Elévation de privilège SUDO pour PAM : La bonne façon de procéder
Avec ou sans SUDO, c’est la question. L’utilisation de SUDO a des partisans comme des détracteurs, avec des arguments tels que : « C’est gratuit mais ce n’est pas maintenu », etc. Il n’y a pas de bonnes ou de mauvaises réponses, mais il y a des bonnes et des mauvaises pratiques en termes de sécurité.
Elévation de privilèges et risques liés au SUDO?
Finalement, quel est le cœur du débat ? La commande SUDO permet d’élever les droits des utilisateurs pour exécuter des commandes potentiellement dangereuses si mal utilisées (rm -rf *).
La commande SUDO permet d’élever les droits des utilisateurs pour exécuter des commandes potentiellement dangereuses si mal utilisées (rm -rf *).
Dans l’environnement PAM (pour Privileged Access Management ou Gestion des Accès à Privilèges), la pertinence de cette commande semble limitée : un système cible configuré correctement aura des comptes avec des droits d’accès sur mesure. Oui, mais un système configuré correctement n’autorise pas les accès SSH root. Autant pour la création de profiles à privilèges !
L’utilisation de la commande SUDO peut également poser des problèmes de sécurité. Dans un environnement de type PAM, il est recommandé de masquer les identifiants des comptes cibles aux utilisateurs primaires. Les alternatives au SUDO sont donc d’utiliser une solution propriétaire ou de déployer des agents locaux pour fournir une solution centralisée de fichier SUDO.
Mais pourquoi ne pas utiliser le fort potentiel de votre solution de PAM à la place de ces alternatives ?
SUDO pour PAM
Le Bastion de WALLIX permet d’injecter directement des commandes lors de l’initiation d’une session SSH, afin qu’un administrateur puisse paramétrer précisément les droits qui seront alloués pendant la session tout en protégeant les identifiants de la cible dans son coffre-fort à mots de passe. Au lieu de contourner le problème, il est maintenant possible de bénéficier du comportement normal des commandes SU/SUDO et de créer des scripts qui définiront précisément la portée des droits de l’utilisateur pendant la session, le tout de manière transparente pour le système cible.
Pour faire simple, le Bastion de WALLIX permet l’établissement de session à privilèges en deux étapes :
- Il établit une session sans privilèges particuliers à une cible SSH, les connections SSH root étant interdites.
- Il injecte les identifiants SUDO dans la session de sorte que l’utilisateur primaire obtienne les bons droits, mais sans avoir accès aux identifiants de la cible.
Vous souhaitez en savoir plus ? Contactez-nous ou rendez-vous sur www.wallix.com.
