Trucs & Astuces du docteur : sécurité, NAT, FTP et SSL

Question :

J’ai été contraint d’ouvrir un
serveur IIS sur Internet, en utilisant
le service extranet Citrix
ICA, pour utiliser un produit
d’imagerie de facture que nous
avons acheté et qui requiert des
clients ICA. Jusqu’à  présent, nous
avions évité cette pénible
épreuve, en gardant notre serveur
Web sécurisé sur des AS/400
protégés. Les nombreuses failles
de sécurité d’IIS nous préoccupent
beaucoup. Existe-t-il un
moyen de contournement ? Que
pensez-vous d’exécuter IIS sur un
numéro de port fantaisiste,
comme 3000, pour empêcher des
pirates de balayer les ports ?

Réponse :

Il ne sert à  rien d’essayer de cacher
un serveur en utilisant un numéro de
port obscur – les pirates utilisent souvent
des scanners très lents, presque
indétectables, et capables de trouver
tôt ou tard tout port ouvert sur le réseau.

Cela dit, je comprends parfaitement
votre aversion envers les trois
lettres de l’acronyme IIS. Il est même
plus effrayant que l’autre TLA que nous
avons appris à  craindre : IRS.
Heureusement, il existe des moyens
de contournement pour utiliser un serveur
Web peu soucieux de sécurité de
Microsoft.

L’un d’eux est le portail d’application
de Citrix, NFuse, qui fonctionne sous Apache sur un serveur Linux.
NFuse permet de distribuer des applications
en utilisant un client ICA téléchargeable
sur le Web, qui établit une
connexion de bout en bout sécurisée
avec les utilisateurs distants. Votre
AS/400 peut exécuter Linux sur sa
propre partition LPAR sur un serveur
iSeries, mais vous pourriez aussi l’exécuter
sur son propre PC autonome.
Pour cette application, où les échanges
de données entre les environnements
Linux et iSeries sont minimes, j’opterais
plutôt pour le dernier – une configuration
qui vous coûterait environ
1.000 dollars pour un nouveau matériel
PC, ou 0 dollar si vous avez une machine
au rancard prête à  reprendre du collier comme serveur Linux. Le serveur
Linux n’est pas à  toute épreuve,
mais il est bien plus sûr qu’IIS, particulièrement
si vous observez les mesures
de sécurité abondamment publiées
par Linux. La distribution Mandrake
Linux inclut une option de sécurité
renforcée bien supérieure aux protections
Linux moyennes.