Utilisateur non root par défaut de Kali

Depuis des années, Kali a hérité de la politique d'utilisateur racine par défaut de BackTrack. Dans le cadre de notre évaluation des outils et des politiques de Kali, nous avons décidé de changer cela et de déplacer Kali vers un modèle « d'utilisateur non root par défaut traditionnel ». Ce changement fera partie de la version 2020.1, actuellement prévue pour fin janvier. Cependant, vous remarquerez ce changement dans les images hebdomadaires à partir de maintenant.

L'historique de l'utilisateur racine par défaut

Au début, il y avait BackTrack. Dans sa forme originale, BackTrack (v1-4) était une distribution live basée sur Slackware destinée à être exécutée à partir d'un CD-ROM. Oui, nous retournons en arrière (2006 !) .

Dans ce modèle, il n'y avait pas de véritable mécanisme de mise à jour, juste un tas d'outils de pentesting vivant dans le /pentest/ répertoire, que vous pourriez utiliser dans le cadre des évaluations. C'était les premiers jours, donc les choses n'étaient pas très sophistiquées, nous étions juste tous heureux que les choses fonctionnent. Beaucoup de ces outils à l'époque nécessitaient un accès root pour fonctionner ou fonctionnaient mieux lorsqu'ils étaient exécutés en tant que root. Avec ce système d'exploitation qui serait exécuté à partir d'un CD, ne serait jamais mis à jour et disposait de nombreux outils nécessitant un accès root pour fonctionner, il était simple de décider d'avoir un modèle de sécurité "tout en tant que root". C'était tout à fait logique pour l'époque.

Cependant, au fil du temps, il y a eu un certain nombre de changements. Nous tous qui étions là à l'époque, nous nous souvenons des choses un peu différemment, mais dans les grandes lignes, nous avons vu que les gens installaient BackTrack sur du métal nu, nous avons donc pensé qu'il devrait y avoir un mécanisme de mise à jour. Surtout après avoir parcouru Defcon et remarqué combien de personnes utilisaient une version de BackTrack vulnérable à un certain exploit sorti quelques semaines auparavant. Cela nous a amenés à baser BackTrack 5 sur Ubuntu au lieu de Slackware live (février 2011) . Puis, plus le temps passait, plus nous étions occupés à nous battre avec Ubuntu que nous avions l'impression que nous devions passer à autre chose.

Cela nous a amené à Kali (mars 2013) , et étant un dérivé officiel de Debian.

Kali moderne

Notre décision d'être un dérivé de Debian nous a apporté toute une série d'avantages. Il y en a tellement en fait que cela ne vaut pas la peine de les examiner ici, il suffit de regarder les premiers articles du blog Kali peu de temps après le lancement et vous verrez une tonne d'exemples. Mais un avantage dont nous n'avons jamais vraiment parlé est le fait que nous sommes basés sur Debian-Testing.

Debian a la réputation bien méritée d'être l'une des distributions Linux les plus stables. Debian-Testing est la branche de développement de la prochaine version de Debian et, de manière réaliste, est toujours plus stable que de nombreuses distributions Linux traditionnelles.

Bien que nous n'encouragions pas les gens à utiliser Kali comme système d'exploitation au quotidien, au cours des dernières années, de plus en plus d'utilisateurs ont commencé à le faire (même s'ils ne l'utilisent pas pour faire des tests d'intrusion à plein temps) , dont certains membres de l'équipe de développement de Kali. Lorsque les gens le font, ils ne s'exécutent évidemment pas en tant qu'utilisateur root par défaut. Avec cette utilisation au fil du temps, il y a la conclusion évidente que l'utilisateur root par défaut n'est plus nécessaire et Kali fera mieux de passer à un modèle de sécurité plus traditionnel.

Pourquoi certains outils nécessitent un accès root

Faisons une barre latérale rapide et examinons comment certains outils nécessitent une racine. Pour cela, nous allons choisir nmap.

Nmap est sans conteste le scanner de ports le plus utilisé aujourd'hui et l'un des outils les plus populaires utilisés sur Kali. Lorsqu'il est exécuté par un utilisateur non root effectuant une analyse standard, nmap exécutera par défaut ce qu'on appelle une analyse de connexion (-sT ). Dans ce type d'analyse, une prise de contact TCP complète à trois voies est effectuée pour identifier si un port donné est ouvert ou non. Cependant, lorsqu'il est exécuté en tant qu'utilisateur root, nmap tire parti des privilèges supplémentaires pour utiliser les sockets bruts et effectuera une analyse de synchronisation (-sS ), un type d'analyse beaucoup plus populaire. Cette analyse de synchronisation n'est pas possible à moins d'être exécutée en tant que root.

Cet aspect des outils de sécurité nécessitant des autorisations au niveau racine n'a traditionnellement pas été rare. L'exécution en tant qu'utilisateur root par défaut facilite l'utilisation de ces outils.

L'une des conclusions, peut-être surprenantes, auxquelles nous sommes parvenus en examinant ce problème est que le nombre d'outils nécessitant un accès root a diminué au fil des ans. Cela a rendu cette stratégie racine par défaut moins utile, nous amenant au point où nous allons apporter cette modification.

De nombreuses applications nécessitent des comptes non root

Dans le sens inverse, au fil des ans, un certain nombre d'applications et de services ont été configurés pour interdire leur utilisation comme le root utilisateur. Cela est devenu soit une charge de maintenance pour nous (lorsque nous avons choisi de patcher la vérification ou de reconfigurer le service) soit une nuisance pour les utilisateurs qui ne pouvaient pas utiliser leur application (chrome/chrome étant un cas bien connu).

L'abandon de cette politique racine par défaut simplifiera donc la maintenance de Kali et évitera des problèmes aux utilisateurs finaux.

Mise en œuvre de l'utilisateur non root de Kali

Vous pouvez vous attendre à un certain nombre de changements dans le cadre de ce changement.

1. Kali en mode direct sera exécuté en tant qu'utilisateur kali mot de passe kali . Plus de root /toor . (Préparez-vous à configurer vos filtres IDS, car nous sommes sûrs que ce combo utilisateur/passe sera bientôt analysé partout par des robots).
2. Lors de l'installation, Kali vous demandera de créer un utilisateur non root qui aura des privilèges administratifs (en raison de son ajout au sudo groupe). C'est le même processus que les autres distributions Linux que vous connaissez peut-être.
3. Les outils que nous identifions comme nécessitant un accès root, ainsi que les fonctions d'administration courantes telles que le démarrage/l'arrêt des services, demanderont de manière interactive des privilèges d'administration (au moins lorsqu'ils sont lancés à partir du menu Kali). Si vous ne vous souciez vraiment pas de la sécurité, et si vous préfériez l'ancien modèle, vous pouvez installer kali-grant-root et exécuter dpkg-reconfigure kali-grant-root pour configurer les droits root sans mot de passe.

Dans l'ensemble, nous ne nous attendons pas à ce que ce soit un changement majeur pour la plupart des utilisateurs. Il est possible que certains outils ou fonctions administratives ne soient pas pris en compte dans notre examen. Lorsque cela se produit, nous vous demandons de créer un rapport de bogue afin qu'il puisse être suivi et corrigé. (Et non, nous tweeter n'est pas un rapport de bogue et ne sera pas suivi. Désolé, mais cela ne s'adapte tout simplement pas).

Aller de l'avant

Cela dit, nous n'encourageons toujours pas les gens à utiliser Kali comme système d'exploitation quotidien. Plus que toute autre chose, c'est parce que nous ne testons pas ce modèle d'utilisation et que nous ne voulons pas l'afflux de rapports de bogues qui l'accompagneraient. Cependant, pour ceux d'entre vous qui connaissent Kali et qui souhaitent l'utiliser comme plate-forme au quotidien, ce changement devrait vous aider beaucoup. Pour le reste d'entre vous, cela devrait vous donner un meilleur modèle de sécurité pour fonctionner pendant que vous effectuez des évaluations.

Comme nous l'avons mentionné au début, ce changement est actuellement disponible dans les versions quotidiennes et le sera dans la prochaine version hebdomadaire. N'hésitez pas à télécharger et à tester tôt, car nous aimerions avoir autant de problèmes potentiels résolus avant la sortie que possible. Plus les utilisateurs sont actifs, mieux c'est.

Après une solide année 2019 avec Kali, il s'agit d'un changement majeur pour commencer notre cycle de développement 2020. Attendez-vous à plus au fil de l'année. Comme toujours, n'hésitez pas à rejoindre le bug tracker, les forums ou git pour contribuer et faire partie de l'avenir de Kali.