Guide pratique d'utilisation de BIND 8 en environnement restreint

Version française du Chroot-BIND8 HOWTO

Vincent Loupien

Adaptation française

Isabelle Hurbain

Relecture de la version française

Jean-Philippe Guérard

Préparation de la publication de la v.f.

Version : 1.4.fr.1.1

21 août 2005

Historique des versions
Version 1.4.fr.1.12005-08-21VL,IH,JPG
Correction de l'url de la version française
Version 1.4.fr.1.02004-03-05VL,IH,JPG
Première traduction française
Version 1.42001-07-01SW

Résumé

Ce document décrit l'installation du serveur de noms BIND 8 dans un environnement restreint en tant qu'utilisateur non privilégié. Ce qui permet de disposer d'une sécurité améliorée et de réduire au minimum les effets potentiels d'une compromission. Cette version du document couvre l'ancienne version 8 de BIND, toujours populaire ; il existe un autre document qui fournit le même type d'informations, mais pour BIND 9.


Table des matières

Introduction
Objet de ce document
Pourquoi ?
Où ?
Comment ?
Mise en garde
Préparation de l'environnement restreint
Création d'un utilisateur
Arborescence de répertoire
Mise en place des données de BIND
Fichiers pour le support du système
Journalisation des évènements
Compilation de BIND
Modifier les chemins
Compiler
Installer votre beau BIND tout neuf
Installer les outils en dehors de l'environnement restreint
Installer les binaires dans l'environnement restreint
Mise en place du script d'init
Changement de configuration
La fin
Lancement de BIND
Voilà !
A. Annexes
Mises à jour ultérieures de BIND
Remerciements
Politique de distribution de ce document

Ceci est le guide pratique de BIND 8 en environnement restreint ; allez voir la section intitulée « Où ? » pour le site principal, qui contient la dernière version de ce document. Nous supposons que vous savez déjà configurer et utiliser BIND (le serveur de Noms de Domaines Internet de Berkeley). Si ce n'est pas le cas, je vous recommande de lire d'abord le Guide pratique du DNS (DNS HOWTO). Nous supposons également que vous avez une connaissance suffisante de compilation et d'installation d'un logiciel sur votre système de type Unix.

La dernière version française de ce document est toujours disponible sur le site du projet Traduc.org : http://www.traduc.org/docs/howto/lecture/Chroot-BIND8-HOWTO.html.

La dernière version originale de ce document est toujours disponible à partir du site web des Utilisateurs de Linux et de Logiciel Libre de Regina, Saskatchewan, Canada (LOSURS) à l'adresse http://www.losurs.org/docs/howto/Chroot-BIND8.html.

Il existe maintenant une traduction japonaise de ce document, maintenue par . Elle est disponible à l'adresse http://www.linux.or.jp/JF/JFdocs/Chroot-BIND8-HOWTO.html.

BIND est disponible à l'adresse de l'Internet Software Consortium à l'adresse http://www.isc.org/bind.html. Au moment de la publication de ce document, la version courante de BIND 8 est 8.2.4. BIND 9.x est maintenant sorti, et il fonctionne depuis un petit moment. Vous pouvez envisager de mettre à jour vers cette version, la procédure d'environnement restreint y est vraiment beaucoup plus simple et propre. Si vous exploitez BIND 9, alors utilisez le « guide pratique d'utilisation de BIND en environnement restreint » qui doit être disponible au même emplacement que ce document.

Gardez à l'esprit que des trous de sécurité sont connus dans toutes les versions de BIND 8 inférieure à 8.2.3, assurez-vous que vous exécutez bien la dernière version !

Une fois que BIND s'exécute dans l'environnement restreint, il n'est pas capable du tout d'avoir accès aux fichiers en dehors de celui-ci. Cependant, il doit avoir accès à quelques fichiers clefs, comme la bibliothèque C du système. Les bibliothèques exigées dépendront de votre saveur d'Unix. Pour la plupart des systèmes Linux modernes, les commandes suivantes seront suffisantes pour mettre en place les bibliothèques nécessaires :

# cd /chroot/named/lib
# cp -p /lib/libc-2.*.so .
# ln -s libc-2.*.so libc.so.6
# cp -p /lib/ld-2.*.so .
# ln -s ld-2.*.so ld-linux.so.2

Vous pouvez aussi simplement compiler des versions statiquement liées des binaires de BIND pour les placer dans votre environnement restreint. Vous devez aussi copier ldconfig dans l'environnement restreint et l'exécuter pour créer un etc/ld.so.cache pour l'environnement restreint. Les commandes suivantes devraient le permettre :

# cp /sbin/ldconfig /chroot/named/bin/
# chroot /chroot/named /bin/ldconfig -v

BIND a encore besoin d'un fichier système dans son environnement restreint : le bon vieux /dev/null. De nouveau, la commande exacte nécessaire pour créer ce fichier spécial peut varier de système en système ; vérifiez votre script /dev/MAKEDEV pour être sûr. Quelques systèmes peuvent également exiger /dev/zero. Pour la plupart des systèmes Linux, nous pouvons employer la commande suivante :

# mknod /chroot/named/dev/null c 1 3

Pour terminer, vous avez besoin de quelques fichiers supplémentaires dans le répertoire /etc à l'intérieur de l'environnement restreint. En particulier, vous devez copier /etc/localtime (parfois nommé /usr/lib/zoneinfo/localtime sur certains systèmes) de façon à ce que BIND enregistre les évènements avec un horodatage correct. Vous devez également créer un petit fichier group contenant uniquement le groupe named. Les deux commandes suivantes se chargeront de ceci :

# cp /etc/localtime /chroot/named/etc/

# echo 'named:x:200:' > /chroot/named/etc/group

Gardez à l'esprit que le GID, 200 dans cet exemple, doit correspondre à celui que vous avez défini dans le vrai /etc/group défini au dessus.

BIND a beau être prisonnier de son environnement restreint, il ne peut pas graver son journal sur les murs de sa cellule. :-). Normalement, BIND écrit les journaux grâce à syslogd, le démon de journalisation des évènements du système. Cependant, ce type de journalisation est effectué en envoyant les entrées d'évènements vers le socket spécial /dev/log. Puisqu'il est à l'extérieur de l'environnement restreint, BIND ne peut plus l'employer désormais. Heureusement, il existe deux solutions pour contourner cela.

La solution idéale de ce dilemme exige une version raisonnablement récente de syslogd qui prend en charge le paramètre -a introduit par OpenBSD. Reportez-vous aux pages de manuel de votre syslogd(8) pour voir si vous avez une telle version.

Si c'est la cas, la seule chose que vous ayez à faire est d'ajouter le paramètre « -a /chroot/named/dev/log » à la ligne de commande lorsque vous lancez syslogd. Sur les systèmes qui utilisent un init SysV complet (ce qui inclut la plupart des distributions Linux), vous pouvez faire cela dans le fichier /etc/rc.d/init.d/syslog. Par exemple, sur mon système Linux Red Hat, j'ai changé la ligne

daemon syslogd -m 0

en

daemon syslogd -m 0 -a /chroot/named/dev/log

Les systèmes Caldera OpenLinux utilisent un démon de lancement appelé ssd, qui lit la configuration dans /etc/sysconfig/daemons/syslog. Il vous suffit de modifier la ligne d'options pour que cela ressemble à ceci :

OPTIONS_SYSLOGD="-m 0 -a /chroot/named/dev/log"

De la même façon sur les systèmes SuSE, je me suis dit que le meilleur endroit pour ajouter ce paramètre est le fichier /etc/rc.config. Changer la ligne

SYSLOGD_PARAMS=""

en

SYSLOGD_PARAMS="-a /chroot/named/dev/log"

devrait faire l'affaire. Une fois que vous avez compris comment faire cette modification sur votre système, il vous suffit de redémarrer syslogd, que cela soit en l'arrêtant et en le relançant (avec les paramètres supplémentaires), ou en employant le script d'init SysV qui le fera pour vous :

# /etc/rc.d/init.d/syslog stop
# /etc/rc.d/init.d/syslog start

Une fois redémarré, vous devez voir dans /chroot/named/dev un « fichier » appelé log qui ressemble à ceci :

srw-rw-rw-   1 root     root            0 Mar 13 20:58 log

Vous devriez pouvoir trouver les sources de BIND en visitant http://www.isc.org/bind.html. Vous avez besoins du paquet bind-src.tar.gz. Assurez-vous de bien récupérer la dernière version !

Les choses peuvent s'embrouiller un peu à partir de maintenant, parce que les différentes parties du paquetage BIND se référent aux mêmes répertoires par des noms différents (dépendant du fait qu'ils s'exécutent ou non dans l'environnement restreint). Je vais essayer de ne pas trop vous embrouiller.

Le répertoire dont nous devons nous occuper en priorité est /var/run car son contenu est nécessaire à la fois pour le démon named (à l'intérieur de l'environnement restreint) et pour l'utilitaire ndc (à l'extérieur). Nous allons commencer par paramétrer ce qu'il faut pour trouver ce répertoire depuis le monde extérieur. Pour cela, nous devons modifier src/port/linux/Makefile.set (substituez par le répertoire de votre architecture si vous ne fonctionnez pas sur Linux), et changez la ligne

DESTRUN=/var/run

en

DESTRUN=/chroot/named/var/run

Tant que vous êtes là, vous pouvez changer l'autre chemin de destination /usr en /usr/local. Maintenant, tout devrait être capable de trouver ce répertoire… excepté le démon named lui-même, pour qui c'est toujours le vrai /var/run dans l'environnement restreint. Nous pouvons contourner ceci en faisant un petit changement dans les sources de named. Dans le fichier src/bin/named/named.h, trouvez la ligne

#include "pathnames.h"

et ajouter la ligne suivante immédiatement après

#define _PATH_NDCSOCK    "/var/run/ndc"

De cette façon, named ignorera notre définition de DESTRUN dans Makefile.set et emploiera l'emplacement correct (par rapport à sa perspective dans l'environnement restreint). Vous remarquerez quelques avertissements au sujet des redéfinitions de _PATH_NDCSOCK quand vous faites la compilation ; vous pouvez les ignorer.

Je dois signaler que si vous avez une installation existante de BIND, par exemple en provenance d'un RPM, vous devrez probablement la désinstaller avant d'installer la nouvelle. Sur un système Red Hat, cela implique probablement de désinstaller les paquetages bind et bind-utils, et peut-être bind-devel et caching-nameserver, si vous les avez.

Vous voudrez sans doute sauvegarder une copie du script d'init (par exemple /etc/rc.d/init.d/named), s'il y a en un, avant de faire ceci ; ce sera utile plus tard.

Si vous avez un script d'init provenant de votre distribution, le mieux serait probablement de simplement le modifier pour exécuter /chroot/named/bin/named, avec les paramètres appropriés. Les paramètres sont… (roulement de tambour s'il vous plaît…)

Ce qui suit est le script d'init que j'utilise avec mon système Red Hat 6.0. Comme vous pouvez voir, il est presque identique à celui livré par Red Hat. J'ai aussi modifié la commande ndc restart de façon à ce qu'elle redémarre le serveur correctement, et le garde à l'intérieur de l'environnement restreint. Vous pouvez probablement faire la même chose dans votre script d'init, sans avoir à copier celui-ci.

#!/bin/sh
#
# named           Le rôle de ce script "shell" est de démarrer et d'arrêter
#                 named (serveur DNS BIND)
#
# chkconfig: 345 55 45
# description: named (BIND) est le serveur de nom de domain (DNS)
# qui est utilisé pour résoudre les noms de domaines en adresses IP.
# probe: true

# Bibliothèque basique de fonctions.
. /etc/rc.d/init.d/functions

# Configuration basique du réseau.
. /etc/sysconfig/network

# Vérifie que la gestion du réseau est assurée
[ ${NETWORKING} = "no" ] && exit 0

[ -f /chroot/named/bin/named ] || exit 0

[ -f /chroot/named/etc/named.conf ] || exit 0

# En fonction de ce qui est appelé
case "$1" in
  start)
        # Démarrer le démon.
        echo -n "Démarrage de named : "
        daemon /chroot/named/bin/named -u named -g named -t /chroot/named
        echo
        touch /var/lock/subsys/named
        ;;
  stop)
        # Arrêter le démon.
        echo -n "Arrêt de named : "
        killproc named
        rm -f /var/lock/subsys/named
        echo
        ;;
  status)
        /usr/local/sbin/ndc status
        exit $?
        ;;
  restart)
        /usr/local/sbin/ndc -n /chroot/named/bin/named "restart -u named -g named -t /chroot/named"
        exit $?
        ;;
  reload)
        /usr/local/sbin/ndc reload
        exit $?
        ;;
  probe)
        # named sait comment redémarrer intelligemment ; nous ne voulons pas 
        # que linuxconf nous propose de le redémarrer à chaque fois
        /usr/local/sbin/ndc reload >/dev/null 2>&1 || echo start
        exit 0
        ;;

  *)
        echo "Utilisation: named {start|stop|status|restart}"
        exit 1
esac

exit 0

Sur les systèmes Caldera OpenLinux, vous avez juste besoin de modifier les variables définies au début et le système va s'occuper du reste pour vous :

NAME=named
DAEMON=/chroot/named/bin/$NAME
OPTIONS="-t /chroot/named -u named -g named"

A.  Annexes

Ainsi, vous avez un BIND 8.2.2_P7 tout joliment placé dans son environnement restreint et assez peaufiné à votre goût… et vous entendez parler de cette rumeur désagréable qu'il y a une faille root exploitable à distante dans cette version également, et vous avez besoin de mettre à jour en 8.2.3 tout de suite. Devez-vous repasser entièrement par ce long processus pour installer cette nouvelle version ?

Non. En fait, vous avez juste besoin de la section la section intitulée « Compilation de BIND » et les deux premières parties de la section la section intitulée « Installer votre beau BIND tout neuf » (installation des binaires en dehors et à l'intérieur de l'environnement restreint, respectivement).

Le reste de ce guide pratique traite de la mise en place de l'environnement restreint et d'autres choses de ce genre-là, qui ne devrait pas devoir être changé entre les versions du BIND. Vous devez juste déposer les nouveaux binaires par-dessus les anciens, et vous pouvez continuer. Mais n'oubliez pas d'arrêter et de redémarrer BIND par la suite ou c'est l'ancienne version, vulnérable, qui continuera à tourner !

Je voudrais remercier les gens suivants pour leur aide dans la création de ce guide pratique :

Et le dernier mais certainement pas le moindre, je voudrais remercier Nakano Takeo pour avoir traduit en japonais ce guide pratique de BIND 8 en environnement restreint. Vous pouvez trouver sa traduction à l'adresse http://www.linux.or.jp/JF/JFdocs/Chroot-BIND-HOWTO.html.

Copyright © Scott Wunsch, 2000-2001 pour la version originale.

Copyright © 2004-2005 Vincent Loupien, Isabelle Hurbain et Jean-Philippe Guérard pour la version française.

Ce document peut être distribué selon les termes de la licence LDP tels que définis à l'adresse http://metalab.unc.edu/LDP/COPYRIGHT.html.

Ce guide pratique est une documentation libre ; vous pouvez le redistribuer ou le modifier conformément à la licence de LDP. Il est distribué dans l'espoir qu'il sera utile, mais sans aucune garantie ; sans même les garanties de commercialisation ou d'adaptation dans un but spécifique. Voir la licence de LDP pour plus de détails.