Attachment 19535 Details for Bug 31425 – /doc/fr/gentoo-security.xml.patch

[patch] /doc/fr/gentoo-security.xml.patch

gentoo-security.xml.patch (text/plain), 29.98 KB, created by Camille Huot (RETIRED) on 2003-10-20 07:55:33 UTC

(hide)

Description:

Filename:

MIME Type:

Creator: Camille Huot (RETIRED)

Created: 2003-10-20 07:55:33 UTC

Size: 29.98 KB

patch

obsolete

>--- gentoo-security.xml.orig	2003-10-20 13:28:36.000000000 +0200
>+++ gentoo-security.xml	2003-10-20 16:42:42.000000000 +0200
>@@ -1370,7 +1370,7 @@
> 
> 
> Cette commande indiquera au noyau d'ignorer les messages de ping (paquets icmp de type 0).
>-La raison pour cela est qu'un paquet IP portÃ© par un message ICMP peut contenir beaucoup plus d'informations que vous ne le pensez.
>+La raison pour cela est qu'un paquet IP transportant un message ICMP peut contenir beaucoup plus d'informations que vous ne le pensez.
> Les administrateurs utilisent ping comme un outil de diagnostic et se plaindront souvent s'ils ne peuvent l'utiliser. Il n'y a aucune raison que quelqu'un de l'extÃ©rieur puisse faire un ping, mais quelquefois cela peut Ãªtre pratique pour les utilisateurs locaux. Ce problÃ¨me peut Ãªtre rÃ©solu en dÃ©sactivant les messages icmp de type 0 sur le pare-feu.
> 
> 
>@@ -1379,7 +1379,7 @@
> </pre>
> 
> 
>-Ceci dÃ©sactive les reponses aux broadcasts ICMP et prÃ©viendra des attaques smurf. 
>+Ceci dÃ©sactive les rÃ©ponses aux broadcasts ICMP et prÃ©viendra des attaques smurf. 
> Les attaques smurf fonctionnent en envoyant un message ICMP de type 0 (ping) Ã  l'adresse broadcast du rÃ©seau. Typiquement, l'attaquant utilisera une adresse source fausse. Tous les ordinateurs du rÃ©seau rÃ©pondront alors au message ping et l'hÃ´te qui possÃ¨de vraiment l'adresse source utilisÃ©e sera surchargÃ© de messages.
> 
> 
>@@ -1557,7 +1557,7 @@
> 
> 
> <uri link="http://www.Kerneli.org">Kerneli</uri> est un patch qui ajoute des fonctions
>-d'encryptage Ã  votre noyau. En patchant votre noyau, vous obtiendrez de nouvelles
>+de cryptage Ã  votre noyau. En patchant votre noyau, vous obtiendrez de nouvelles
> options comme : le chiffrement cryptographique, des algorithmes de validation et des filtres
> de boucles cryptographiques.
> 
>@@ -1572,11 +1572,11 @@
> <body>
> 
> <ul>
>- <li><uri link="http://www.openwall.com">Le projet OpenWall </uri> (pas pour les noyaux 2.4)</li>
>- <li><uri link="http://www.lids.org">SystÃ¨me de dÃ©tection d'intrusion pour Linux</uri></li>
>- <li><uri link="http://www.rsbac.org">ContrÃ´le d'accÃ¨s par rÃ¨gles</uri></li>
>- <li><uri link="http://www.nsa.gov/selinux">Le noyau sÃ©curisÃ© de la NSA</uri></li>
>- <li><uri link="http://sourceforge.net/projects/wolk/">Wolk</uri></li>
>+ <li><uri link="http://www.openwall.com">Le projet OpenWall </uri> (pas pour les noyaux 2.4) ;</li>
>+ <li><uri link="http://www.lids.org">SystÃ¨me de dÃ©tection d'intrusion pour Linux</uri> ;</li>
>+ <li><uri link="http://www.rsbac.org">ContrÃ´le d'accÃ¨s par rÃ¨gles</uri> ;</li>
>+ <li><uri link="http://www.nsa.gov/selinux">Le noyau sÃ©curisÃ© de la NSA</uri> ;</li>
>+ <li><uri link="http://sourceforge.net/projects/wolk/">Wolk</uri>.</li>
> </ul>
> 
> 
>@@ -1598,7 +1598,7 @@
> <title>Utiliser xinetd</title>
> <body>
> 
>-xinetd remplace inetd (que Gentoo ne propose pas), le dÃ©mon pour services
>+xinetd remplace inetd (que Gentoo ne propose pas), le dÃ©mon pour les services
> Internet. Il supporte les contrÃ´les d'accÃ¨s basÃ©s sur l'adresse de la machine distante
> et sur l'heure de l'accÃ¨s. Il fournit Ã©galement des fonctionnalitÃ©s avancÃ©es de log, incluant
> l'heure de dÃ©marrage du serveur, l'adresse de la machine distante, le nom de l'utilisateur distant,
>@@ -1637,12 +1637,12 @@
> # utilise l'utilisateur cvs pour dÃ©marrer le service
> # lie les interfaces Ã  une seule IP
> # autorise l'accÃ¨s uniquement depuis 10.0.0.*
>-# limite l'accÃ¨s des developpeurs au serveur entre 8h et 17h
>-# utilise les wrappers tpcd (controlÃ©s par liste d'accÃ¨s dans
>+# limite l'accÃ¨s des dÃ©veloppeurs au serveur entre 8h et 17h
>+# utilise les wrappers tpcd (contrÃ´lÃ©s par liste d'accÃ¨s dans
> # <path>/etc/hosts.allow</path> et <path>/etc/hosts.deny</path>)
> # le max_load sur la machine est de 1.0
> # L'option de dÃ©sactivation est normalement inutilisÃ©e mais j'aime l'avoir
>-# si jamais elle doit Ãªtre activÃ©e pour dÃ©sactiver le service
>+# si jamais elle doit Ãªtre utilisÃ©e pour dÃ©sactiver le service
> service cvspserver
> {
> socket_type = stream
>@@ -1675,9 +1675,9 @@
> 
> 
> La seule option de sÃ©curitÃ© que vous devez activer sur OpenSSH concerne l'authentification
>-basÃ©e sur le cryptage de clÃ© publique. Beaucoup trop de sites (comme <uri>http://www.sourceforge.net</uri>, <uri>http://www.php.net</uri> et
>+basÃ©e sur le cryptage Ã  clÃ© publique. Beaucoup trop de sites (comme <uri>http://www.sourceforge.net</uri>, <uri>http://www.php.net</uri> et
> <uri>http://www.apache.org</uri>) ont souffert d'intrusions non autorisÃ©es sur leurs
>-systÃ¨mes Ã  cause de mots de passes mal cryptÃ©s ou mauvais.
>+systÃ¨mes Ã  cause de mots de passe mal cryptÃ©s ou mauvais.
> 
> 
> <pre caption="/etc/ssh/sshd_config">
>@@ -1709,7 +1709,7 @@
> SyslogFacility AUTH
> LogLevel INFO
> 
>-# Ecoute sur l'interface locale
>+# Ãcoute sur l'interface locale
> ListenAddress 127.0.0.1
> </pre>
> 
>@@ -1727,10 +1727,10 @@
> 
> <pre caption="Sortie gÃ©nÃ©rÃ©e par ssh-keygen">
> Generating public/private rsa key pair.
>-Enter file in which to save the key (/home/kn/.ssh/id_rsa):<c>[Press enter]</c>
>+Enter file in which to save the key (/home/kn/.ssh/id_rsa):<c>[Faites EntrÃ©e]</c>
> Created directory '/home/kn/.ssh'.
>-Enter passphrase (empty for no passphrase): <c>[Enter passphrase]</c>
>-Enter same passphrase again: <c>[Enter passphrase again]</c>
>+Enter passphrase (empty for no passphrase): <c>[Entrez votre phrase de passe]</c>
>+Enter same passphrase again: <c>[Entrez votre phrase Ã  nouveau]</c>
> Your identification has been saved in /home/kn/.ssh/id_rsa.
> Your public key has been saved in /home/kn/.ssh/id_rsa.pub.
> The key fingerprint is:
>@@ -1831,7 +1831,7 @@
> <title>Lpd</title>
> <body>
> 
>-A FAIRE
>+Ã FAIRE
> 
> </body>
> </section>
>@@ -1843,7 +1843,7 @@
> http://pdq.sourceforge.net/
> 
> 
>-A FAIRE
>+Ã FAIRE
> 
> 
> </body>
>@@ -1857,7 +1857,7 @@
> 
> Le FTP (File Transfer Protocol) est en gÃ©nÃ©ral une mauvaise idÃ©e. Ce service n'utilise aucun cryptage
> pour les donnÃ©es, Ã©coute sur 2 ports (en thÃ©orie 20 et 21), supporte des utilisateurs
>-anonymes et est gÃ©nÃ©ralement trÃ¨s recherchÃ© par des attaquants (afin d'Ã©changer des fichiers
>+anonymes et est gÃ©nÃ©ralement trÃ¨s recherchÃ© par les attaquants (afin d'Ã©changer des fichiers
> illÃ©gaux). Si vous pouvez vous en passer, utilisez plutÃ´t <c>sftpd</c> ou HTTP Ã©tant donnÃ© que
> le protocole FTP comporte un certain nombre de problÃ¨mes de sÃ©curitÃ©. Sinon, sÃ©curisez
> vos services du mieux possible et prÃ©parez-vous.
>@@ -1883,7 +1883,7 @@
> MAX_CONN="-c 30"
> MAX_CONN_IP="-C 10"
> 
>-## Interdire les uploads si la partition est plus remplie que la variable suivante ##
>+## Interdire les uploads si la partition est plus remplie que la valeur suivante ##
> DISK_FULL="-k 90%"
> 
> AUTH="-lpuredb:/etc/pureftpd.pdb"
>@@ -1904,7 +1904,7 @@
> </warn>
> 
> 
>-Pour en savoir plus, consultez <uri>http://www.pureftpd.org</uri>
>+Pour en savoir plus, consultez <uri>http://www.pureftpd.org</uri>.
> 
> 
> </body>
>@@ -2048,7 +2048,7 @@
> 
> 
> 
>-Pour plus d'information consultez <uri>http://www.apache.org</uri>
>+Pour plus d'informations consultez <uri>http://www.apache.org</uri>.
> 
> 
> </body>
>@@ -2058,7 +2058,7 @@
> <section>
> <title>Postfix</title>
> <body>
>-A FAIRE !
>+Ã FAIRE !
> </body>
> </section>
> </comment>
>@@ -2190,7 +2190,7 @@
> <body>
> 
> 
>-Il n'y a pas grand chose a dire sur djbdns Ã  part que sont auteur est prÃªt Ã  parier
>+Il n'y a pas grand chose Ã  dire sur djbdns Ã  part que son auteur est prÃªt Ã  parier
> de <uri link="http://cr.yp.to/djbdns/guarantee.html">l'argent</uri> pour prouver
> qu'il est sÃ©curisÃ©. N'hÃ©sitez donc plus et essayez-le sur <uri>http://www.djbdns.org/</uri>.
> Il est trÃ¨s diffÃ©rent de Bind v.9 dans sa faÃ§on de travailler, mais vous devriez le maÃ®triser rapidement.
>@@ -2227,7 +2227,7 @@
> # Interdit les comptes privilÃ©giÃ©s
> invalid users = root @wheel
> 
>- # Ajoute une taille maximum d'uitilisation en kilo-octets
>+ # Ajoute une taille maximum d'utilisation en kilo-octets
> max disk size = 102400
> 
> # DÃ©finit la politique de mots de passe
>@@ -2257,7 +2257,7 @@
> <body>
> 
> Chrooter un service est une faÃ§on de limiter l'environnement d'un service (ou d'un utilisateur)
>-afin qu'il n'accÃ©de qu'Ã  l'essentiel sans qu'il puisse obtenir un accÃ¨s (ou des informations) qui pourraient mener
>+afin qu'il n'accÃ¨de qu'Ã  l'essentiel sans qu'il puisse obtenir un accÃ¨s (ou des informations) qui pourraient mener
> aux privilÃ¨ges root. En dÃ©marrant un service
> par le biais d'un autre utilisateur que root (nobody, apache, named), un attaquant ne peut
> accÃ©der qu'aux fichiers avec les permissions de cet utilisateur. Cela veut dire qu'un
>@@ -2268,11 +2268,11 @@
> Certains services comme pure-ftpd et bind ont des fonctionnalitÃ©s permettant d'utiliser
> chroot, mais pas tous. Si le service le supporte, utilisez-le, sinon il vous
> faudra trouver un moyen de crÃ©er le vÃ´tre. Voyons Ã  prÃ©sent comment crÃ©er un environnement
>-chroot, pour les besoins de l'apprentissage, nous allons le tester avec <c>bash</c> (plus facile).
>+chroot, pour apprendre nous allons le tester avec <c>bash</c> (plus facile).
> 
> 
> 
>-CrÃ©ez le rÃ©pertoire <path>/chroot</path> (<c>mkdir chroot</c>) et cherchez quelles sont les bibliothÃ¨ques dynamiques avec lesquelles <c>bash</c> est compilÃ© (si la compilation a Ã©tÃ© faite avec le mode <c>-static</c>, ce n'est pas nÃ©cessaire) :
>+CrÃ©ez le rÃ©pertoire <path>/chroot</path> (<c>mkdir /chroot</c>) et cherchez quelles sont les bibliothÃ¨ques dynamiques avec lesquelles <c>bash</c> est compilÃ© (si la compilation a Ã©tÃ© faite avec le mode <c>-static</c>, ce n'est pas nÃ©cessaire) :
> 
> 
> 
>@@ -2314,7 +2314,7 @@
> 
> 
> La mÃ©thode est la mÃªme pour crÃ©er un service en chroot. La seule diffÃ©rence est que
>-les services se basent parfois sur des pÃ©riphÃ©riques(devices) et des fichiers de configuration
>+les services se basent parfois sur des pÃ©riphÃ©riques (devices) et des fichiers de configuration
> dans <path>/etc</path>. Copiez-les tout simplement (des devices peuvent Ãªtre copiÃ©s avec <c>cp -a</c>) vers l'environnement chrootÃ©,
> Ã©ditez le script de dÃ©marrage (init) pour qu'il utilise le chroot avant de s'exÃ©cuter.
> Il peut Ãªtre difficile de trouver quels pÃ©riphÃ©riques et fichiers de configuration sont
>@@ -2369,7 +2369,7 @@
> 
> 
> 
>-RÃ©flechissez donc bien avant d'en mettre un en place ! En avez-vous vraiment besoin ? Si vous le
>+RÃ©flÃ©chissez donc bien avant d'en mettre un en place ! En avez-vous vraiment besoin ? Si vous le
> pensez, Ã©crivez un guide sur son utilitÃ©, son type et la personne qui doit s'en occuper.
> Mais tout d'abord, lisez ce guide.
> 
>@@ -2379,8 +2379,8 @@
> 
> 
> <ul>
>-<li>Pour garder des utilisateurs (vers/attaquants) dehors</li>
>-<li>Pour garder des utilisateurs (employÃ©s/enfants) dedans</li>
>+<li>Pour garder des utilisateurs (vers/attaquants) dehors ;</li>
>+<li>Pour garder des utilisateurs (employÃ©s/enfants) dedans.</li>
> </ul>
> 
> 
>@@ -2388,14 +2388,14 @@
> 
> 
> <ul>
>-<li>Filtrage de paquets</li>
>-<li>Relais de circuit</li>
>-<li>Passerelle d'application</li>
>+<li>Filtrage de paquets ;</li>
>+<li>Relais de circuit ;</li>
>+<li>Passerelle d'application.</li>
> </ul>
> 
> 
> Un pare-feu devrait Ãªtre une machine dÃ©diÃ©e sans aucun service (ou uniquement <c>sshd</c>) et
>-sÃ©curisÃ© de la faÃ§on qui est recommandÃ©e dans ce guide.
>+sÃ©curisÃ©e de la faÃ§on qui est recommandÃ©e dans ce guide.
> 
> 
> </body>
>@@ -2413,16 +2413,16 @@
> 
> <ul>
> 
>-<li>Autorisation ou interdiction des paquets en se basant sur l'adresse IP source/destination</li>
>-<li>Autorisation ou interdiction des paquets en se basant sur un port source/destination</li>
>-<li>Autorisation ou interdiction des paquets selon le protocole</li>
>-<li>Autorisation ou interdiction des paquets selon les drapeaux Ã©tablis Ã  l'intÃ©rieur d'un protocole</li>
>+<li>Autorisation ou interdiction des paquets en se basant sur l'adresse IP source/destination ;</li>
>+<li>Autorisation ou interdiction des paquets en se basant sur un port source/destination ;</li>
>+<li>Autorisation ou interdiction des paquets selon le protocole ;</li>
>+<li>Autorisation ou interdiction des paquets selon les options Ã©tablies Ã  l'intÃ©rieur d'un protocole.</li>
> 
> </ul>
> 
> 
> Globalement, le filtrage se fait sur les donnÃ©es contenues dans l'en-tÃªte d'un paquet
>-et pas sur le contenu.
>+et pas sur le contenu du paquet.
> 
> 
> 
>@@ -2431,11 +2431,11 @@
> 
> <ul>
> <li>L'adresse d'un paquet peut Ãªtre contrefaite ou comme le veut le terme
>-dÃ©diÃ© <e>spoofÃ©e</e> par son envoyeur</li>
>+dÃ©diÃ© <e>spoofÃ©e</e> par son envoyeur ;</li>
> <li>Les donnÃ©es ou requÃªtes contenues dans le paquet peuvent contenir des donnÃ©es indÃ©sirables
> que l'attaquant peut utiliser pour exploiter des bogues connus dans les services qui sont sur ou
>-derriÃ¨re le pare-feu</li>
>-<li>GÃ©nÃ©ralement le seul point faible</li>
>+derriÃ¨re le pare-feu ;</li>
>+<li>GÃ©nÃ©ralement le seul point faible.</li>
> </ul>
> 
> 
>@@ -2443,10 +2443,10 @@
> 
> 
> <ul>
>-<li>Simple et facile Ã  implÃ©menter</li>
>+<li>Simple et facile Ã  implÃ©menter ;</li>
> <li>Peut donner des avertissements sur une attaque possible avant qu'elle n'arrive (en
>-dÃ©tectant le scan de ports)</li>
>-<li>Bonne mÃ©thode pour arrÃªter les attaques de type SYN</li>
>+dÃ©tectant le scan de ports) ;</li>
>+<li>Bonne mÃ©thode pour arrÃªter les attaques de type SYN.</li>
> </ul>
> 
> 
>@@ -2454,9 +2454,9 @@
> 
> 
> <ul>
>-<li><uri link="http://www.iptables.org">Iptables</uri></li>
>-<li><uri link="http://www.linuxdocs.org/HOWTOs/IPCHAINS-HOWTO.html">Ipchains</uri></li>
>-<li><uri link="http://www.smoothwall.org">SmoothWall</uri></li>
>+<li><uri link="http://www.iptables.org">Iptables</uri> ;</li>
>+<li><uri link="http://www.linuxdocs.org/HOWTOs/IPCHAINS-HOWTO.html">Ipchains</uri> ;</li>
>+<li><uri link="http://www.smoothwall.org">SmoothWall</uri>.</li>
> </ul>
> 
> </body>
>@@ -2473,16 +2473,16 @@
> 
> 
> <ul>
>-<li>Adresse de destination/source</li>
>-<li>Port de destination/source</li>
>-<li>Un certain laps de temps</li>
>-<li>Protocole</li>
>-<li>Utilisateur</li>
>-<li>Mot de passe</li>
>+<li>Adresse de destination/source ;</li>
>+<li>Port de destination/source ;</li>
>+<li>Un certain laps de temps ;</li>
>+<li>Protocole ;</li>
>+<li>Utilisateur ;</li>
>+<li>Mot de passe.</li>
> </ul>
> 
> 
>-Tout le trafic est validÃ©, monitorÃ© et celui ne correspondant pas aux rÃ¨gles est bloquÃ©.
>+Tout le trafic est validÃ©, surveillÃ© et celui ne correspondant pas aux rÃ¨gles est bloquÃ©.
> 
> 
> 
>@@ -2511,9 +2511,9 @@
> 
> 
> <ul>
>-<li>L'autorisation ou l'interdiction en se basant sur la source/destination</li>
>-<li>En se basant sur le contenu des paquets</li>
>-<li>Limitation de l'accÃ¨s aux fichier en fonction du type ou de l'extension</li>
>+<li>L'autorisation ou l'interdiction en se basant sur les adresses IP source/destination ;</li>
>+<li>En se basant sur le contenu des paquets ;</li>
>+<li>Limitation de l'accÃ¨s aux fichiers en fonction du type ou de l'extension.</li>
> </ul>
> 
> 
>@@ -2521,11 +2521,11 @@
> 
> 
> <ul>
>-<li>Peut mettre des fichiers en cache, amÃ©liorant ainsi les performances rÃ©seau</li>
>-<li>Log complet et dÃ©taillÃ© de toutes les connexions</li>
>+<li>Peut mettre des fichiers en cache, amÃ©liorant ainsi les performances rÃ©seau ;</li>
>+<li>Log complet et dÃ©taillÃ© de toutes les connexions ;</li>
> <li>S'adapte parfaitement (certains serveurs de proximitÃ© peuvent "partager" les donnÃ©es
>-en cache)</li>
>-<li>Aucun accÃ¨s direct depuis l'extÃ©rieur</li>
>+en cache) ;</li>
>+<li>Aucun accÃ¨s direct depuis l'extÃ©rieur ;</li>
> <li>Peut mÃªme modifier le contenu des paquets en temps rÃ©el.</li>
> </ul>
> 
>@@ -2534,7 +2534,7 @@
> 
> 
> <ul>
>-<li>Sa configuration est compliquÃ©e</li>
>+<li>Sa configuration est compliquÃ©e.</li>
> </ul>
> 
> 
>@@ -2556,10 +2556,10 @@
> 
> 
> Vous devez activer iptables dans le noyau pour qu'il fonctionne correctement.
>-Je les ai ajoutÃ©s en tant que modules (la commande <c>iptables</c> les chargera
>+Je l'ai ajoutÃ© en tant que modules (la commande <c>iptables</c> les chargera
> lorsqu'elle en a besoin), puis j'ai recompilÃ© mon noyau. 
> Pour plus d'informations sur la configuration du noyau pour iptables allez voir le <uri link="http://iptables-tutorial.frozentux.net/chunkyhtml/kernelsetup.html">Iptables Tutorial Chapter 2: Preparations</uri>.
>-AprÃ¨s avoir compilÃ© votre nouveau noyau (ou pendant sa compilation), vous devez ajouter la commande <c>iptables</c>. Il suffit simplement de faire <c>emerge iptables</c> et cela devrait fonctionner.
>+AprÃ¨s avoir compilÃ© votre nouveau noyau (ou pendant sa compilation), vous devez installer la commande <c>iptables</c>. Il suffit simplement de faire <c>emerge iptables</c> et cela devrait fonctionner.
> 
> 
> 
>@@ -2576,7 +2576,7 @@
> 
> 
> Une connexion TCP est composÃ©e d'une sÃ©rie de paquets contenant des
>-informations sur l'adresse IP destination/source et une sÃ©quence permettant de
>+informations sur les adresses IP destination/source et une sÃ©quence permettant de
> rÃ©assembler les paquets par la suite sans perte de donnÃ©es.
> TCP est un protocole qui Ã©tablit une connexion contrairement Ã  UDP.
> 
>@@ -2589,7 +2589,7 @@
> Avec un filtre de paquets sans Ã©tat, il est possible de leurrer le filtre en lui faisant accepter des paquets qui devraient Ãªtre rejetÃ©s en manipulant les en-tÃªtes des paquets TCP.
> Cela peut Ãªtre rÃ©alisÃ© en manipulant le drapeau SYN ou d'autres drapeaux de l'en-tÃªte TCP.
> Avec un filtrage Ã  Ã©tats il est possible de rejeter de tels paquets, Ã©tant donnÃ© qu'ils ne font pas partie d'une connexion dÃ©ja Ã©tablie.
>-Cela arrÃªtera aussi la possibilitÃ© de "scans invisibles" puisque de tels paquets ne feront pas partie d'une connexion dÃ©ja Ã©tablie.
>+Cela empÃªchera aussi les "scans invisibles" puisque de tels paquets ne feront pas partie d'une connexion dÃ©ja Ã©tablie.
> 
> 
> 
>@@ -2598,7 +2598,7 @@
> 
> 
> 
>-Une connexion TCP est Ã©tablie en trois temps (three-way handshake en anglais).
>+Une connexion TCP est Ã©tablie en trois temps (Ndt: three-way handshake en anglais).
> Quand on Ã©tablit une connexion TCP, le client envoie un paquet au serveur avec le drapeau SYN levÃ©.
> Quand le serveur reÃ§oit le paquet SYN, il rÃ©pond en envoyant un paquet SYN+ACK au client.
> Quand le paquet SYN+ACK est reÃ§u par le client, il rÃ©pond avec un troisiÃ¨me paquet ACK qui a pour effet d'Ã©tablir la connexion.
>@@ -2767,17 +2767,17 @@
> <th>Module</th><th>Description</th><th>Options Ã©tendues</th>
> </tr>
> <tr>
>- <ti>mac</ti><ti>Verifie que l'extension correspond pour les paquets entrants sur
>+ <ti>mac</ti><ti>VÃ©rifie que l'extension correspond pour les paquets entrants sur
> 	une adresse mac.</ti><ti>--mac-source</ti>
> </tr>
> <tr>
> <ti>state</ti><ti>Active l'inspection des Ã©tats </ti><ti>--state (les Ã©tats sont ESTABLISHED,RELATED, INVALID, NEW)</ti>
> </tr>
> <tr>
>- <ti>limit</ti><ti>Definit une limite sur le flux</ti><ti>--limit, --limit-burst</ti>
>+ <ti>limit</ti><ti>DÃ©finit une limite sur le flux</ti><ti>--limit, --limit-burst</ti>
> </tr>
> <tr>
>- <ti>owner</ti><ti>Essaie de trouver des correspondences dans le crÃ©ateur du paquet </ti><ti>--uid-owner userid --gid-owner groupid --pid-owner processid --sid-owner sessionid</ti>
>+ <ti>owner</ti><ti>Essaie de trouver des correspondances dans le crÃ©ateur du paquet </ti><ti>--uid-owner userid --gid-owner groupid --pid-owner processid --sid-owner sessionid</ti>
> </tr>
> <tr>
> <ti>unclean</ti><ti>Plusieurs tests de vÃ©rification alÃ©atoires du bon Ã©tat des paquets </ti><ti/>
>@@ -2798,7 +2798,7 @@
> trafic entrant est ignorÃ©.</codenote>
> # iptables -P OUTPUT ACCEPT
> # iptables -P INPUT DROP
>-<codenote>Et on a joute cela Ã  la chaÃ®ne INPUT</codenote>
>+<codenote>Et on ajoute cela Ã  la chaÃ®ne INPUT</codenote>
> # iptables -A INPUT -j machaine
> </pre>
> 
>@@ -2817,12 +2817,12 @@
> 
> 
> <ul>
>- <li>Connexions au pare-feu uniquement autorisÃ©es via SSH (port 22)</li>
>- <li>Le rÃ©seau local doit avoir accÃ¨s Ã  HTTP, HTTPS et SSH (DNS est Ã©galement autorisÃ©)</li>
>- <li>Le trafic ICMP peut Ãªtre nocif et devrait Ãªtre interdit. Evidemment, nous devons autoriser un peu de trafic ICMP</li>
>- <li>Les scans de ports doivent Ãªtre dÃ©tectÃ©s et loggÃ©s</li>
>- <li>Les attaques SYN doivent Ãªtre Ã©vitÃ©es</li>
>- <li>Tout autre trafic doit Ãªtre ignorÃ© et loggÃ©</li>
>+ <li>Connexions au pare-feu uniquement autorisÃ©es via SSH (port 22) ;</li>
>+ <li>Le rÃ©seau local doit avoir accÃ¨s Ã  HTTP, HTTPS et SSH (DNS est Ã©galement autorisÃ©) ;</li>
>+ <li>Le trafic ICMP peut Ãªtre nocif et devrait Ãªtre interdit. Ãvidemment, nous devons autoriser un peu de trafic ICMP ;</li>
>+ <li>Les scans de ports doivent Ãªtre dÃ©tectÃ©s et loggÃ©s ;</li>
>+ <li>Les attaques SYN doivent Ãªtre Ã©vitÃ©es ;</li>
>+ <li>Tout autre trafic doit Ãªtre ignorÃ© et loggÃ©.</li>
> </ul>
> 
> <pre caption="/etc/init.d/firewall">
>@@ -2856,7 +2856,7 @@
> $IPTABLES -P INPUT DROP
> $IPTABLES -P OUTPUT DROP
> 
>- # regles par default
>+ # rÃ¨gles par default
> einfo "CrÃ©er les chaÃ®nes d'Ã©tat"
> $IPTABLES -N allowed-connection
> $IPTABLES -F allowed-connection
>@@ -2932,7 +2932,7 @@
> --limit 5/minute -j LOG --log-level 5 --log-prefix "SYN/FIN:"
> $IPTABLES -A check-flags -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
> 
>- # Appliqure et ajoute les chaÃ®nes invalides
>+ # Applique et ajoute les chaÃ®nes invalides
> einfo "Appliquer les chaÃ®nes a INPUT"
> $IPTABLES -A INPUT -m state --state INVALID -j DROP
> $IPTABLES -A INPUT -j icmp_allowed
>@@ -3015,7 +3015,7 @@
> }
> 
> restore() {
>- ebegin "Retablir les rÃ¨gles prÃ©cÃ©dentes"
>+ ebegin "RÃ©tablir les rÃ¨gles prÃ©cÃ©dentes"
> $IPTABLESRESTORE &lt; $FIREWALL
> eend $?
> }
>@@ -3040,11 +3040,11 @@
> 
> 
> <ol>
>- <li>CrÃ©ez les rÃ¨gles de votre pare-feu avant de l'Ã©crire</li>
>- <li>Faites quelque chose de simple</li>
>- <li>Connaissez le fonctionnement des protocoles (lisez le <uri link="http://www.ietf.org/">RFC, Request For Comments</uri>)</li>
>- <li>Gardez bien en tÃªte que votre pare-feu n'est qu'une autre piÃ¨ce logicielle fonctionnant sous root</li>
>- <li>Testez votre pare-feu</li>
>+ <li>CrÃ©ez les rÃ¨gles de votre pare-feu avant de l'Ã©crire ;</li>
>+ <li>Faites quelque chose de simple ;</li>
>+ <li>Connaissez le fonctionnement des protocoles (lisez les <uri link="http://www.ietf.org/">RFC, Request For Comments</uri>) ;</li>
>+ <li>Gardez bien en tÃªte que votre pare-feu n'est qu'un logiciel qui fonctionne sous root ;</li>
>+ <li>Testez votre pare-feu.</li>
> </ol>
> 
> 
>@@ -3064,12 +3064,12 @@
> 
> Squid est un serveur proxy trÃ¨s puissant, il peut filtrer le trafic en fonction de l'heure, d'une expression rationnelle sur le chemin/uri, d'une adresse IP
> source/destination, du domaine, du navigateur, de l'utilisateur, d'un type MIME ou bien d'un
>-numÃ©ro de port (protocole). J'en ai sans doute oubliÃ© d'autres, mais il serait difficile
>-de les couvrir dans leur ensemble ici.
>+numÃ©ro de port (protocole). J'en ai sans doute oubliÃ©s d'autres, mais il serait difficile
>+de les Ã©noncer dans leur ensemble ici.
> 
> 
> 
>-Dans l'exemple suivant, j'ai ajoutÃ© un filtre de banniÃ¨re plutÃ´t qu'un filtre basÃ© sur
>+Dans l'exemple suivant, j'ai ajoutÃ© un filtre de banniÃ¨res plutÃ´t qu'un filtre basÃ© sur
> du contenu pornographique. La raison pour cela est que Gentoo.org ne devrait <c>pas</c> Ãªtre listÃ© comme
> site Ã  caractÃ¨re pornographique. Et je ne veux pas perdre mon temps Ã  essayer de vous
> trouver des bonnes adresses de sites.
>@@ -3081,10 +3081,10 @@
> 
> <ul>
> <li>Le surf (HTTP/HTTPS) est autorisÃ© pendant les heures de bureau (du lundi au vendredi 8h-17h et le
>- samedi 8h-13h), s'ils restent plus tard, c'est pour travailler et pas pour surfer</li>
>- <li>Le tÃ©lÃ©chargement est interdit (.exe, .com, .arj, .zip, .asf, .avi, .mpg, .mpeg, etc.)</li>
>+ samedi 8h-13h), s'ils restent plus tard, c'est pour travailler et pas pour surfer ;</li>
>+ <li>Le tÃ©lÃ©chargement est interdit (.exe, .com, .arj, .zip, .asf, .avi, .mpg, .mpeg, etc.) ;</li>
> <li>N'aimant pas les banniÃ¨res publicitaires, elles sont filtrÃ©es et remplacÃ©es par un gif
>- transparent (c'est ici que vous devenez crÃ©atif)</li>
>+ transparent (c'est ici que vous devenez crÃ©atif) ;</li>
> <li>Toute autre connexion venant d'Internet ou vers Internet est interdite.</li>
> </ul>
> 
>@@ -3093,7 +3093,7 @@
> 
> 
> <pre caption="/etc/squid/squid.conf">
>-# Lier Ã  une IP et un port
>+# Liaison Ã  une adresse IP et un port
> http_port 10.0.2.1:3128
> 
> # Configuration standard
>@@ -3101,7 +3101,7 @@
> acl QUERY urlpath_regex cgi-bin \?
> no_cache deny QUERY
> 
>-# Controle d'accÃ¨s standard
>+# ContrÃ´le d'accÃ¨s standard
> acl all src 0.0.0.0/0.0.0.0
> acl manager proto cache_object
> acl localhost src 127.0.0.1/255.255.255.255
>@@ -3291,15 +3291,15 @@
> 
> <ol>
> <li>Un pare-feu peut reprÃ©senter un risque s'il est mal configurÃ© et qu'il vaut mieux
>- dans ce cas n'en avoir aucun</li>
>- <li>Comment paramÃ©trer un serveur proxy transparent et une passerelle de base</li>
>+ dans ce cas n'en avoir aucun ;</li>
>+ <li>Comment paramÃ©trer un serveur proxy transparent et une passerelle de base ;</li>
> <li>La clÃ© d'un bon pare-feu est de connaÃ®tre le protocole que
>- vous voulez autoriser</li>
>+ vous voulez autoriser ;</li>
> <li>Que le trafic IP ne contient pas que des donnÃ©es lÃ©gitimes, des
>- paquets ICMP peuvent contenir des informations importantes sur le rÃ©seau</li>
>- <li>Comment Ã©viter des attaques SYN</li>
>- <li>Filtrer le trafic HTTP en retirant le chargement d'images ou de virus</li>
>- <li>Le fait de combiner un pare-feu et un serveur de proximitÃ© donne un meilleur contrÃ´le</li>
>+ paquets ICMP peuvent contenir des informations importantes sur le rÃ©seau ;</li>
>+ <li>Comment Ã©viter des attaques SYN ;</li>
>+ <li>Filtrer le trafic HTTP en retirant le chargement d'images ou de virus ;</li>
>+ <li>Le fait de combiner un pare-feu et un serveur proxy donne un meilleur contrÃ´le.</li>
> </ol>
> 
> 
>@@ -3322,7 +3322,7 @@
> <body>
> 
> 
>-AIDE est un systÃ¨me de dÃ©tection d'intrusion installÃ© sur la machine protÃ©gÃ©e (une alternative gratuite
>+AIDE est un systÃ¨me de dÃ©tection d'intrusion installÃ© sur la machine Ã  protÃ©ger (une alternative gratuite
> Ã  Tripwire). Si vous connaissez dÃ©jÃ  Tripwire, vous n'aurez aucune difficultÃ© Ã  configurer AIDE.
> 
> 
>@@ -3336,22 +3336,22 @@
> <th>Macro</th><th>Description</th><th>Syntaxe</th>
> </tr>
> <tr>
>- <ti>ifdef</ti><ti>Si dÃ©fini</ti><ti>@@ifdef "name"</ti>
>+ <ti>ifdef</ti><ti>Si dÃ©fini</ti><ti>@@ifdef "nom"</ti>
> </tr>
> <tr>
>- <ti>ifndef</ti><ti>Si non dÃ©fini</ti><ti>@@ifndef "name"</ti>
>+ <ti>ifndef</ti><ti>Si non dÃ©fini</ti><ti>@@ifndef "nom"</ti>
> </tr>
> <tr>
>- <ti>define</ti><ti>DÃ©finit une variable </ti><ti>@@define "name" "value"</ti>
>+ <ti>define</ti><ti>DÃ©finit une variable </ti><ti>@@define "nom" "valeur"</ti>
> </tr>
> <tr>
>- <ti>undef</ti><ti>EnlÃ¨ve la dÃ©finition d'une variable</ti><ti>@@undef "name"</ti>
>+ <ti>undef</ti><ti>EnlÃ¨ve la dÃ©finition d'une variable</ti><ti>@@undef "nom"</ti>
> </tr>
> <tr>
>- <ti>ifhost</ti><ti>si "nom d'hÃ´te"</ti><ti>@@ifhost "hostname"</ti>
>+ <ti>ifhost</ti><ti>si "nom d'hÃ´te"</ti><ti>@@ifhost "nom hÃ´te"</ti>
> </tr>
> <tr>
>- <ti>ifnhost</ti><ti>si non "nom d'hÃ´te"</ti><ti>@@ifnhost "hostname"</ti>
>+ <ti>ifnhost</ti><ti>si non "nom d'hÃ´te"</ti><ti>@@ifnhost "nom hÃ´te"</ti>
> </tr>
> <tr>
> <ti>endif</ti><ti>Endif doit Ãªtre utilisÃ© aprÃ¨s chacune des macros ci-dessus Ã  part define et undef</ti><ti>@@endif</ti>
>@@ -3452,7 +3452,7 @@
> </table>
> 
> 
>-Vous pouvez Ã  prÃ©sent crÃ©er vos propres rÃ¨gles en combinant les indicateurs comme ceci:
>+Vous pouvez Ã  prÃ©sent crÃ©er vos propres rÃ¨gles en combinant les indicateurs comme ceci :
> 
> 
> <pre caption="CrÃ©er un ensemble de rÃ¨gles pour AIDE">
>@@ -3504,7 +3504,7 @@
> verbose=20
> report_url=stdout
> 
>-# Definition des rÃ¨gles
>+# DÃ©finition des rÃ¨gles
> All=R+a+sha1+rmd160
> Norm=s+n+b+md5+sha1+rmd160
> 
>@@ -3525,19 +3525,23 @@
> 
> 
> Dans l'exemple ci-dessus, nous spÃ©cifions en quelques macros l'emplacement des rÃ©pertoires principaux ainsi que du rÃ©pertoire AIDE. AIDE
>-vÃ©rifie alors <path>/etc/aide/aide.db</path> pour savoir si le fichier a Ã©tÃ© modifiÃ©.
>+consulte alors <path>/etc/aide/aide.db</path> pour savoir si le fichier a Ã©tÃ© modifiÃ©.
> Mais lorsqu'il met Ã  jour ou crÃ©e un nouveau fichier, il l'inscrit dans <path>/etc/aide/aide.db.new</path>. Cela permet d'Ã©viter qu'il n'Ã©crase automatiquement le
> fichier de base de donnÃ©es prÃ©cÃ©dent. L'option <c>report_URL</c> n'est pas encore implÃ©mentÃ©e, mais les
> auteurs comptent bien l'utiliser pour envoyer un email ou bien exÃ©cuter un script.
> 
> 
> 
>-AprÃ¨s avoir fini la configuration, vous pouvez crÃ©er le fichier
>-de base de donnÃ©es en exÃ©cutant <c>aide -i</c>, puis copiez le fichier <path>/etc/aide/aide.db.new</path> vers <path>/etc/aide/aide.db</path> et ajoutez la vÃ©rification dans le cron en faisant <c>crontab -e</c> as root.
>+AprÃ¨s avoir fini la configuration, vous pouvez crÃ©er le fichier de base de 
>+donnÃ©es en exÃ©cutant <c>aide -i</c>, puis copiez le fichier 
>+<path>/etc/aide/aide.db.new</path> vers <path>/etc/aide/aide.db</path> et 
>+ajoutez la vÃ©rification dans le cron en faisant <c>crontab -e</c> en root.
> 
>-<note>En fonction des indicateurs que vous avez
>-mis, de la puissance de votre processeur et de la rapiditÃ© d'accÃ¨s Ã  votre disque
>-dur, cela peut prendre un certain temps Ã  s'exÃ©cuter </note>
>+
>+<note>
>+En fonction des indicateurs que vous avez mis, de la puissance de votre processeur et de la rapiditÃ© d'accÃ¨s Ã  votre disque
>+dur, cela peut prendre un certain temps Ã  s'exÃ©cuter.
>+</note>
> 
> <pre caption="Programmer AIDE en tÃ¢che cron">
> 0 3 * * * /usr/bin/aide -u
>@@ -3548,7 +3552,7 @@
> 
> Dans cet exemple, il dÃ©marre tout seul Ã  3h. Cela Ã©vite de dÃ©ranger les
> utilisateurs lorsqu'ils travaillent. Notez Ã©galement que j'utilise l'option <c>-u</c>
>-(mise Ã  jour) au lieu de <c>-C</c> (vÃ©rification). Etant donnÃ© que <c>-u</c> vÃ©rifie aussi le fichier et
>+(mise Ã  jour) au lieu de <c>-C</c> (vÃ©rification). Ãtant donnÃ© que <c>-u</c> vÃ©rifie aussi le fichier et
> n'Ã©crase pas la base de donnÃ©es originale, cela devrait accÃ©lerer la procÃ©dure car
> vous n'avez plus qu'Ã  copier le fichier lorsqu'un changement est dÃ©tectÃ©. Avant de copier, vÃ©rifiez les
> changements pour vous assurer que c'est bien vous qui les avez faits et pas un

Actions: View | Diff

Attachments on bug 31425: 19408 | 19493 | 19535