Re: /etc/exports option unsecure

Le 05/11/2022 à 15:16, Marc SCHAEFER a écrit :

François Patte <francois.patte@mi.parisdescartes.fr> wrote:

Je cherche à faire un montage nfs de répertoire mais, dans un premier
temps le montage a été refusé pour cause de port illégal (1024).

 Tout cela était parce que, dans un réseau UNIX, les différentes machines
n'avaient que root qui avait le droit de réserver les ports en-dessous
de 1024: donc certains services `authentifiaient' que root était en
face avec ce simple test.
 

Quels sont les risques?

 Je dirais que si tu mets en place du NFS en UDP (classique) c'est
globalement risqué, le spoofing étant facile en UDP.
 Que le port source soit < 1024 ou non n'y change rien.
 Idées:
     - utiliser NFSv4/TCP, et firewaller pour n'autoriser que
      certaines adresses IP
     - utiliser un VPN chiffrant
     - utiliser un autre protocole plus moderne et vraisemblablement
      chiffré et authentifié (glusterfs, sshfs, etc)

Oui mais pour  glusterfs je ne peux pas installer un système de fichier sur l'ordi distant.
sshfs n'a pas l'air de faire bon ménage avec thunar/xfce et certains utilisateurs ne fonctionnent qu'en "graphique"

 Après, on peut aussi se poser la question de pourquoi un partage de
fichier est nécessaire alors qu'une application web, par exemple, peut
aussi utiliser des API de stockage.

Je ne comprends pas cette remarque que je suis tout intéressé à découvrir.
--
François Patte
Université Paris Descartes