Daniel Allaire
3ea0c95492
Some checks are pending
verifier / verifier (push) Waiting to run
Chezlepro rangeait ses instantanes sur une VM DE SA PROPRE FLOTTE. Raser l ecosysteme pour le reconstruire, c etait raser le filet avec. Le site a son depot ; les neuf detenteurs d etat y deposent ; une restitution est sortie (annuaire LDAP lisible, hors flotte). Isolation par compte Unix, pas par convention : home 0700, cle exclusive, racine partagee a root en 0711 (traversable, non listable). Les deux refus constates. Le site heberge du chiffre : il ne peut ni lire ni ouvrir, d ou la verification deplacee chez le locataire qui detient la cle. Quatre defauts reveles par ce deuxieme usage : - la racine des depots ne peut etre le home de personne (StrictModes rendait Permission denied publickey pour un refus de CHEMIN) - la racine nie le TLD internal, et harden-below-nxdomain etendait ce non a toute la zone sans jamais interroger l autoritatif : aucun locataire ne pouvait nommer un service du site - le gabarit transporte des fichiers de durcissement perimes, et les machines du site ne recoivent jamais ssh_hardening - MaxStartups compte les connexions non authentifiees : un depot de site en voit la somme de ses locataires Constat non corrige : les machines du site ne sont pas durcies. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on |
||
|---|---|---|
| .. | ||
| audit | ||
| img | ||
| modeles_vm | ||
| architecture-set-ops.md | ||
| authentification.md | ||
| autorisation.md | ||
| bindings-conception.md | ||
| carte-set-ops.md | ||
| catalogue-services.md | ||
| config-proxmox.md | ||
| couches-deploiement.yml | ||
| courriel-conception.md | ||
| decisions-architecture.md | ||
| dependances-groupes.yml | ||
| devis-services.md | ||
| dimensionnement-ressources.md | ||
| dns-interne.md | ||
| ecosysteme-chezlepro.md | ||
| filiation-emancipation.md | ||
| flux-conception.md | ||
| frontiere-opnsense.md | ||
| frontiere-physique-virtuel.md | ||
| hebergeur-exploitation.md | ||
| identite-sso.md | ||
| implanter-un-tenant-sur-un-site.md | ||
| integrations-vm.md | ||
| intrants-base-gui-conception.md | ||
| intrants-communs.md | ||
| meta-classe.md | ||
| migration-tenant.md | ||
| MISE-A-JOUR-CODEX-CLAUDE.md | ||
| multi-instances.md | ||
| nomenclature-vm.md | ||
| plan-et-generation.md | ||
| positionnement.md | ||
| pouvoirs-set-ops.md | ||
| preparer-un-site-hebergeur.md | ||
| procedure-template-debian13-proxmox.md | ||
| registre-flux.md | ||
| runbooks-exploitation.md | ||
| sdn-evpn.md | ||
| theme-forgejo-hors-flotte.md | ||
| vm-lifecycle.md | ||