Je veux conserver la configuration de plusieurs de mes hôtes dans mercurial et la sauvegarder, disons, dans bitbucket.
Disons que j'ai pris quelques précautions - j'ai réglé SSH pour qu'il n'accepte que les clés, j'ai réglé pam pour qu'il hache le mot de passe encore plus souvent et, bien sûr, j'ai gardé /etc/shadow loin du répertoire.
Y a-t-il un réel inconvénient à ce que tout le monde connaisse la configuration de mon hôte ?
Oui, vous vous exposez inutilement. Le problème est connu sous le nom de Piratage de Google . L'un des principaux coûts lors d'une attaque de systèmes est le temps nécessaire à l'identification des systèmes vulnérables. En publiant votre configuration complète, vous permettez aux gens de vérifier si vous êtes vulnérable aux attaques sans consommer de ressources, ce qui fait de vous une cible facile.
Même si vous n'êtes pas vulnérable pour le moment, supposez que quelqu'un trouve une nouvelle vulnérabilité... Ils peuvent alors simplement utiliser Google pour identifier vos serveurs comme des cibles potentielles et les attaquer, avant que vous n'ayez le temps de réagir.
Oui, parce que vous attirez l'attention sur votre site d'une manière qui n'a pas d'utilité réelle. À moins que vous ne partagiez spécifiquement des configurations que d'autres pourraient trouver utiles, le seul résultat probable est d'augmenter la visibilité de votre site pour les craqueurs et les robots (indépendamment du fait que votre configuration elle-même soit problématique).
Bien sûr, comme le souligne Pehrs, si votre configuration présente une vulnérabilité identifiée, vous l'exposez à des attaques automatisées. Bien que la "sécurité par l'obscurité" soit souvent tournée en dérision et parfois abusée, elle est un élément de votre sécurité globale (comme les stores). Et si le cryptage peut compenser ce danger, il est préférable de l'éviter complètement.
D'une manière générale, vous ne devriez pas exposer d'informations sur un système sans avoir un but précis.
SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.
