Après avoir installé, ou commandé, une machine sous debian, voici les dix actions supplémentaires que je trouve indispensables d’effectuer avant de commencer à utiliser sa machine.
J’ai eu la surprise, après la commande d’une dédibox, de voir les locales par défaut en français. J’aime bien cette langue, mais en informatique, l’anglais est de rigueur. Un petit dpkg-reconfigure locales
et le problème est réglé.
Ensuite je configure apt pour qu’il ne m’installe pas automatiquement les paquets recommandés:
$ cat /etc/apt/apt.conf.d/00-recommend APT::Install-Recommends "false";
Apparemment je ne suis pas le seul à faire ainsi.
J’installe les paquets suivants, non fournis par défaut:
Le logiciel etckeeper permet de garder un historique des modifications dans le répertoire /etc. C’est très pratique pour annuler des interventions, pour vérifier ce qu’on a fait, ou ce qu’un autre administrateur a fait. Mais par défaut le logiciel commit automatiquement les modifications présentes dans le répertoire, soit une fois par jour, soit à chaque appel d’aptitude (ou apt-get) qui installe ou supprime un logiciel. C’est pourquoi je dois le configurer pour empêcher ces commits automatiques.
AVOID_DAILY_AUTOCOMMITS=1 AVOID_COMMIT_BEFORE_INSTALL=1
Je blinde ensuite le démon ssh. Voici les lignes que je modifie:
X11Forwarding no PermitRootLogin no PasswordAuthentication no AllowUsers admin etc…
En gros:
Bon, je sais, la sécurité par l’obscurité c’est pas bien. Mais mon côté parano me dit que cela ne peut pas faire de mal non plus. Ce n’est pas la peine de tendre le bâton pour être battu, même si une personne motivée trouvera un bâton de toute façon.
Dans le fichier conf.d/security j’active les balises suivantes:
ServerTokens Prod ServerSignature Off
Les dernières version de ssh permettent d’éviter l’affichage de la version de debian par le démon ssh. Il suffit pour cela d’ajouter la directive suivante:
DebianBanner no
Ensuite je configure un certains nombres de logiciels dont la configuration par défaut ne me convient pas.
Par exemple screen:
$ cat /etc/screenrc escape ^Oo
Je choisis aussi emacs comme éditeur par défaut: update-alternatives --config editor
.
Qui utilise encore NFS? Pas moi.
Si cela n’est pas encore fait, c’est le moment de s’inscrire à la liste debian security announce.
S’inscrire aussi sur les listes de chaque logiciel installé manuellement, spécialement les logiciels web.
Dans le doute, on vérifie une nouvelle fois que la maison est bien fermée à clé:
nmap -sT my-server nmap -sU my-server