Debian or not to be ? 2.0 » Debian

hTop, un monitoring plus user-friendly.

Crashdump — Sat, 15 Nov 2008 17:32:16 +0000

Alors que je surfouillais sur le web, un samedi après midi, je suis tombé sur un screenshot qui m’as intrigé.. top aurais évolué ? ça y ressemblait bien. Après quelques recherches je suis tombé dessus, le messie du monitoring !

Qu’est ce que c’est ?

htop est un moniteur système pour Linux, presque le même que top, que nous connaissons tous. Mais qui propose – enfin ? – une interface plus conviviale que ce dernier. Il est programmé en C à l’aide de la bibliothèque ‘ncurses’.

Ca ressemble à quoi ?

Comparaison top/htop

+ htop permet de ‘tuer’ un processus directement, sans se soucier de son PID.
+ htop permet, de la même manière, d’augmenter/réduire la priorité d’un processus dans connaître son PID.
+ htop est plus user-friendly, dans ses raccourcis, et sa présentation, le scroll.
+ htop permet un affichage en arborescence, identifiant clairement les processus pères et fils.
+ htop est plus rapide (sur les 3 machines sur lesquelles je l’ai testé). et vous ?
+ htop gère la souris (mettons de côté les réactions d’extrémiste du clavier..)
+ htop intègre une jauge de l’utilisation de la mémoire vive, cpu et swap (gadget, oui… mais sympa)
- Top est sûrement plus stable et plus précis.. car plus vieux et donc plus testé.

Ou le récuperer ?

1	aptitude install htop

ou http://htop.sourceforge.net/

Serveur X distant sur Mac (FreeNX)

Crashdump — Tue, 11 Nov 2008 16:25:33 +0000

Suite au retours sur le tutoriel XDMCP, J’ai donc publié sa suite logique.. l’autre façon, plus adaptée au grand réseau Internet d’avoir accès à une session X distante. J’ai nommé NXFree. Le but de FreeNX est d’exporter un bureau graphique complet sur un poste distant en utilisant une bande passante minimum. FreeNX reposant entièrement sur un serveur SSH, il faut également qu’un serveur SSH soit opérationnel sur le serveur. Ceci n’est une solution complètement libre.. mais simple.

Ce dont vous avez besoin

Serveur Linux

Les paquets ne sont pas fourni pour Debian, mais vous pouvez les télécharger sur plusieurs adresses. L’adresse officielle est la suivante:

1
2
3

wget http://64.34.161.181/download/2.1.0/Linux-NoXft/nxclient_2.1.0-17_i386.deb
wget http://64.34.161.181/download/2.1.0/Linux/nxnode_2.1.0-22_i386.deb
wget http://64.34.161.181/download/2.1.0/Linux/FE/nxserver_2.1.0-22_i386.deb

On aura aussi besoin de cette libraire:

1	wget http://ftp.fr.debian.org/debian/pool/main/g/gcc-2.95/libstdc++2.10-glibc2.2_2.95.4-27_i386.deb

Il est aussi possible – et conseillé d’utiliser la version des dépôts de Ubuntu via APT (Merci coagul) !

Il faut donc ajouter la ligne suivante au fichier « /etc/apt/sources.list » :

1	deb http://mirror2.ubuntulinux.nl/ dapper-seveas all

Installer la clé gpg :

1 2	# gpg --keyserver subkeys.pgp.net --recv-keys 1135D466 # gpg --export --armor 1135D466 \| apt-key add -

Mettre à jour la liste des paquets

1	# aptitude update

Client Mac: Le client NX Free.

Installation

Si vous avez retenu le choix numéro 1, les paquets « officiels », placez vous dans le répertoire ou vous avez téléchargé les fichiers ci dessus, puis:

1
2
3
4

dpkg -i libstdc++2.10-glibc2.2_2.95.4-27_i386.deb
dpkg -i nxclient_2.1.0-17_i386.deb
dpkg -i nxnode_2.1.0-22_i386.deb
dpkg -i nxserver_2.1.0-22_i386.deb

Si vous avez retenu les choix des dépôts Ubuntu:

1	# aptitude install freenx

A la question des clés, sélectionnez: « NoMachine Keys ».

Gestion des clés

Editez le fichier sshd_config:

1	# vim /etc/ssh/sshd_config

Et assurez vous que l’utilisateur « nx » ai bien le droit de se connecter via ssh. Si vous avez défini un « AllowUser ».. sinon passez directement à la suite.

1	AllowUser nx utilisateur1 utilisateurX ...

1	/etc/init.d/sshd reload

1	nxsetup nxsetup --install --setup-nomachine-key

Ici, si vous rencontrez une erreur du type: « ssh_exchange_identification: Connection closed by remote host », Au lieu de chercher pendant une heure d’où viens le problème.. regardez tout d’abord votre /etc/hosts.deny.. pour voir si le loopback (127.0.0.1) n’y est pas interdit.. ça vous évitera une prise de tête sans noms..

Utilisation

Je ne vais pas vous la détailler tellement elle est simple.. amusez vous bien ;)

Faille SSL Debian (RGN)

Crashdump — Mon, 26 May 2008 18:51:35 +0000

Le 13 Mai 2008, Le projet Debian annonçais ce que Luciano Bello avais trouvé: Une vulnérabilité dans le package « OpenSSL ». Le bug en question est causé par la suppression pure et simple du code suivant dans md_rand.c:

1
2
3

MD_Update(&m,buf,j);
[ .. ]
MD_Update(&m,buf,j); /* purify complains */

Ces lignes ont été retirée parce qu’elle produisait des erreurs avec certains outils (Utilisation d’une donnée non initialisée dans la plupart des projets liés a OpenSSL). Mais la suppression de des lignes en question à eu des effets collatéraux sur OpenSSL PRNG. En fait au lieux de mélanger différentes variables aléatoire pour la génération initiale, la seule variable « aléatoire » qui a été utilisée étais le PID du générateur -et quand on sais que le nombre maximal par défaut sous linux est de 32,768- le résultat est que PRNG utilise une très petite fourchette de valeurs initiales.

Impact:

Toutes les clés SSL et SSH générées sur des systèmes basé sur Debian (Ubuntu, Debina, Mint…) entre Septembre 2006 et le 13 Mai 2008 sont affectée par la vulnérabilité. Dans le cas des clé SSL, tout les certificats doivent être révoqué et a nouveau généré. Tous les administrateurs système doivent auditer leurs clés pour être sur qu’ils ne sont pas touché par la vulnérabilité ! D’ailleurs tout les outils liés de près ou de loin a OpenSSL PRNG peut être vulnérable, attention.

Tout flux d’un serveur SSH qui utilise une clé générée par un système vulnérable peut être sujet a une interception (man in the middle) sans que l’administrateur ne se rende compte de rien. Je vous rassure, les projets Debian et Ubuntu on développé des outils pour identifier les clé vulnérables, vous trouverez plus d’information a leurs propos en fin de page.

Q: Combien de temps cela prendrais de générer toutes les clés touchées ?
A: Avec 31 Xeon @ 2.33Ghz. Cela prend deux heures pour les clés DSA 1024-bit et RSA 2048-bit pour x86. Les clés RSA 4096-bit sont générés en 6 heures. En ce qui concerne les clés RSA 8192-bit cela prendrais environs 100 heures.

Q: Combien de temps cela prendrait il de cracker un SSH avec ces clés ?
A: Tout dépend de la vitesse du réseau et de la configuration du serveur SSH. Il devrait être possible d’essayer toutes les clés (32,767 DSA 1024 et RSA 2048) en quelques heures. Attentions aux scripts tels que Fail2Ban (anti-bruteforce).. etc.

Q: J’utilise une clé RSA 16384 bit, suis-je vulnérable ?
A: Oui, c’est juste une question de temps (processeur et réseau). Pour le RSA 8192 bit, cela prend environ 3100 heures pour générer toutes les clés. J’imagine que pour le 16384 bit, nous serions dans les 100,000 heures (en temps CPU). Mais gardez en tête que la « fourchette » réele est bien plus mince, basée sur PID du processus qui a servit a générer le tout. Donc, inutile de générer toutes les clé pour en couvrir la majorité ! (La plupart de ces clés sont dans les premiers 3,000 PID)..

http://www.debian.org/security/key-rollover/
http://wiki.debian.org/SSLkeys

Installer Spamassasin pour exim4 sous debian

Crashdump — Sat, 09 Feb 2008 14:13:22 +0000

Installer spamassasin

On commence par telecharger et installer l’appli:

1	# aptitude install spamassassin

Configurer Exim4

Ouvrir le fichier de configuration exim4 concernant la configuration des options (attention, suivant le type d’installation d’exim le fichier de configuration peut ne pas se trouver au même endroit, en effet il existe une installation avec un fichier de configuration unique et un type d’installation avec un fichier .conf unique) donc:

1	# vim /etc/exim4/conf.d/main/02_exim4-config_options

Et décommenter la ligne suivante:

1	spamd_address = 127.0.0.1 783

Configurer spamd

Editer le fichier config:
# vim /etc/default/spamassassin

1 2	// Change to one to enable spamd ENABLED=1

Demmarer SpamAssassin

1	# /etc/init.d/spamassassin start

Mise a jour automatique

Et pour finir, on va mettre en place une mise à jour (via cron) de spamd… Pour cela:

1
2
3
4
5

# cat > /root/ majspamassasin.sh
#!/bin/sh
# Update SpamAssassin Rules
/usr/bin/sa-update -D channel,dns
/etc/init.d/spamassassin restart

1	# crontab -e

1	55 5 * * * /root/majspamassasin.sh 2&1>/dev/null

Apt- l’un des meilleurs système de gestion de package.

Crashdump — Thu, 08 Nov 2007 22:10:37 +0000

Suite au diverses question que l’on me pose, j’ai décidé de poster un mémento sur Apt (Advanced Packaging Tool) le gestionnaire de paquets utilisé par Debian et ses dérivés.

PT fut conçu à l’origine pour fonctionner avec des paquets .deb sur des systèmes Debian, mais a depuis été adapté pour fonctionner avec des paquets Red Hat Package Manager avec l’outil apt-rpm, et pour fonctionner sur d’autres systèmes d’exploitation tels que Mac OS X (voir Fink). Sur les systèmes avec une gestion de paquets basée sur le format .deb, comme Debian, APT est une interface à dpkg.

APT simplifie l’installation, la mise à jour et la désinstallation de logiciels en automatisant la récupération de paquets à partir de sources APT (sur Internet, le réseau local, des CDs, etc.), la gestion des dépendances et parfois la compilation. Lorsque des paquets sont installés, mis à jour ou enlevés, les programmes de gestion de paquets peuvent afficher les dépendances des paquets, demander à l’administrateur si des paquets recommandés ou suggérés par des paquets nouvellement installés devraient aussi être installés, et résoudre les dépendances automatiquement. Les programmes de gestion de paquets peuvent aussi mettre à jour tous les paquets.

Il n’existe pas de commande apt en tant que tel. APT est essentiellement une bibliothèque C++ de fonctions utilisées par plusieurs programmes de gestion de paquets. Un de ces programmes est apt-get, probablement le plus connu.

Installer

1	apt-get install [package]

, Installe [package]

1	apt-get -s install [package]

, Simule l’installation de [package]

1	apt-get reinstall install [package]

, Réinstalle [package]

1	apt-get install [package]/[distrib]

, Installe la version de [package] de la distribution [package]

1	apt-get install [package]=[version]

, Installe [package] dans la version [version]

1	apt-get source [package]

, Télécharge le package source

1	apt-get -b source [package]

, Télécharge le package source et le compile ensuite

1	apt-get build-dep [package]

, Télécharge les dépendances du package source qui va etre compilé

Désinstaller

1	apt-get remove [package]

, Désinstalle [package] et tous ceux qui en dépendent

1	apt-get purge remove [package]

, Désinstalle aussi les fichiers de conguration

Mettre jour

1	apt-show-versions -u

, Affiche la liste des packages pouvant etre mis jour

1	apt-get update

, Mise jour de la liste des packages disponibles

1	apt-get -u upgrade

, Liste et met jour les packages pouvant Etre mis jour

1	apt-get dist-upgrade

, Met jour tout le système

Nettoyer

1	apt-get clean

, Vide le /var/cache/apt/archives

1	apt-get autoclean

, Enleve uniquement les packages obsolétes

S’informer

1	apt-cache search [foobar]

, Cherche dans la liste des packages disponibles les occurences de [foobar]

1	apt-cache show [package]

, Description de [package]

1	apt-cache depends [package]

, Dépendances de [package]

1	apt-le search [fichier]

, Affiche le nom du package qui fournnit [fichier]

1	apt-le list [package]

, contenu de [package]

1	apt-le update

, Mise jour de la base de données de apt-le

Configurer

1	apt-cong [package]

, Reconfigure [package]

Cloner

1	dpkg get-selections > selected

, Liste des packages installés danns le chier selected

1	dpkg set-selections < selected

, Sélection des packages répertoriés dans le chier selected

1	apt-get dselect-upgrade

, Installation des packages sélectionné par dselect ou directement par dpkg

Bash … #1

Crashdump — Tue, 03 Apr 2007 18:31:10 +0000

Toutes les distributions Linux ont étés avant tout concues de façon a etre utilisée via un shell, et dans mon utilisation quotidienne la ligne de commande est un outil indispensable… d’autant plus que pour certaines tâches , il n’y a pas plus rapide ! Ce billet est le premier d’une série sur la customisation et l’utilisation de Bash.

Le Prompt

Le prompt est la première chose que l’on voit lors de l’utilisation du shell, il peut donc mettre en valeur des informations importantes. Il doit donc indiquer, au mininum ces information importantes:
- La machine sur laquelle on est loggué
- Le login
- Le répertoire courant
Pour cela j’utilise la configuration suivante soit dans le fichier /etc/bash.bashrc (tous les utilisateurs) soit dans mon ~/.bashrc (l’utilisateur courant) :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

# couleurs
C_RED="\[\e[1;31m\]"
C_BLUE="\[\e[1;34m\]"
C_GRAY="\[\e[1;30m\]"
C_WHITE="\[\e[1;37m\]"
C_YELLOW="\[\e[1;33m\]"
C_DEF="\[\033[0m\]"
mUID=`id -u`
MACHINE="Lorien"
IP="192.168.0.243"
if [ "$mUID" = "0" ] ; then
PS1="${C_YELLOW}>${C_DEF} ${C_RED}\u${C_DEF}@${MACHINE}${C_YELLOW} [${C_DEF}$IP${C_YELLOW}]${C_DEF}:\w${C_RED}#${C_DEF} "
PS2="${C_RED}>${C_DEF} "
else
PS1="${C_YELLOW}>${C_DEF} ${C_BLUE}\u${C_DEF}@${MACHINE}${C_YELLOW} [${C_DEF}$IP${C_YELLOW}]${C_DEF}:\w${C_BLUE}\$ ${C_DEF}"
PS2="${C_BLUE}>${C_DEF} "
fi
export PS2
export PS1

Cette configuration fait en sorte d’avoir un prompt bleu, jaune et blanc pour un utilisateur normal et rouge, jaune et blanc pour l’utilisateur root attirant ainsi mon attention sur le fait qu’en root, on ne tape par n’importe quoi… Il m’indique aussi le nom de la machine ainsi que son adresse IP. Ce qui donne :

Pour que vous puissiez customiser votre prompt a votre gout, voiçi la liste des codes de couleurs et de correspondance.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

Les fonctions communes:
\d# La date
\h# Nom de la machine
\\# Un backslash
\r# Retour à la ligne
\t# L’heure
\u# Utilisateur
\v# Version du Bash
\w# Repertoire courant complet
\W# Repertoire courant
\$# Le symbole $
Les couleurs:
Noir:0;30
Rouge:0;31
Vert:0;32
Marron:0;33
Bleu:0;34
Violet:0;35
Cyan:0;36
Gris clair:0;37
Gris:1;30
Rose:1;31
Vert clair:1;32
Marron clair:1;33
Bleu clair:1;34
Violet clair:1;35
Cyan clair:1;36
Blanc:1;37

Le titre des terminaux graphiques

De la même manière que le prompt, le titre des terminaux est très utile pour se repèrer lorsqu’on utilise Xorg. Dans un terminal, il est possible de changer ce titre de manière dynamique avec un simple echo, il suffit alors d’utiliser la variable PROMPT_COMMAND pour stocker une commande que le shell éxécutera à chaque affichage du prompt.

1
2
3
4
5
6
7
8
9

case $TERM in
xterm*)
PROMPT_COMMAND='echo -ne "\033]0;${USER}@${MACHINE}[$IP]: ${PWD}\007"'
echo -ne "\033]0;${USER}@${MACHINE}[$IP]: ${PWD}\007"
;;
*)
setterm -blength 0
;;
esac

Avec ces quelques lignes, les terminaux affiche la même chose que le prompt dans leur titre (sans les couleurs) lorsque le type de terminal commence par « xterm » (ce qui est le cas avec xterm mais aussi gnome-terminal ).

À noter que la seconde partie du case permet de supprimer le beep très énervant beep lorsqu’on est en console sans Xorg.