Le firewall linux, Netfilter et son outil de configuration iptables ont été validés par l'ANSSI, ex DCSSI:
Le 9 septembre 2009, certification au titre de la CSPN du logiciel Netfilter. L'ANSSI a remis à la Netfilter Core Team un certificat au titre de la CSPN pour le logiciel Netfilter sur un noyau linux v2.6.27 - iptables v.1.4.2.
L'ANSSI a donc certifié Netfilter/iptables.
Le noyau est un peu ancien (le 2.6.31 vient de sortir, à ce sujet un exploit existe déjà pour passer root de manière locale), iptables existe en version 1.4.5 mais je suis très intéressé par cette nouvelle.
Néanmoins quelques points m'étonnent:
1/
Il est évalué:
Filtrage IP « avec états » ou « stateful »
Les états suivants ont été évalués :
• NEW pour nouvelle connexion ;
Mais plus loin, il est clairement dit:
Lors des tests il a été noté que les paquets ayant le drapeau « ACK » activé sont acceptés en tant que nouvelle session s’ils ne correspondent pas à une session en cours.
Pour éviter l’acceptation de ces paquets et ne laisser passer que les paquets TCP « SYN », il est nécessaire de spécifier l’option « --syn » aux règles correspondant aux états « NEW ».
Est-ce en dehors de la spécification ou non? Selon moi, oui. Un paquet ayant le drapeau ACK activé ne devrait pas être accepté en tant que nouvelle session... Bug ou pas Bug?
2/
Messages sybillins. Hélas, dans le texte, plusieurs fois reviennent ce genre de messages:
2.3.4.2 Avis d’expert sur la résistance des mécanismes
Les mécanismes de sécurité sont robustes.
Sans plus d'explications, ce que je trouve dommage. Peut-être qu'un autre document précise l'ensemble de tests effectués.
3/
Mécanismes cryptographiques:
2.4 Analyse de la résistance des mécanismes cryptographiques
Le produit évalué ne comporte pas de mécanismes cryptographiques.
Et pourtant le produit évalué contient bien un mécanisme cryptographique :-) mais c'est une boutade, je pense à la cible XOR définie dans les ajouts d'iptables.
Donc bonne nouvelle pour Netfilter/iptables, c'est un outil de qualité, sa certification vient confirmer officiellement ce fait.
Aucun commentaire:
Enregistrer un commentaire