Pour mettre en place l'environnement en utilisant les exemples fournis par <prgn>makejail</prgn>, créez simplement <file>/var/chroot/sshd</file> et exécutez la commande suivante&nbsp;:

note: type: <p><list>
en: This will setup the chroot in the <file>/var/chroot/sshd</file> directory. Notice that this chroot will not fully work unless you:
fr: Cela configurera la chroot dans le répertoire <file>/var/chroot/sshd</file>. Remarquez que ce chroot ne sera pas complètement fonctionnel avant de :

note: type: <p><example>
en: Mount the <em>procfs</em> filesystem in <file>/var/chroot/sshd/proc</file>. <prgn>Makejail</prgn> will mount it for you but if the system reboots you need to remount it running:
fr: monter le système de fichiers <em>procfs</em> dans <file>/var/chroot/sshd/proc</file>. <prgn>makejail</prgn> le montera tout seul, mais si le système redémarre, il faudra le remonter en exécutant :

note: type: <p><example>
en: You can also have it be mounted automatically by editing <file>/etc/fstab</file> and including this line:
fr: Il peut aussi être monté automatiquement en modifiant <file>/etc/fstab</file> pour ajouter cette ligne :

note: type: <p></p>
en: Have syslog listen to the device <file>/dev/log</file> inside the chroot. In order to do this you have modify <file>/etc/default/syslogd</file> and add <em>-a /var/chroot/sshd/dev/log</em> to the <strong>SYSLOGD</strong> variable definition.
fr: faire écouter syslog sur le périphérique <file>/dev/log</file> dans le chroot. Pour faire cela, il faut modifier <file>/etc/default/syslogd</file> pour ajouter <em>-a /var/chroot/sshd/dev/log</em> à la définition de la variable <strong>SYSLOGD</strong>.

note: type: <p></p>
en: Read the sample file to see what other changes need to be made to the environment. Some of these changes, such as copying user's home directories, cannot be done automatically. Also, limit the exposure of sensitive information by only copying the data from a given number of users from the files <file>/etc/shadow</file> or <file>/etc/group</file>. Notice that if you are using Privilege Separation the <em>sshd</em> user needs to exist in those files.
fr: Consultez le fichier d'exemple pour savoir quels autres modifications doivent être réalisées dans l'environnement. Certaines de ces modifications, comme la copie des répertoires personnels des utilisateurs, ne peuvent être réalisés automatiquement. Limitez également l'exposition des informations sensibles en ne copiant que les données d'un nombre donné d'utilisateurs des fichiers <file>/etc/shadow</file> ou <file>/etc/group</file>. Remarquez qu'en utilisant la <em>séparation de droits</em>, l'utilisateur <em>sshd</em> doit exister dans ces fichiers.

note: type: <p><example>
en: The following sample environment has been (slightly) tested in Debian 3.0 and is built with the configuration file provided in the package and includes the <package>fileutils</package> package:
fr: L'environnement d'exemple suivant a été (légèrement) testé dans Debian 3.0 et est construit avec le fichier de configuration fourni par le paquet et inclut le paquet <package>fileutils</package>&nbsp;:

note: type: <example></example>
en: .
    |-- bin
    |   |-- ash
    |   |-- bash
    |   |-- chgrp
    |   |-- chmod
    |   |-- chown
    |   |-- cp
    |   |-- csh -> /etc/alternatives/csh
    |   |-- dd
    |   |-- df
    |   |-- dir
    |   |-- fdflush
    |   |-- ksh
    |   |-- ln
    |   |-- ls
    |   |-- mkdir
    |   |-- mknod
    |   |-- mv
    |   |-- rbash -> bash
    |   |-- rm
    |   |-- rmdir
    |   |-- sh -> bash
    |   |-- sync
    |   |-- tcsh
    |   |-- touch
    |   |-- vdir
    |   |-- zsh -> /etc/alternatives/zsh
    |   `-- zsh4
    |-- dev
    |   |-- null
    |   |-- ptmx
    |   |-- pts
    |   |-- ptya0
    (...)
    |   |-- tty
    |   |-- tty0
    (...)
    |   `-- urandom
    |-- etc
    |   |-- alternatives
    |   |   |-- csh -> /bin/tcsh
    |   |   `-- zsh -> /bin/zsh4
    |   |-- environment
    |   |-- hosts
    |   |-- hosts.allow
    |   |-- hosts.deny
    |   |-- ld.so.conf
    |   |-- localtime -> /usr/share/zoneinfo/Europe/Madrid
    |   |-- motd
    |   |-- nsswitch.conf
    |   |-- pam.conf
    |   |-- pam.d
    |   |   |-- other
    |   |   `-- ssh
    |   |-- passwd
    |   |-- resolv.conf
    |   |-- security
    |   |   |-- access.conf
    |   |   |-- chroot.conf
    |   |   |-- group.conf
    |   |   |-- limits.conf
    |   |   |-- pam_env.conf
    |   |   `-- time.conf
    |   |-- shadow
    |   |-- shells
    |   `-- ssh
    |       |-- moduli
    |       |-- ssh_host_dsa_key
    |       |-- ssh_host_dsa_key.pub
    |       |-- ssh_host_rsa_key
    |       |-- ssh_host_rsa_key.pub
    |       `-- sshd_config
    |-- home
    |   `-- userX
    |-- lib
    |   |-- ld-2.2.5.so
    |   |-- ld-linux.so.2 -> ld-2.2.5.so
    |   |-- libc-2.2.5.so
    |   |-- libc.so.6 -> libc-2.2.5.so
    |   |-- libcap.so.1 -> libcap.so.1.10
    |   |-- libcap.so.1.10
    |   |-- libcrypt-2.2.5.so
    |   |-- libcrypt.so.1 -> libcrypt-2.2.5.so
    |   |-- libdl-2.2.5.so
    |   |-- libdl.so.2 -> libdl-2.2.5.so
    |   |-- libm-2.2.5.so
    |   |-- libm.so.6 -> libm-2.2.5.so
    |   |-- libncurses.so.5 -> libncurses.so.5.2
    |   |-- libncurses.so.5.2
    |   |-- libnsl-2.2.5.so
    |   |-- libnsl.so.1 -> libnsl-2.2.5.so
    |   |-- libnss_compat-2.2.5.so
    |   |-- libnss_compat.so.2 -> libnss_compat-2.2.5.so
    |   |-- libnss_db-2.2.so
    |   |-- libnss_db.so.2 -> libnss_db-2.2.so
    |   |-- libnss_dns-2.2.5.so
    |   |-- libnss_dns.so.2 -> libnss_dns-2.2.5.so
    |   |-- libnss_files-2.2.5.so
    |   |-- libnss_files.so.2 -> libnss_files-2.2.5.so
    |   |-- libnss_hesiod-2.2.5.so
    |   |-- libnss_hesiod.so.2 -> libnss_hesiod-2.2.5.so
    |   |-- libnss_nis-2.2.5.so
    |   |-- libnss_nis.so.2 -> libnss_nis-2.2.5.so
    |   |-- libnss_nisplus-2.2.5.so
    |   |-- libnss_nisplus.so.2 -> libnss_nisplus-2.2.5.so
    |   |-- libpam.so.0 -> libpam.so.0.72
    |   |-- libpam.so.0.72
    |   |-- libpthread-0.9.so
    |   |-- libpthread.so.0 -> libpthread-0.9.so
    |   |-- libresolv-2.2.5.so
    |   |-- libresolv.so.2 -> libresolv-2.2.5.so
    |   |-- librt-2.2.5.so
    |   |-- librt.so.1 -> librt-2.2.5.so
    |   |-- libutil-2.2.5.so
    |   |-- libutil.so.1 -> libutil-2.2.5.so
    |   |-- libwrap.so.0 -> libwrap.so.0.7.6
    |   |-- libwrap.so.0.7.6
    |   `-- security
    |       |-- pam_access.so
    |       |-- pam_chroot.so
    |       |-- pam_deny.so
    |       |-- pam_env.so
    |       |-- pam_filter.so
    |       |-- pam_ftp.so
    |       |-- pam_group.so
    |       |-- pam_issue.so
    |       |-- pam_lastlog.so
    |       |-- pam_limits.so
    |       |-- pam_listfile.so
    |       |-- pam_mail.so
    |       |-- pam_mkhomedir.so
    |       |-- pam_motd.so
    |       |-- pam_nologin.so
    |       |-- pam_permit.so
    |       |-- pam_rhosts_auth.so
    |       |-- pam_rootok.so
    |       |-- pam_securetty.so
    |       |-- pam_shells.so
    |       |-- pam_stress.so
    |       |-- pam_tally.so
    |       |-- pam_time.so
    |       |-- pam_unix.so
    |       |-- pam_unix_acct.so -> pam_unix.so
    |       |-- pam_unix_auth.so -> pam_unix.so
    |       |-- pam_unix_passwd.so -> pam_unix.so
    |       |-- pam_unix_session.so -> pam_unix.so
    |       |-- pam_userdb.so
    |       |-- pam_warn.so
    |       `-- pam_wheel.so
    |-- sbin
    |   `-- start-stop-daemon
    |-- usr
    |   |-- bin
    |   |   |-- dircolors
    |   |   |-- du
    |   |   |-- install
    |   |   |-- link
    |   |   |-- mkfifo
    |   |   |-- shred
    |   |   |-- touch -> /bin/touch
    |   |   `-- unlink
    |   |-- lib
    |   |   |-- libcrypto.so.0.9.6
    |   |   |-- libdb3.so.3 -> libdb3.so.3.0.2
    |   |   |-- libdb3.so.3.0.2
    |   |   |-- libz.so.1 -> libz.so.1.1.4
    |   |   `-- libz.so.1.1.4
    |   |-- sbin
    |   |   `-- sshd
    |   `-- share
    |       |-- locale
    |       |   `-- es
    |       |       |-- LC_MESSAGES
    |       |       |   |-- fileutils.mo
    |       |       |   |-- libc.mo
    |       |       |   `-- sh-utils.mo
    |       |       `-- LC_TIME -> LC_MESSAGES
    |       `-- zoneinfo
    |           `-- Europe
    |               `-- Madrid
    `-- var
        `-- run
            |-- sshd
            `-- sshd.pid
    
    27 directories, 733 files
fr: .
    |-- bin
    |   |-- ash
    |   |-- bash
    |   |-- chgrp
    |   |-- chmod
    |   |-- chown
    |   |-- cp
    |   |-- csh -> /etc/alternatives/csh
    |   |-- dd
    |   |-- df
    |   |-- dir
    |   |-- fdflush
    |   |-- ksh
    |   |-- ln
    |   |-- ls
    |   |-- mkdir
    |   |-- mknod
    |   |-- mv
    |   |-- rbash -> bash
    |   |-- rm
    |   |-- rmdir
    |   |-- sh -> bash
    |   |-- sync
    |   |-- tcsh
    |   |-- touch
    |   |-- vdir
    |   |-- zsh -> /etc/alternatives/zsh
    |   `-- zsh4
    |-- dev
    |   |-- null
    |   |-- ptmx
    |   |-- pts
    |   |-- ptya0
    (...)
    |   |-- tty
    |   |-- tty0
    (...)
    |   `-- urandom
    |-- etc
    |   |-- alternatives
    |   |   |-- csh -> /bin/tcsh
    |   |   `-- zsh -> /bin/zsh4
    |   |-- environment
    |   |-- hosts
    |   |-- hosts.allow
    |   |-- hosts.deny
    |   |-- ld.so.conf
    |   |-- localtime -> /usr/share/zoneinfo/Europe/Madrid
    |   |-- motd
    |   |-- nsswitch.conf
    |   |-- pam.conf
    |   |-- pam.d
    |   |   |-- other
    |   |   `-- ssh
    |   |-- passwd
    |   |-- resolv.conf
    |   |-- security
    |   |   |-- access.conf
    |   |   |-- chroot.conf
    |   |   |-- group.conf
    |   |   |-- limits.conf
    |   |   |-- pam_env.conf
    |   |   `-- time.conf
    |   |-- shadow
    |   |-- shells
    |   `-- ssh
    |       |-- moduli
    |       |-- ssh_host_dsa_key
    |       |-- ssh_host_dsa_key.pub
    |       |-- ssh_host_rsa_key
    |       |-- ssh_host_rsa_key.pub
    |       `-- sshd_config
    |-- home
    |   `-- userX
    |-- lib
    |   |-- ld-2.2.5.so
    |   |-- ld-linux.so.2 -> ld-2.2.5.so
    |   |-- libc-2.2.5.so
    |   |-- libc.so.6 -> libc-2.2.5.so
    |   |-- libcap.so.1 -> libcap.so.1.10
    |   |-- libcap.so.1.10
    |   |-- libcrypt-2.2.5.so
    |   |-- libcrypt.so.1 -> libcrypt-2.2.5.so
    |   |-- libdl-2.2.5.so
    |   |-- libdl.so.2 -> libdl-2.2.5.so
    |   |-- libm-2.2.5.so
    |   |-- libm.so.6 -> libm-2.2.5.so
    |   |-- libncurses.so.5 -> libncurses.so.5.2
    |   |-- libncurses.so.5.2
    |   |-- libnsl-2.2.5.so
    |   |-- libnsl.so.1 -> libnsl-2.2.5.so
    |   |-- libnss_compat-2.2.5.so
    |   |-- libnss_compat.so.2 -> libnss_compat-2.2.5.so
    |   |-- libnss_db-2.2.so
    |   |-- libnss_db.so.2 -> libnss_db-2.2.so
    |   |-- libnss_dns-2.2.5.so
    |   |-- libnss_dns.so.2 -> libnss_dns-2.2.5.so
    |   |-- libnss_files-2.2.5.so
    |   |-- libnss_files.so.2 -> libnss_files-2.2.5.so
    |   |-- libnss_hesiod-2.2.5.so
    |   |-- libnss_hesiod.so.2 -> libnss_hesiod-2.2.5.so
    |   |-- libnss_nis-2.2.5.so
    |   |-- libnss_nis.so.2 -> libnss_nis-2.2.5.so
    |   |-- libnss_nisplus-2.2.5.so
    |   |-- libnss_nisplus.so.2 -> libnss_nisplus-2.2.5.so
    |   |-- libpam.so.0 -> libpam.so.0.72
    |   |-- libpam.so.0.72
    |   |-- libpthread-0.9.so
    |   |-- libpthread.so.0 -> libpthread-0.9.so
    |   |-- libresolv-2.2.5.so
    |   |-- libresolv.so.2 -> libresolv-2.2.5.so
    |   |-- librt-2.2.5.so
    |   |-- librt.so.1 -> librt-2.2.5.so
    |   |-- libutil-2.2.5.so
    |   |-- libutil.so.1 -> libutil-2.2.5.so
    |   |-- libwrap.so.0 -> libwrap.so.0.7.6
    |   |-- libwrap.so.0.7.6
    |   `-- security
    |       |-- pam_access.so
    |       |-- pam_chroot.so
    |       |-- pam_deny.so
    |       |-- pam_env.so
    |       |-- pam_filter.so
    |       |-- pam_ftp.so
    |       |-- pam_group.so
    |       |-- pam_issue.so
    |       |-- pam_lastlog.so
    |       |-- pam_limits.so
    |       |-- pam_listfile.so
    |       |-- pam_mail.so
    |       |-- pam_mkhomedir.so
    |       |-- pam_motd.so
    |       |-- pam_nologin.so
    |       |-- pam_permit.so
    |       |-- pam_rhosts_auth.so
    |       |-- pam_rootok.so
    |       |-- pam_securetty.so
    |       |-- pam_shells.so
    |       |-- pam_stress.so
    |       |-- pam_tally.so
    |       |-- pam_time.so
    |       |-- pam_unix.so
    |       |-- pam_unix_acct.so -> pam_unix.so
    |       |-- pam_unix_auth.so -> pam_unix.so
    |       |-- pam_unix_passwd.so -> pam_unix.so
    |       |-- pam_unix_session.so -> pam_unix.so
    |       |-- pam_userdb.so
    |       |-- pam_warn.so
    |       `-- pam_wheel.so
    |-- sbin
    |   `-- start-stop-daemon
    |-- usr
    |   |-- bin
    |   |   |-- dircolors
    |   |   |-- du
    |   |   |-- install
    |   |   |-- link
    |   |   |-- mkfifo
    |   |   |-- shred
    |   |   |-- touch -> /bin/touch
    |   |   `-- unlink
    |   |-- lib
    |   |   |-- libcrypto.so.0.9.6
    |   |   |-- libdb3.so.3 -> libdb3.so.3.0.2
    |   |   |-- libdb3.so.3.0.2
    |   |   |-- libz.so.1 -> libz.so.1.1.4
    |   |   `-- libz.so.1.1.4
    |   |-- sbin
    |   |   `-- sshd
    |   `-- share
    |       |-- locale
    |       |   `-- es
    |       |       |-- LC_MESSAGES
    |       |       |   |-- fileutils.mo
    |       |       |   |-- libc.mo
    |       |       |   `-- sh-utils.mo
    |       |       `-- LC_TIME -> LC_MESSAGES
    |       `-- zoneinfo
    |           `-- Europe
    |               `-- Madrid
    `-- var
        `-- run
            |-- sshd
            `-- sshd.pid
    
    27 répertoire, 733 fichiers

note: type: <p><example>
en: For Debian release 3.1 you have to make sure that the environment includes also the common files for PAM. The following files need to be copied over to the chroot if <prgn>makejail</prgn> did not do it for you:
fr: Avec Debian 3.1, il faut s'assurer que l'environnement inclus aussi les fichiers communs pour PAM. Les fichiers suivants doivent être copiés dans le chroot si <prgn>makejail</prgn> ne l'a pas fait:

note: type: <heading></heading>
en: Manually creating the environment (the hard way)
fr: Créer soi-même l'environnement (la manière difficile)

note: type: <p><example>
en: It is possible to create an environment, using a trial-and-error method, by monitoring the <prgn>sshd</prgn> server traces and log files in order to determine the necessary files. The following environment, contributed by José Luis Ledesma, is a sample listing of files in a <prgn>chroot</prgn> environment for <prgn>ssh</prgn> in Debian woody (3.0): <footnote><p>Notice that there are no SETUID files. This makes it more difficult for remote users to escape the <prgn>chroot</prgn> environment. However, it also prevents users from changing their passwords, since the <prgn>passwd</prgn> program cannot modify the files <file>/etc/passwd</file> or <file>/etc/shadow</file>.</p></footnote>
fr: Il est possible de créer un environnement, en utilisant une méthode d'essai-et-d'erreur, en surveillant les traces du serveur <prgn>sshd</prgn> et les fichiers journaux pour déterminer les fichiers nécessaires. L'environnement suivant, fourni par José Luis Ledesma, est un listing exemple des fichiers dans un environnement de <prgn>chroot</prgn> pour <prgn>ssh</prgn> dans Debian Woody (3.0)&nbsp;: <footnote><p>Remarquez qu'il n'y a pas de fichiers SETUID. Cela rend plus difficile pour les utilisateurs distants de s'échapper de l'environnement de <prgn>chroot</prgn>. Cependant, il empêche également les utilisateurs de changer leurs mots de passe, car le programme <prgn>passwd</prgn> ne peut pas modifier les fichiers <file>/etc/passwd</file> ou <file>/etc/shadow</file>.</p></footnote>

note: type: <heading></heading>
en: <prgn>Chroot</prgn> environment for <prgn>Apache</prgn>
fr: Environnement de chroot pour Apache

note: type: <p></p>
en: The <prgn>chroot</prgn> utility is often used to jail a daemon in a restricted tree. You can use it to insulate services from one another, so that security issues in a software package do not jeopardize the whole server. When using the <prgn>makejail</prgn> script, setting up and updating the chrooted tree is much easier.
fr: L'utilitaire <prgn>chroot</prgn> est souvent utilisé pour emprisonner un démon dans une arborescence restreint. Vous pouvez l'utiliser pour isoler des services d'autres services, pour que les problèmes de sécurité d'un paquet logiciel ne mettent pas en péril le serveur tout entier. Quand vous utiliser le script <prgn>makejail</prgn>, mettre en place et mettre à jour l'arborescence chrooté est beaucoup plus facile.

note: type: <p></p>
en: FIXME: Apache can also be chrooted using <url id="http://www.modsecurity.org"> which is available in <package>libapache-mod-security</package> (for Apache 1.x) and <package>libapache2-mod-security</package> (for Apache 2.x).
fr: FIXME : Apache peut aussi être chrooté en utilisant <url id="http://www.modsecurity.org"> qui est disponible dans <package>libapache-mod-security</package> (pour Apache 1.x) et <package>libapache2-mod-security</package> (pour Apache 2.x).

note: type: <heading></heading>
en: Licensing
fr: Licence

note: type: <p></p>
en: This document is copyright 2002 Alexandre Ratti. It has been dual-licensed and released under the GPL version 2 (GNU General Public License) the GNU-FDL 1.2 (GNU Free Documentation Licence) and is included in this manual with his explicit permission. (from the <url id="http://www.gabuzomeu.net/alex/doc/apache/index-en.html" name="original document">)
fr: Ce document est copyright 2002 Alexandre Ratti. Il est publié sous une double licence, la GPL version&nbsp;2 (GNU General Public License) et la GNU-FDL&nbsp;1.2 (GNU Free Documentation Licence) et est inclus dans ce manuel avec sa permission explicite (depuis le <url id="http://www.gabuzomeu.net/alex/doc/apache/index-en.html" name="document d'origine">).

note: type: <heading></heading>
en: Installing the server
fr: Installer le serveur

note: type: <p><list>
en: This procedure was tested on Debian GNU/Linux&nbsp;3.0 (Woody) with <prgn>makejail</prgn> 0.0.4-1 (in Debian/testing).
fr: Cette procédure a été testée sur Debian GNU/Linux&nbsp;3.0 (Woody) avec <prgn>makejail</prgn> 0.0.4-1 (de Debian/testing).

note: type: <p><example>
en: Log in as <prgn>root</prgn> and create a new jail directory:
fr: Connectez-vous en tant que <prgn>root</prgn> et créez le nouveau répertoire prison&nbsp;:

note: type: <p><example>
en: Create a new user and a new group. The chrooted Apache server will run as this user/group, which isn't used for anything else on the system. In this example, both user and group are called <prgn>chrapach</prgn>.
fr: Créez un nouvel utilisateur et un nouveau groupe. Le serveur Apache chrooté fonctionnera sous cet utilisateur et groupe, qui n'est utilisé pour rien d'autre sur le système. Dans cet exemple, l'utilisateur et le groupe sont appelés <prgn>chrapach</prgn>.

note: type: <p></p>
en: FIXME: is a new user needed? (Apache already runs as the apache user)
fr: FIXME : Est-ce qu'un nouvel utilisateur est nécessaire&nbsp;? (Apache fonctionne déjà sous l'utilisateur apache)

note: type: <p></p>
en: Install Apache as usual on Debian: <tt>apt-get install apache</tt>
fr: Installez Apache comme d'habitude sous Debian&nbsp;: <tt>apt-get install apache</tt>

note: type: <p></p>
en: Set up Apache (e.g. define your subdomains, etc.). In the <file>/etc/apache/httpd.conf</file> configuration file, set the <em>Group</em> and <em>User</em> options to <tt>chrapach</tt>. Restart Apache and make sure the server is working correctly. Now, stop the Apache daemon.
fr: Configurez Apache (par exemple définissez les sous-domaines, etc.). Dans le fichier de configuration <file>/etc/apache/httpd.conf</file>, positionnez les options <em>Group</em> et <em>User</em> à <tt>chrapach</tt>. Redémarrez Apache et assurez-vous que le serveur fonctionne correctement. Maintenant, stoppez le démon Apache.

note: type: <p></p>
en: Install <prgn>makejail</prgn> (available in Debian/testing for now). You should also install <prgn>wget</prgn> and <prgn>lynx</prgn> as they will be used by <prgn>makejail</prgn> to test the chrooted server: <tt>apt-get install makejail wget lynx</tt>
fr: Installez <prgn>makejail</prgn> (disponible dans Debian/testing actuellement). Vous devriez également installer <prgn>wget</prgn> et <prgn>lynx</prgn> car ils sont utilisés par <prgn>makejail</prgn> pour tester le serveur chrooté&nbsp;: <tt>apt-get install makejail wget lynx</tt>

note: type: <p><example>
en: Copy the sample configuration file for Apache to the <file>/etc/makejail</file> directory:
fr: Copiez le fichier de configuration exemple pour Apache dans le répertoire <file>/etc/makejail</file>&nbsp;:

note: type: <p><example>
en: Edit <file>/etc/makejail/apache.py</file>. You need to change the <em>chroot</em>, <em>users</em> and <em>groups</em> options. To run this version of <prgn>makejail</prgn>, you can also add a <prgn>packages</prgn> option. See the <url id="http://www.floc.net/makejail/current/doc/" name="makejail documentation">. A sample is shown here:
fr: Éditez <file>/etc/makejail/apache.py</file>. Vous devez changer les options <em>chroot</em>, <em>users</em> et <em>groups</em>. Pour exécuter cette version de <prgn>makejail</prgn>, vous pouvez également ajouter une option <prgn>packages</prgn>. Consultez la <url id="http://www.floc.net/makejail/current/doc/" name="documentation makejail">. Un exemple est fourni ici&nbsp;:

note: type: <p></p>
en: <em>FIXME:</em> some options do not seem to work properly. For instance, <file>/etc/shadow</file> and <file>/etc/gshadow</file> are not copied, whereas <file>/etc/password</file> and <file>/etc/group</file> are fully copied instead of being filtered.
fr: <em>FIXME</em> : Certaines options semblent ne pas fonctionner correctement. Par exemple, <file>/etc/shadow</file> et <file>/etc/gshadow</file> ne sont pas copiés, alors que <file>/etc/password</file> et <file>/etc/group</file> sont intégralement copiés au lieu d'être filtrés.

note: type: <p></p>
en: Create the chroot tree: <tt>makejail /etc/makejail/apache.py</tt>
fr: Créez l'arborescence de chroot&nbsp;: <tt>makejail /etc/makejail/apache.py</tt>

note: type: <p><example>
en: If <file>/etc/password</file> and <file>/etc/group</file> were fully copied, type:
fr: Si les fichiers <file>/etc/password</file> et <file>/etc/group</file> ont été intégralement copiés, entrez&nbsp;:

note: type: </example></p>
en: to replace them with filtered copies.
fr: pour les remplacer avec des copies filtrées.

note: type: <p><example>
en: Copy the Web site pages and the logs into the jail. These files are not copied automatically (see the <em>preserve</em> option in <prgn>makejail</prgn>'s configuration file).
fr: Copiez les pages du site web et les journaux dans la prison. Ces fichiers ne sont pas copiés automatiquement (consultez l'option <em>preserve</em> du fichier de configuration de <prgn>makejail</prgn>).

note: type: <p></p>
en: Edit the startup script for the system logging daemon so that it also listen to the <file>/var/chroot/apache/dev/log</file> socket. In <file>/etc/default/syslogd</file>, replace: <tt>SYSLOGD=&quot;&quot;</tt> with <tt>SYSLOGD=&quot; -a /var/chroot/apache/dev/log&quot;</tt> and restart the daemon (<tt>/etc/init.d/sysklogd restart</tt>).
fr: Éditez le script de démarrage pour le démon de journaux système pour qu'il écoute également sur la socket <file>/var/chroot/apache/dev/log</file>. Dans <file>/etc/default/syslogd</file>, remplacez&nbsp;: <tt>SYSLOGD=&quot;&quot;</tt> par <tt>SYSLOGD=&quot; -a /var/chroot/apache/dev/log&quot;</tt> et redémarrez le démon (<tt>/etc/init.d/sysklogd restart</tt>).

note: type: <p><list>
en: Edit the Apache startup script (<file>/etc/init.d/apache</file>). You might need to make some changes to the default startup script for it to run properly with a chrooted tree. Such as:
fr: Éditez le script de démarrage d'Apache (<file>/etc/init.d/apache</file>). Vous pouvez avoir besoin d'effectuer certaines changements au script de démarrage par défaut pour qu'il fonctionne correctement dans une arborescence chrooté. Comme&nbsp;:

note: type: <p></p>
en: set a new <em>CHRDIR</em> variable at the top of the file;
fr: configurer une nouvelle variable <em>CHRDIR</em> au début du fichier&nbsp;;

note: type: <p></p>
en: edit the <em>start</em>, <em>stop</em>, <em>reload</em>, etc. sections;
fr: éditer les sections <em>start</em>, <em>stop</em>, <em>reload</em>, etc.&nbsp;;

note: type: <p></p>
en: add a line to mount and unmount the <file>/proc</file> filesystem within the jail.
fr: ajouter une ligne pour monter et démonter le système de fichiers <file>/proc</file> dans la prison.

note: type: <p></p>
en: <em>FIXME</em>: should the first Apache process be run as another user than root (i.e. add --chuid chrapach:chrapach)? Cons: chrapach will need write access to the logs, which is awkward.
fr: <em>FIXME</em> : Est-ce que le premier processus Apache devrait être lancé avec un autre utilisateur que root (c'est-à-dire ajouter --chuid chrapach:chrapach)&nbsp;? Désavantage&nbsp;: chrapach devra avoir un accès en écriture aux journaux, ce qui est étrange.

note: type: <p></p>
en: Replace in <file>/etc/logrotate.d/apache</file> <tt>/var/log/apache/*.log</tt> with <tt>/var/chroot/apache/var/log/apache/*.log</tt>
fr: Remplacez dans <file>/etc/logrotate.d/apache</file> <tt>/var/log/apache/*.log</tt> par <tt>/var/chroot/apache/var/log/apache/*.log</tt>

note: type: <p></p>
en: Start Apache (<prgn>/etc/init.d/apache start</prgn>) and check what is it reported in the jail log (<file>/var/chroot/apache/var/log/apache/error.log</file>). If your setup is more complex, (e.g. if you also use PHP and MySQL), files will probably be missing. if some files are not copied automatically by <prgn>makejail</prgn>, you can list them in the <em>forceCopy</em> (to copy files directly) or <em>packages</em> (to copy full packages and their dependencies) option the <file>/etc/makejail/apache.py</file> configuration file.
fr: Démarrez Apache (<prgn>/etc/init.d/apache start</prgn>) et vérifiez ce qui est indiqué dans les journaux de la prison (<file>/var/chroot/apache/var/log/apache/error.log</file>). Si votre configuration est plus complexe (e.g. si vous utilisez également PHP et MySQL), des fichiers seront probablement manquants. Si certains fichiers ne sont pas copiés automatiquement par <prgn>makejail</prgn>, vous pouvez les indiquer dans les options <em>forceCopy</em> (pour copier les fichiers directement) ou <em>packages</em> (pour copier les paquets en entier et leurs dépendances) du fichier de configuration <file>/etc/makejail/apache.py</file>.

note: type: <p><example>
en: Type <tt>ps aux | grep apache</tt> to make sure Apache is running. You should see something like:
fr: Entrez <tt>ps aux | grep apache</tt> pour vous assurer qu'Apache fonctionne. Vous devriez voir quelque chose comme&nbsp;:

note: type: <p><example>
en: Make sure the Apache processes are running chrooted by looking in the <file>/proc</file> filesystem: <tt>ls -la /proc/<var>process_number</var>/root/.</tt> where <var>process_number</var> is one of the PID numbers listed above (2nd column; 189 for instance). The entries for a restricted tree should be listed:
fr: Assurez-vous que les processus Apache fonctionnent bien dans le chroot en observant le système de fichiers <file>/proc</file>&nbsp;: <tt>ls -la /proc/<var>numero_processus</var>/root/.</tt> où <var>numero_processus</var> est l'un des numéros de PID de la liste ci-dessus (2e colonne&nbsp;; 189 par exemple). La liste des entrées pour une arborescence restreinte devraient être ainsi&nbsp;:

note: type: <p></p>
en: To automate this test, you can type:<tt>ls -la /proc/`cat /var/chroot/apache/var/run/apache.pid`/root/.</tt>
fr: Pour automatiser ce test, vous pouvez entrer&nbsp;:<tt>ls -la /proc/`cat /var/chroot/apache/var/run/apache.pid`/root/.</tt>

note: type: <p></p>
en: <em>FIXME</em>: Add other tests that can be run to make sure the jail is closed?
fr: <em>FIXME</em> : Ajouter d'autres tests qui peuvent être exécuter pour s'assurer que la prison est fermées&nbsp;?

note: type: <p><example>
en: The reason I like this is because setting up the jail is not very difficult and the server can be updated in just two lines:
fr: La raison pour laquelle j'aime cela est que la mise en place d'une prison n'est pas très difficile et que le serveur peut être mis à jour avec seulement deux lignes&nbsp;:

note: type: <heading></heading>
en: See also
fr: Consultez également

note: type: <p><list>
en: If you are looking for more information you can consider these sources of information in which the information presented is based:
fr: Si vous recherchez plus d'informations, vous pouvez envisager ces sources d'informations sur lesquelles les informations présentées sont basées :

note: type: <p></p>
en: <url id="http://www.floc.net/makejail/" name="makejail homepage">, this program was written by Alain Tesio
fr: <url id="http://www.floc.net/makejail/" name="page d'accueil de makejail">, ce programme a été écrit par Alain Tesio
