Guide pratique d'utilisation de BIND en environnement restreint

Adaptation française du guide pratique Chroot-BIND HOWTO

Vincent Loupien

Adaptation française

Benoît Rouits

Relecture de la version française

Jean-Philippe Guérard

Relecture de la version française

Jean-Philippe Guérard

Préparation de la publication de la v.f.

Version : 1.5.fr.1.0

20 juillet 2005

Historique des versions
Version 1.5.fr.1.02005-07-30VL, BR, JPG
Version française relue par Benoît Rouits.
Version 1.5.fr.0.92004-06-28VL, JPG
Première version française (non relue).
Version 1.52001-12-01SW

Résumé

Ce document décrit l'installation du serveur de noms BIND 9 dans un environnement d'exécution restreint en tant qu'utilisateur non root. Cette configuration offre une meilleure sécurité et permet de limiter les effets potentiels d'une compromission. Ce document a été mis à jour pour la version 9 de BIND ; si vous utilisez toujours la version 8 de BIND, référez-vous plutôt au « Guide pratique d'utilisation de BIND 8 en environnement restreint ».


Table des matières

Introduction
Objet de ce document
Pourquoi ?
Où ?
Comment ?
Mise en garde
Préparation de l'environnement restreint
Création d'un utilisateur
Arborescence de répertoires
Mise en place des données de BIND
Fichiers de support système
Journalisation des évènements
Resserrer les permissions
Compiler et installer votre beau BIND tout neuf
Compiler
Installer votre beau BIND tout neuf
Installer les binaires
Mise en place du script d'init
Changement de configuration
Fin
Lancement de BIND
Voilà !
A. Annexes
Mises à jour ultérieures de BIND
Remerciements
Politique de distribution de ce document

Ce document est le guide pratique de BIND en environnement restreint ; reportez-vous à la la section intitulée « Où ? » pour trouver la version la plus récente de ce document. Nous supposerons que vous savez déjà configurer et utiliser BIND (le serveur de Noms de Domaines Internet de Berkeley). Si ce n'est pas le cas, je vous recommande de commencer par lire le guide pratique du DNS (DNS HOWTO). Nous supposerons également que vous avez une connaissance suffisante de la compilation et de l'installation d'un logiciel sur un système de type Unix.

Ce document présente quelques précautions de sécurité supplémentaires applicables lors de l'installation de BIND. Il explique comment configurer BIND de sorte qu'il réside dans un environnement restreint, ce qui signifie qu'il ne peut voir ou accéder aux fichiers à l'extérieur de sa propre arborescence. Nous le configurerons également pour s'exécuter en tant qu'utilisateur non root.

Le principe d'un environnement restreint est assez simple. Lorsque vous exécutez BIND (ou tout autre processus) dans un environnement restreint (c'est-à-dire en utilisant pour le système de fichier une racine différente — d'où le nom de la commande utilisée « chroot », c'est-à-dire, en anglais, « changer la racine »), le processus ne peut tout simplement pas voir les autres parties du système de fichiers (situées hors de son environnement). Vous avez probablement déjà rencontré un environnement restreint auparavant, si vous avez déjà utilisé un client ftp pour vous connecter à un serveur de fichier public.

Étant donné que le processus d'exécution en environnement restreint est beaucoup plus simple avec BIND 9, j'ai commencé à développer légèrement ce document, pour y inclure des astuces plus générales sur la manière de sécuriser une installation BIND. Néanmoins, ce document n'est pas (et ne souhaite pas devenir) une référence complète pour la sécurisation de BIND. Faire uniquement ce qui est décrit dans ce document ne suffit pas à sécuriser un serveur de nom !

La dernière version française de ce document est toujours disponible sur le site du projet Traduc.org : http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html.

La dernière version originale de ce document est toujours disponible à partir du site Web des Utilisateurs de Linux et de logiciels libres de Regina, Sask. : http://www.losurs.org/docs/howto/Chroot-BIND.html.

Il existe maintenant une traduction japonaise de ce document, maintenue par . Elle est disponible à l'adresse http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html. BIND est disponible à l'adresse de l'Internet Software Consortium à l'adresse http://www.isc.org/bind.html. Au moment de la publication de ce document, la version courante de BIND 9 est la version 9.2.0. La version  9 de BIND est sortie depuis longtemps et est déjà largement employée en production. Néanmoins, nombre de traditionalistes préfèrent encore utiliser BIND 8. Si c'est votre cas, reportez-vous à mon « Guide pratique de l'utilisation de BIND 8 en environnement restreint » (disponible au même endroit) qui vous expliquera comment l'exécuter en environnement restreint. Cependant, soyez conscient que BIND 8 est plus difficilement exécutable en environnement restreint. Gardez à l'esprit qu'il existe des trous de sécurité connus sur toutes les versions de BIND. Assurez-vous que vous exécutez bien la dernière version !

BIND a beau être prisonnier de son environnement restreint, contrairement à un prisonnier ordinaire, il ne peut écrire son journal sur les murs de sa cellule :-) Normalement, BIND enregistre un journal des évènements grâce à syslogd, le démon de journalisation système. Cependant, ce type de journalisation est effectué en envoyant les enregistrements d'évènements vers le connecteur (socket) spécial /dev/log. Puisqu'elle se trouve désormais à l'extérieur de l'environnement restreint, BIND ne peut plus l'employer. Heureusement, il existe quelques solutions pour contourner le problème.

La solution idéale de ce dilemme exige une version raisonnablement récente de syslogd qui prenne en charge le paramètre -a introduit par OpenBSD. Reportez-vous à la page de manuel de votre syslogd(8) pour vérifier si elle offre cette option. Si c'est la cas, la seule chose que vous ayez à faire est d'ajouter le paramètre « -a /chroot/named/dev/log » à la ligne de commande utilisée pour lancer syslogd. Sur les systèmes qui utilisent un init SysV complet (ce qui inclut la plupart des distributions Linux), vous pouvez faire cela en modifiant le fichier /etc/rc.d/init.d/syslog. Par exemple, sur mon système Linux Red Hat, j'ai changé la ligne

daemon syslogd -m 0

en

daemon syslogd -m 0 -a /chroot/named/dev/log

Il est intéressant de noter qu'à partir de la Red Hat 7.2, Red Hat a apparemment rendu ce processus plus facile. Il y a maintenant un fichier appelé /etc/sysconfig/syslog dans lequel on peut définit des paramètres supplémentaires pour syslogd. Les systèmes OpenLinux de Caldera utilisent un démon de lancement appelé ssd, qui lit la configuration depuis /etc/sysconfig/daemons/syslog. Il vous suffit de modifier la ligne d'options pour qu'elle ressemble à ceci :

OPTIONS_SYSLOGD="-m 0 -a /chroot/named/dev/log"

De la même façon sur les systèmes SuSE, il m'a été indiqué que le meilleur endroit pour ajouter ce paramètre est le fichier /etc/rc.config. Changez la ligne

SYSLOGD_paraMS=""

en

SYSLOGD_paraMS="-a /chroot/named/dev/log"

devrait faire l'affaire. Enfin, le dernier mais non le moindre, pour FreeBSD 4.3, il suffit apparemment de modifier le fichier rc.conf et d'y ajouter :

syslogd_flags="-s -l /chroot/named/dev/log"

Le -s est là pour des raisons de sécurité, et fait partie des paramètres par défaut. Le -l doit être suivi d'un chemin local, dans lequel on souhaite placer une autre interface de journalisation. Une fois que vous avez compris comment faire cette modification sur votre système, il vous suffira de redémarrer syslogd, que cela soit en le tuant (avec un kill) et en le relançant (avec les paramètres supplémentaires) ou en employant le script d'init SysV qui le fera pour vous :

# /etc/rc.d/init.d/syslog stop
# /etc/rc.d/init.d/syslog start

Une fois redémarré, vous devriez voir dans /chroot/named/dev une entrée appelée log qui ressemble à ceci :

srw-rw-rw-   1 root     root            0 Mar 13 20:58 log

Vous devez aussi savoir que, si vous avez déjà installé BIND, par exemple en utilisant un paquet RPM, vous devrez probablement le désinstaller avant d'installer votre nouvelle version. Sur un système Red Hat, cela implique probablement de désinstaller les paquets bind et bind-utils, et peut-être aussi bind-devel et caching-nameserver, si vous les avez.

Vous devriez sauvegarder une copie du script d'init (en général /etc/rc.d/init.d/named), s'il y a en un, avant la désinstallation ; ce sera utile plus tard.

Si vous réalisez une mise à jour depuis une ancienne version de BIND, tel que BIND 8, vous devriez lire le document de migration contenu dans le fichier doc/misc/migration du paquet source de BIND. Ce document ne traite pas du tout de la migration ; il part simplement de l'hypothèse que vous remplacez une installation existante et fonctionnelle de BIND 9.

Si vous avez un script d'init provenant de votre distribution, le mieux serait probablement de simplement le modifier pour exécuter le nouveau binaire, avec les paramètres appropriés. Les paramètres sont… (roulement de tambour s'il vous plaît…)

Ce qui suit est le script d'init que j'utilise avec mon système Red Hat 6.0. Comme vous pouvez voir, il est presque identique à celui livré par Red Hat. Je n'ai pas encore essayé la commande rndc, mais je ne vois pas pour quelle raison elle ne fonctionnerait pas.

#!/bin/sh
#
# named   Le rôle de ce script est de démarrer et d'arrêter
#         named (serveur DNS BIND).
#
# chkconfig: 345 55 45
# description: named (BIND) est le serveur de nom (DNS) \
# utilisé pour résoudre les noms de domaines en adresses IP.
# probe: true

# Lecture de la bibliothèque de fonctions.
. /etc/rc.d/init.d/functions

# Lecture des paramètres réseau.
. /etc/sysconfig/network

# Vérifie que le réseau fonctionne.
[ ${NETWORKING} = "no" ] && exit 0

[ -f /usr/local/sbin/named ] || exit 0

[ -f /chroot/named/etc/named.conf ] || exit 0

# En fonction de ce qui est appelé.
case "$1" in
  start)
	# Démarrer le démon.
        echo -n "Démarrage de named : "
        daemon /usr/local/sbin/named -u named -t /chroot/named \
                                     -c /etc/named.conf
        echo
        touch /var/lock/subsys/named
        ;;
  stop)
        # Arrêter le démon.
        echo -n "Arrêt de named : "
        killproc named
        rm -f /var/lock/subsys/named
        echo
        ;;
  status)
        status named
        exit $?
        ;;
  restart)
        $0 stop
        $0 start
        exit $?
        ;;
  reload)
        /usr/local/sbin/rndc reload
        exit $?
        ;;
  probe)
        # named sait comment redémarrer intelligemment ;
        # nous ne voulons pas que linuxconf nous propose
        # de le redémarrer à chaque fois
        /usr/local/sbin/rndc reload >/dev/null 2>&1 || echo start
        exit 0
        ;;

  *)
        echo "Utilisation: named {start|stop|status|restart|reload}"
        exit 1
esac

exit 0

Comme pour syslogd, à partir de la version 7.2 de Red Hat, ce processus est devenu encore plus simple. Il existe maintenant un fichier nommé /etc/sysconfig/named dans lequel il est possible d'ajouter des paramètres pour syslogd. Cependant, dans la distribution Red Hat 7.2, la version par défaut de /etc/rc.d/init.d/named, vérifie l'existence de /etc/named.conf avant de lancer BIND. Vous devrez corriger ce chemin.

Sur les systèmes OpenLinux de Caldera, vous avez juste besoin de modifier les variables définies au début et le script s'occupera apparemment du reste pour vous :

NAME=named
DAEMON=/chroot/named/bin/$NAME
OPTIONS="-t /chroot/named -u named -g named"

Et sous FreeBSD 4.3, vous pouvez éditer le fichier rc.conf et y ajouter les lignes suivantes :

named_enable="YES"
named_program="chroot/named/bin/named"
named_flags="-u named -t /chroot/named -c /etc/namedb/named.conf"

A.  Annexes

Je voudrais remercier les personnes suivantes pour leur aide dans la création de ce guide pratique :

Et le dernier mais certainement pas le moindre, je voudrais remercier Nakano Takeo pour avoir traduit en japonais ce guide pratique de BIND en environnement restreint. Vous pouvez trouver sa traduction à l'adresse http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html.

Copyright © Scott Wunsch, 2000-2001 pour la version originale.

Copyright © 2004-2005 Vincent Loupien, Benoît Rouits et Jean-Philippe Guérard pour la version française.

Ce document peut être distribué selon les termes de la licence LDP tels que définis à l'adresse http://metalab.unc.edu/LDP/COPYRIGHT.html.

Ce guide pratique est une documentation libre ; vous pouvez le redistribuer ou le modifier conformément à la licence de LDP. Il est distribué dans l'espoir qu'il sera utile, mais sans aucune garantie ; sans même les garanties de commercialisation ou d'adaptation dans un but spécifique. Voir la licence de LDP pour plus de détails.