Serveur dédié et accès root pour le client : votre avis ?

Questions relatives à la sécurité de votre système : firewall, SELinux, etc...
Avatar de l’utilisateur
kikinovak
Messages : 209
Inscription : 20 octobre 2009, 07:23
Localisation : Montpezat (Gard)
Contact :

Serveur dédié et accès root pour le client : votre avis ?

Message par kikinovak » 22 octobre 2009, 15:09

Bonjour,

Je serais curieux d'avoir votre avis sur une question de sécurité d'ordre général. Deux cas de figure.

1) Le client (une Communauté de Communes) loue une machine, un serveur dédié chez OVH. J'installe dessus un serveur Linux (CentOS minimale, sans environnement graphique) et l'application de gestion des bibliothèques. Le client ne connaît pas Linux, mais "voudrait bien avoir les codes du serveur pour garder la main".

Votre avis ?

2) Pour le même client, j'héberge l'application de gestion des bibliothèques, mais cette fois-ci, sur un serveur dédié à moi (chez Ikoula). Le logiciel de gestion des bibliothèques (pas de noms) est un logiciel libre, édité par une société qui propose différents services autour de ce logiciel. Le client décide de départager les tâches: d'un côté, je gère la maintenance du serveur. D'un autre côté, la société qui édite le logiciel gère la bibliothéconomie, c'est-à-dire le peaufinage du logiciel (une webapp tournant sur un serveur LAMP). J'ai installé le logiciel, il tourne correctement jusque-là. J'ai demandé des précisions à l'éditeur (réglages de php.ini) etc., et il me propose de "jeter un oeil par lui-même", ce qui nécessite encore que je transmette l'accès root.

Votre avis ?
Dyslexics have more fnu.

Avatar de l’utilisateur
Heldwin
Messages : 440
Inscription : 20 octobre 2009, 10:11
Localisation : Unknown

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par Heldwin » 22 octobre 2009, 15:35

Bah, ces histoires c'est compliqué :)

1) Si c'est le propriétaire/directeur/autres, je peux comprendre. C'est son droit. Il n'a pas envie d'avoir des problèmes, et se battre avec toi, en cas de conflit, pour récupérer les données du serveur, ou diverses raisons. Maintenant à toi de voir où se situe ton travail là-dedans.

2) Ne peux-tu pas leur créer un compte d'administration limitée ? Pour qu'ils puissent gérer la bibliothèque sans avoir un contrôle total sur le serveur ?

Avatar de l’utilisateur
nouvo09
Messages : 2171
Inscription : 20 octobre 2009, 08:14
Localisation : Paris, France

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par nouvo09 » 22 octobre 2009, 16:24

Pour ma part, je pense que c'est le droit du client d'avoir les clés du serveur.

Seulement dans ce cas, il te signe une décharge et s'il doit y avoir une intervention sur le serveur, c'est à sa charge et sous sa responsabilité, même s'il te demande de le faire.

Mais dans tous les cas, si le client loue et paye, il lui suffit d'un mail ou d'une lettre pour se faire communiquer les infos.

Il me semble d'ailleurs que tu dois agir en tant que prestataire de service sur *LEUR* serveur.
C'est pas parce que c'est difficile qu'on ose pas,
c'est parce qu'on ose pas que c'est difficile !

Avatar de l’utilisateur
Marcet
Messages : 408
Inscription : 20 octobre 2009, 00:38
Localisation : Ile de France
Contact :

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par Marcet » 22 octobre 2009, 18:22

nouvo09 a écrit :Pour ma part, je pense que c'est le droit du client d'avoir les clés du serveur.
C'est le point fondamental.
Mais il est certain que tu ne peux plus garantir la bonne marche du serveur si ils peuvent y accéder sans te prévenir.
C'est pour cela que dans le monde fabuleux dans lequel nous vivons, nous avons inventé les contrats ;-)

Tu dois leur donner les clefs, mais ils ont aussi des obligations envers toi puisque je suppose, ils te demandent une garantie de fonctionnement.

Mais si on met de coté l'aspect purement juridique, et si j'en crois mon expérience, ce n'est pas parce que tu donnes au client l'accès au serveur qu'il va en jouir.
Donc la bafouille que tu écriras pour leur donner les codes d'accès au serveur a de grandes chances de finir sa vie au fond d'un tiroir.

Nils
Messages : 89
Inscription : 22 octobre 2009, 18:55

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par Nils » 22 octobre 2009, 19:17

Salut,
kikinovak a écrit :Le client (une Communauté de Communes) loue une machine, un serveur dédié chez OVH. J'installe dessus un serveur Linux (CentOS minimale, sans environnement graphique) et l'application de gestion des bibliothèques.
C'est sa machine, l'accès root est à lui. Comme déjà écrit plus haut, tu n'es que prestataire de service dans ce cas.
kikinovak a écrit :J'ai installé le logiciel, il tourne correctement jusque-là. J'ai demandé des précisions à l'éditeur (réglages de php.ini) etc., et il me propose de "jeter un oeil par lui-même", ce qui nécessite encore que je transmette l'accès root.
Tu demandes des précisions, on te répond "file-moi l'accès root"... ça ne me plait pas du tout. Soit la question n'est pas assez précise, soit l'éditeur espère te facturer une prestation pour avoir "jeté un oeil". Perso je leur poserai les questions suivantes :
- quelles options de configuration de PHP préconisez-vous?
- quelles options de configuration d'Apache préconisez-vous?

A la rigueur, créer un utilisateur ayant les droits sur la webapp, et/ou leur envoyer une copie de php.ini et de la configuration d'Apache.

Mes deux centimes ;)

Avatar de l’utilisateur
kikinovak
Messages : 209
Inscription : 20 octobre 2009, 07:23
Localisation : Montpezat (Gard)
Contact :

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par kikinovak » 22 octobre 2009, 21:14

Tout d'abord, merci pour vos réponses.
Ne peux-tu pas leur créer un compte d'administration limitée ?
Cette idée me plaît assez, j'avoue. Maintenant je songe à sa mise en oeuvre pratique. Voici à quoi j'ai songé.

Dans l'état actuel des choses, tous mes sites web sont situés en-dessous de /var/www/html, chacun dans un répertoire, avec un hôte virtuel correspondant.

Apache tourne en tant qu'utilisateur apache (comme c'est défini par défaut), et donc tout ce qui se trouve en-dessous de /var/www/html appartiennt à apache:apache.

L'application (pmb) est installée dans /var/www/html/mediatheques-ccps_fr/pmb/. Les répertoires sont tous 0755, les fichiers 0644. Voilà à quoi je pense :

- Créer un groupe supplémentaire, par exemple 'pmb'.

Code : Tout sélectionner

# chown -R apache:pmb mediatheques-ccps_fr/pmb
# find mediatheques-ccps_fr/pmb -type d -exec chmod 0775 \{} \;
# find mediatheques-ccps_fr/pmb -type f -exec chmod 0664 \{} \;
Créer un utilisateur, par exemple 'gautier'.

Ajouter gautier au groupe 'pmb'.

Résultat de l'affaire: gautier est libre de faire ce qu'il veut dans son répertoire utilisateur... et en-dessous de /var/www/html/mediatheques-ccps_fr/pmb.

Corrigez-moi si je me trompe.

PS: eh non... parce que le jour où gautier décide d'installer une mise à jour, je ne vois pas comment il pourrait en faire cadeau à apache:apache.

PPS: est-ce bien nécessaire d'ailleurs ? J'arrive là aux limites de mes compétences... et de ma clarté d'esprit après une journée de boulot surtout :D
Dyslexics have more fnu.

Avatar de l’utilisateur
nouvo09
Messages : 2171
Inscription : 20 octobre 2009, 08:14
Localisation : Paris, France

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par nouvo09 » 22 octobre 2009, 21:40

Sur le dernier point, il ne faut pas chercher à réinventer la roue :

regarde comment fonctionne un compte ftp sur un serveur mutualisé ou même sur free/pages perso.

Le titulaire est chrooté les fichiers dans son répertoire lui appartiennent.

Mais il ne peut pas modifier le système et il ne peut installer que des applications qui s'exécutent dans son domaine/répertoire.
C'est pas parce que c'est difficile qu'on ose pas,
c'est parce qu'on ose pas que c'est difficile !

foobar47
Messages : 4
Inscription : 05 février 2010, 13:20

Re: Serveur dédié et accès root pour le client : votre avis ?

Message par foobar47 » 05 février 2010, 13:30

Bonjour,

Certes, tu n'es "que" prestataire, mais puisqu'on parle ici de "client", il doit y avoir un contrat qui a été signé, non !?

Dans ce contrat doit être rédigée une clause indiquant les risques et les mesures à prendre en cas de divulgation des accès d'administration complète au dit client.

Pour le php.ini, ce fichier est en lecture pour tout le monde la plus part du temps, pas besoin d'un accès root.
S'il y a des pré-requis, l'éditeur doit les énoncer clairement.

A+

Verrouillé