Daniel Allaire
3ea0c95492
Some checks are pending
verifier / verifier (push) Waiting to run
Chezlepro rangeait ses instantanes sur une VM DE SA PROPRE FLOTTE. Raser l ecosysteme pour le reconstruire, c etait raser le filet avec. Le site a son depot ; les neuf detenteurs d etat y deposent ; une restitution est sortie (annuaire LDAP lisible, hors flotte). Isolation par compte Unix, pas par convention : home 0700, cle exclusive, racine partagee a root en 0711 (traversable, non listable). Les deux refus constates. Le site heberge du chiffre : il ne peut ni lire ni ouvrir, d ou la verification deplacee chez le locataire qui detient la cle. Quatre defauts reveles par ce deuxieme usage : - la racine des depots ne peut etre le home de personne (StrictModes rendait Permission denied publickey pour un refus de CHEMIN) - la racine nie le TLD internal, et harden-below-nxdomain etendait ce non a toute la zone sans jamais interroger l autoritatif : aucun locataire ne pouvait nommer un service du site - le gabarit transporte des fichiers de durcissement perimes, et les machines du site ne recoivent jamais ssh_hardening - MaxStartups compte les connexions non authentifiees : un depot de site en voit la somme de ses locataires Constat non corrige : les machines du site ne sont pas durcies. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on |
||
|---|---|---|
| .. | ||
| client_artefacts.yml | ||
| client_backup.yml | ||
| client_journal.yml | ||
| client_metrique.yml | ||
| client_pki.yml | ||
| client_resolveur.yml | ||
| client_smtp.yml | ||
| serveur_artefacts.yml | ||
| serveur_backup.yml | ||
| serveur_backup_site.yml | ||
| serveur_cache_site.yml | ||
| serveur_collabora.yml | ||
| serveur_debian.yml | ||
| serveur_dovecot.yml | ||
| serveur_durci.yml | ||
| serveur_forge_site.yml | ||
| serveur_forgejo.yml | ||
| serveur_grafana.yml | ||
| serveur_icinga.yml | ||
| serveur_icingaweb2.yml | ||
| serveur_keycloak.yml | ||
| serveur_loki.yml | ||
| serveur_nextcloud.yml | ||
| serveur_nginx.yml | ||
| serveur_oauth2_proxy.yml | ||
| serveur_openldap.yml | ||
| serveur_ops.yml | ||
| serveur_ops_site.yml | ||
| serveur_ops_tenant.yml | ||
| serveur_postfix.yml | ||
| serveur_postgresql.yml | ||
| serveur_powerdns.yml | ||
| serveur_prometheus.yml | ||
| serveur_redis.yml | ||
| serveur_resolveur.yml | ||
| serveur_resolveur_site.yml | ||
| serveur_rspamd.yml | ||
| serveur_step_ca.yml | ||
| serveur_web_dorsal.yml | ||
| serveur_web_frontal.yml | ||