Malheureusement je me suis rendu compte ce matin que le client Cisco VPN pour OS X ne fonctionnait plus sous Lion. D’après ce que j’ai pu obtenir comme informations une mise à jour est bien dans les bacs, mais si comme moi vous avez besoin d’utiliser ce logiciel il existe bien une solution…

Quelle est la différence notable entre Snow Leopard et Lion ? Réponse: Le Kernel (Noyau). Sous SL, le noyau est en mode 32-bits alors qu’avec Lion il est en 64-bits… Ce qui pose problème avec le Client VPN Cisco. Les solutions:

Cette méthode a été testée avec la version suivante: Cisco VPN Client 4.9.01.0.280

Méthode 1: De manière ponctuelle

Il vous suffit d’allumer votre Mac en maintenant les touches « 3  » et « 2  » durant le démarrage. Le noyau du système va démarrer en 32-bit, ce qui vous permettra d’exécuter le Cisco VPN Client !

Note: Au prochain redémarrage vous utiliserez à nouveau un noyau 64-bit.

Méthode 2: De manière permanente

Pour sélectionner un noyau 32-bit sur le disque de démarrage actuel, utilisez la commande suivante dans un terminal:

Au prochain redémarrage le noyau de Mac OS X Lion sera en 32-bit et le Cisco VPN Client fonctionnera !

Note: Ces réglages sont ajoutés au fichier suivent et prendront effet à chaque démarrage de la machine depuis ce disque:

Pour revenir à un noyau 64-bit, la commande est:

Tips: Déterminer si votre Kernel est en mode 32 ou 64 bit

Ouvrez un terminal et tapez:

Si la réponse contient « I386 « , vous êtes en 32 bit:

Si la réponse contient « X86_64 « , vous êtes en 64 bit:

Ce billet contient deux parties : la première explique succinctement les solutions et commandes pour pouvoir effacer toutes les données d’un disque (ou d’une partition). La deuxième approfondit les commandes et outils utilisés dans la première — Je me rend bien compte, après relecture du fait que j’ai pas mal dérivé dans l’écriture de cet article, il faut croire que j’avais beaucoup à dire.. donc si vous avez le temps, servez vous un café et profitez en bien.

Update le 6 Mai 2009: Correction des fautes d’orthographe…

ATTENTION: Toutes les procédures ci-dessous sont définitives et non réversibles. Après avoir exécuté ces commandes, vous (ou un tiers) ne pourrez JAMAIS récupérer les informations qui y étaient stockées.

Info: Dans ce billet j’utiliserais comme chemin pour mon disque dur a effacer : /dev/sdX, il vous faudra naturellement le remplacer par le vôtre. Vérifiez toujours d’abord vôtre table de partition avec « df » (utilitaire sans risques, il permet simplement de lister les disques montés sur vôtre système – NDLR : fstab)
Suivant la distribution *nix que vous utiliserez vous ne pourrez sûrement pas directement réinitialiser le disque système : il vous faudra utiliser un « live CD » ou booter sur un autre disque dur.

1. L’utilitaire « dd »:

L’utilitaire « dd » fourni avec tous les *nix et dérivés, permet de faire de nombreuses manipulations sur des fichiers ou des systèmes de fichiers comme (liste non exhaustive): Formatter une disquette à partir d’une image, découper un fichier en plusieurs morceaux, faire une image d’un DVD ou encore — et c’est ce qui nous intéresse ici — détruire les données d’un disque dur en le remplissant de zéros ou de données aléatoires.

Il faut toujours faire attention lorsqu’on utilise dd. Le simple fait d’oublier une option ou d’échanger les arguments aura des conséquences désastreuses.

1.1 Méthode rapide et peu sûre :

La première méthode consiste à écrire des 0 sur tous les secteurs du disque en une seule passe :

L’argument « conv=notrunc » permet de ne pas limiter la taille du fichier de sortie.

1.2 Méthode lente et moyennement sûre :

La seconde méthode, un peu plus sûre que la précédente consiste en l’utilisation du périphérique générateur d’aléatoires du noyau. Ce qui aura pour effet d’écrire des données aléatoires sur tous les secteurs du disque :

1.3 Méthode très lente et sûre:

Ici nous allons utiliser la première méthode, mais avec 32 passe.. De quoi vraiment tout effacer.

Notez qu’ici j’ai défini le paramètre « BS » qui correspond au nombre d’octets spécifié écrit en une seule fois. Ce qui permet de raccourcir considérablement le temps de chaque passe.

1.4 Méthode vraiment très lente et très sûre:

Pour cette dernière solution, vous l’aurez déduit par vous même, 16 passes de random, de quoi effacer définitivement n’importe quel octet sensible ! Suivant la taille du disque/partition, cette solution peut prendre énormément de temps…

Approfondissements :

Temps des opérations — Optimisations

Voyons comment se comporte dd pour un fichier test de 100Mb avec notre solution n°1 et un Block size de 1:

1 * 102400000 = 100Mb, dd a mis environ 7 minutes 38 secondes, pitoyable, pourquoi ?!

Petites précisions indispensables au sujet des secteurs (ou blocs):
Un secteur (ou bloc) est une subdivision d’une piste de votre disque dur. Chaque secteur peut stocker un nombre bien défini de données — les disques magnétiques fournissent généralement un espace de 512 octets (ce n’est pas le cas des SSD). La notion de bloc a été utilisée au début de l’informatique pour ce petit morceau de données, mais le terme secteur est devenu beaucoup plus courant. Puis peu à peu, « bloc » est devenu plus employé pour définir un certain nombre de données (variable) utilisé par un processus. Par exemple, le programme dd qui permet de définir la taille de bloc à utiliser lors de l’exécution avec le paramètre BS (= octets). En réalité, ça ne change pas la taille du secteur d’un support, seule la taille des données qui seront manipulées.

Notez que pour un CD, la taille d’un secteur est de 2.048 bytes (par exemple, si vous avez besoin de créer une image iso, tapez : dd if=/dev/hdc of=/tmp/mycd.iso bs=2048 conv=notrunc).

Reprenons — comment puis-je vérifier la taille des blocs sur un BSD ?

Et sur un GNU/Linux ?

Notez que sur le deuxième exemple, le système de fichier est en fait monté sur un RAID, d’où la réponse de BS de 4k.

Bien, maintenant que nous savons, essayons en spécifiant un BS de 512:

512 * 200000 = 100Mb, dd a mis à peine plus d’une 2,4s (contre 7m38) — la différence est énorme, pourquoi ?

En fait, l’explication est simple, c’est la synchronisation entre les données envoyées et les données écrites. Des blocs de 512 octets sont envoyés au disque et sont directement écrits sur les secteurs correspondants ; inutile de mettre en cache 512 fois 1 octet pour pouvoir écrire notre bloc. Et si on spécifie un BS supérieur, me direz-vous ? Essayons.

En effet, cela ne nous apporte rien ! notez que j’ai spécifié bs=512, mais en fait dd utilise par défaut le block size de 512.

/dev/zero, /dev/random ou /dev/urandom ?

Pour cette partie, je me suis largement inspiré des manpages de random que j’ai agrémentée d’exemples et quelques précisions.

Les fichiers spéciaux /dev/random et /dev/urandom existents depuis Linux 1.3.30 et ils fournissent une interface avec le générateur de nombres aléatoires du noyau. Il faut savoir que le noyau identifie chaque périphérique au moyen de deux numéros, le majeur (à gauche) et le mineur (à droite), ex:

Le fichier /dev/random a un numéro de périphérique majeur égal à 1, et un numéro mineur égal à 8. Les numéros du périphérique /dev/urandom sont 1 pour le majeur, et 9 pour le mineur et pour zero ils sont respectivement de 1 et 5. Ils sont de type c (Character), ils communiquent octet par octet (comme un port série) à l’inverse des disques durs qui sont de type b (Blocks) et qui – donc – communiquent par blocs de données.

Ce que l’on peut lire dans la documentation de noyau Linux a leurs propos :

1 char Memory device
    ...
    5 = /dev/zero        Null byte source
    ...
    8 = /dev/random   Nondeterministic random number gen.
    9 = /dev/urandom Faster, less secure random number gen.
    ...

En réalité, le générateur de nombres aléatoires récupère les séquences aléatoires en fonction du « bruit » généré par l’environnement : mouvement de la souris, frappe au clavier, etc.. Le générateur mémorise également une estimation du nombre de bits de bruit dans son réservoir d’entropie, et utilise son contenu pour créer des nombres aléatoires.
En effet, lors d’une lecture, le périphérique /dev/random sera limité au nombre de bits de bruit qu’il contient.
/dev/random est particulièrement adapté pour des cas où l’on a ponctuellement besoin de nombres hautement aléatoires (création de clés par exemple). Lorsque le réservoir d’entropie est vide, les lectures du périphérique /dev/random seront bloquantes jusqu’à l’obtention de suffisamment de bruits en provenance de l’environnement. Dans notre cas – ou l’on a besoin d’une très grande quantité de données —, nous risquons d’être très rapidement limité ! Heureusement, /dev/urandom renverra autant d’octets qu’on en demande. Toutefois, s’il n’y a plus assez de bits disponibles dans le réservoir d’entropie, les valeurs renvoyées pourraient être théoriquement vulnérables à une cryptanalyse basée sur l’algorithme employé par le pilote. Il n’existe pas de documentation sur ce type d’attaque dans la littérature publique actuelle, mais cela n’élimine pas le risque théorique.

Le fichier de périphérique /dev/zero quand a lui, se comporte comme s’il contenait une infinité d’octets à ~0. Quelle que soit la quantité de données que vous essayez de lire à partir de /dev/zero, il générera suffisamment d’octets nuls.

En résumé, nous allons plutôt utiliser /dev/urandom ou /dev/zero, sinon ça va prendre un temps fou. /dev/random donne de l’entropie « forte » (liée au matériel) et ne donne donc que quelques octets par seconde. /dev/urandom complète cette entropie forte avec du PRNG et génère donc les données aussi vite que nécessaire, ou presque..

Dans le cas d’un effacement de disque dur, ce risque nous importe peu, mais je trouvais intéressant d’en parler.

Petites précisions pour les BSD Users:
1) Le générateur de bruit random a été remplacé par un générateur cryptographique nommé « Yarrow algorithm » ;
2) /dev/urandom est un lien symbolique sur /dev/random.
3) Les numéros mineurs et majeurs ne sont pas les mêmes, ex:

Vérifications

Pour vérifier l’oeuvre de la commande dd couplée à random, nous allons utiliser « hexdump » (sur un fichier de 64b, pour une question de lisibilité).

Utilisons « zero » comme générateur:

Quand à utiliser « random », voici le résultat :

Vous pourrez, naturellement vérifier le résultat en situation « réelle » grace a la commande suivante :

Note finale

Il existe des logiciels comme « Shred » qui offrent des solutions « clés en main », mais qui au final ne font que ce que vous auriez très bien pu faire avec « dd » (un nombre X de passes random puis finir sur une « zero »), ex:

Les deux lignes suivantes font la même chose:

sachant que – pour un disque de 500Go – dd a été le plus rapide chez moi.

Il existe un ensemble d’outils nommé « secure_deletion toolkit », mais il n’est pas encore porté sur toutes les plates-formes. Par exemple, l’outil « sfill » pousse l’effacement sécurisé des fichiers à son paroxysme :

* Une passe avec 0xff
* 5 passes aléatoires avec la source /dev/urandom
* 27 passes avec des valeurs spéciales définies par Peter Gutmann. (Je vous invite d’ailleurs a lire son article très complet si vous voulez en savoir plus.)
* A nouveau 5 passes aléatoires.
* Une passe avec 0×00.

Il est peu être possible de lire « à côté des pistes », des résidus magnétisés et de retrouver ainsi des données écrites préalablement en décalant les têtes et peut être existe’il d’autres méthodes dont nous n’avons pas connaissance alors il reste une solution universelle et radicale : La destruction physique. C’est la seule solution réellement viable et irrécupérable : Perceuse, Masse, Acide et j’en passe..

Le générateur random et l’utilitaire dd sont disponibles sur énormément de distributions : Solaris, Mac OS X, FreeBSD, HP-UX, Tru64, AIX et j’en passe.

Comme tout système, Mac OS X à des petits secrets, ici je vais vous parler des arguments de boot. Par exemple comment démarrer en mode verbeux ou en « safe mode ». Des options au démarrage qui peuvent aider en cas de problème…

Il existe deux manières pour changer de démarrage, une facile, par raccourcis clavier et une plus avancée, via un prompt (comprenez par là: une invite en mode texte dans laquelle vous taperez vos commandes). Je vais aborder les deux, commençons par les raccourcis claviers:

Raccourcis claviers

J’ai glané ces informations informations sur – au moins – une trentaine de sites/forums en essayant de faire une liste la plus exhaustive possible, j’espère qu’elle vous sera utile ! Si l’une d’entre elle ne fonctionne pas c’est sûrement parce que votre machine est soit trop vielle ou trop récente, certaines n’ont pas été utilisées que sur certaines séries de mac.

Forcer le mac à booter depuis un CD/DVD:

Ne fonctionne qu’avec les ROMs Apple et des disques bootables

Forcer le premier disque comme disque de démarrage:

Fonctionne sur toutes les versions.

Netboot:

Recherche un serveur BOOTP ou TFTP comme disque de démarrage

Reset résolution:

Restaure la résolution par défaut sur les Powerbook, pratique si vous avez utilisé un écran externe avec une résolution plus élevée

Target Mode (Firewire):

Démarre la machine depuis un disque firewire externe. Pratique mais en voie de disparition depuis les MacBook Alu…

Ejecter les disques:

Ejecte tous les médias amovibles

Désactiver les extensions ou les programmes.:

Désactive toutes les extensions (Max OS 7-9) ou désactive les applications au démarrage (Mac Os X.1.3 ou plus récent)

Choisir le disque de démarrage:

Affiche une liste des médias bootable et vous permet d’en choisir un. Sur les système plus anciens, cette option démarre simplement sur le disque principal et lance le système sans aucune fenêtres du Finder ouverte

Apple Extension Manager:

Affiche l’Apple Extension Manager (ou Casady & Greene’s Conflict Catcher si ils sont installés) au démarrage pour pouvoir modifier vos extensions, pratique en cas de conflits.

Mode verbeux:

Affiche tous les messages console à l’écran.

Single User:

Réparez vôtre système, changez les mot de passes..

Reconstruire le bureau:

Seulement Mac OS Classic (7-9)

Re-initialiser la PRAM:

Remet la PRAM a zéro, la machine émet un son lorsque l’opération à été effectuée avec succès

Effacer la NVRAM:

Efface la NVRAM (Non-Volatile RAM), Utilisé jusqu’au Power Mac.

Accédez à l’Open Firmware:

Je publierai un article à propos de l’Open Firmware, très bientôt.

Forcer le Boot sur un Media externe:

Force le Mac à démarrer sur un lecteur CD/DVD externe, très utile en cas d’utilisation d’un lecteur externe non-Apple

Démarrer depuis un média SCSI avec un n° ID:

Si vous avez un disque SCSI dont vous connaissez l’ID, vous pouvez le sélectionner comme disque de démarrage.

Et maintenant, les plus anciens et les moins connus:
Command-Option-I: Force le mac à lire le disque de démarrage avec le format ISO-9000.
Command: Désactive la mémoire virtuelle.
Command-Option-T-V: Force les Quadra AV à utiliser la TV comme moniteur principal.
Command-Option-X-O: Force le Mac Classic à booter à partir de la ROM.
Command-Option-A-V: Force l’affichage sur un moniteur AV.

Arguments au prompt

Tout d’abord, pour y accéder vous devrez – au démarrage de votre machine – appuyer simultanément sur la touche Option + V. (V pour mode Verbeux). Vous avez maintenant accès au prompt de BootX.

Ce prompt « boot: » vous permet d’y spécifier des arguments de boot avancés. Si vous n’entrez rien, votre système démarra normalement. Il utilisera la configuration par défaut sur le disque dur principal, le « root device ». Je vais maintenant vous lister (toutes ?) les options que j’ai pu trouver:

Avant d’y entrer un argument, il est judicieux de vérifier quelles sont les options déjà spécifiée dans la nvram en tapant: « nvram boot-args« , ce qui vous listera les arguments utilisés par défaut (si vous ne les avez pas déjà modifiés).

device: rd= (ex: rd=disk0s2)
rd=* (ex: rd=*/PCI0@0/CHN0@0/@0:1)
kernel: kernel name (ex: « mach_kernel » – must be in “/” )

Mode verbeux:

Affiche tous les messages console durant le boot, pour vraiment savoir ce qui se passe lors en coulisses lors du démarrage de vôtre mac.

Mode ‘single user’:

Très utile pour régler un problème par exemple la perte de vôtre mot de passe.

Safe mode:

Permet de forcer MacOS à exécuter un fsck -fy sur votre disque de démarrage, de ne charger que les .kext les plus vitaux (les extensions Mac OS X), de désactiver les éléments qui s’ouvrent automatiquement à l’ouverture de connexion et qui ne sont pas conçus par Apple.

Ignorer le fichier configuration boot

Mode graphique, résolution:

ex: “1024×768×32″, vous pouvez aussi spécifier une fréquence de rafraichissement après un @: “1280×1024×32@60″

Syntaxe:

ex: mach_kernel debug=0×144 ou mach_kernel io=0xffffffff (défini dans IOKit/IOKitDebug.h)

Afficher des informations à propos de la mémoire du système:

Afficher les modes vidéos disponibles sur la machine:

Utiliser un autre Boot.plist

Activer ou non l’ACPI

Démarrer en mode graphique ou verbeux:

Invite « boot: » au démarrage:

Temps d’attente à l’invite boot: avant démarrage:

Un tutoriel de mise a jour du kernel par dedibox: http://documentation.dedibox.fr/doku.php?id=distrib:kernel&s=noyau

La faille a été corrigé par les équipes de sécurité de la plupart des distributions.
Aussi peut être pensez vous comme moi qu’un simple (pour debian)

Pourrais vous mettre à l’abri… Malheureusement chez dédibox il est optimisé pour C7, donc spécifique. Pas de panique ça reste assez simple a corriger quand même.

La manipulation pour corriger la faille est décrite ici:

Je l’ai testé sur une testing:

Si vous avez installé votre dédibox avant le 28 Mai 2006 (ou si vous possedez une version raid), cette partie ne vous concerne pas !
Sinon, distributions Ubuntu-Server, Ubuntu Dedibox et Debian Sarge comportent un bug dans le comportement de grub-install. On va donc patcher grub.

On cherche sur quelle partition est “/” (pour savoir sur quel disque on boot):

Ce qui devrait vous retourner quelque chose du genre:

C’est ce sda1 qui nous intéresse.. c’est le disque sur lequel boot votre machine !

On va donc lancer le script téléchargé précédemment, avec comme paramètre sda1 (dans notre cas, sinon remplacez par la bonne valeur):

Le script va modifier le fichier: /boot/grub/menu.lst pour y entrer les bonnes valeurs. Si un problème survient par la suite, le script créé une sauvegarde de ce fichier ici: /boot/grub/menu.lst.bak

Mise a jour du Kernel

On le télécharge:

Puis on l’installe :

On met a jour grub:

Tout va bien il a trouvé notre noyau.. donc on reboot:

Prennez un café… puis on vérifie:

Ipv6 Activé ?

Il faut impérativement penser que l’IPV6 est activé et qu’il faut mettre les règles adoc pour filtrer un minimum.
Personnellement, j e n’utilise pas « encore » ipv6 donc j’ai entré ces règles dans mon script iptables/ip6tables :

C’est bon, je peut donc aller me recoucher, en paix. ;)