Suite aux différents vers ou attaques qui commencent à émerger (ici, là et surtout Le premier ver voleur de données personnelles), je vous propose d'augmenter le niveau de sécurité de votre iphone jailbreaké (les autres, vous êtes tellement secure que ça ne risque rien )

ATTENTION LES MODIFICATIONS CI-DESSOUS SI ELLES SONT MAL RÉALISÉES PEUVENT VOUS EMPÊCHER DE VOUS CONNECTER EN SSH A VOTRE IPHONE.

Vous pourrez toujours utiliser MobileTerminal (dispo dans cydia) pour corriger (quoique c'est pas super pratique le clavier de l'iPhone n'étant pas très adapté à la ligne de commande, mais ça à le mérite d'exister)

1- Changer le mot de passe de l'utilisateur mobile

Connectez-vous en ssh sur l'iPhone avec Putty ou n'importe quel client SSH (MobileTerminal peut aussi faire l'affaire)

login as: mobile
mobile@iPhone's password:

Tapez passwd pour changer de mot de passe, il va vous demandez l'ancien mot de passe, qui est : alpine.
Tapez ensuite un mot de passe de votre choix.

Un bon mot de passe est composé de lettres (majuscules ET minuscules), de chiffres de caractères spéciaux (!@&_?:;, etc) et d'exactement 8 caractères (l'os de l'iPhone n'accepte pas plus de 8 caractères, tout ce qui est au-delà est ignoré, ce n'est pas vrai sur d'autres systèmes, à voir si cela peut être changé par un paramètre...)

iPhone-de-Sioban:~ mobile$ passwd mobile
Changing password for mobile.
Old password:
New password:
Retype new password:
iPhone-de-Sioban:~ mobile$

2- Changer le mot de passe de l'utilisateur root

Idem que pour mobile, mais pour se connecter on va utiliser la commande su, car on empêchera root de se connecter dorénavant, et il faut bien se connecter en root pour exécuter certaines actions de temps en temps, donc autant apprendre tout de suite comment faire (mot de passe par défaut : alpine).

iPhone-de-Sioban:~ mobile$ su -
Password:

On change le mot de passe avec la commande passwd :

iPhone-de-Sioban:~ root# passwd
Changing password for root.
New password:
Retype new password:
iPhone-de-Sioban:~ root#

Ceci est le minimum à mettre en pratique si vous ne voulez pas vous faire hacker.

Pour aller plus loin (pour utilisateurs expérimentés uniquement) :

1 - Interdire à l'utilisateur root de se connecter

L'objectif est d'interdire à root de se connecter, seul mobile pourra le faire.
En étant parfaitement paranoïaque on pourrait créer un nouvel utilisateur totalement inconnu qui serait le seul à pouvoir se connecter (paramètre AllowUser de sshd_config).

Avant toutes modifications d'un fichier système pensez à faire une copie :

iPhone-de-Sioban:~ root# cd /etc/ssh
iPhone-de-Sioban:/etc/ssh root# cp sshd_config sshd_config.old

Il faut modifier le fichier /etc/ssh/sshd_config (à éditer avec votre éditeur favori, pour moi c'est vim et son utilisation ne fait pas l'objet de ce tuto).

iPhone-de-Sioban:/etc/ssh root# vim sshd_config

Modifiez la ligne suivante comme ceci :

PermitRootLogin no

2 - Limiter le nombre d'essais de connexions pour limiter les brute force

Tant que l'on est dans sshd_config, on va limiter le nombre de tentatives de connexions infructueuses afin de ralentir fortement les tentatives de cassage de mot de passe par brute force (Essai de tous les mots de passes possibles).

Modifiez la ligne suivante comme ceci :

MaxAuthTries 3

3 - Interdire l'usage d'un autre compte que mobile pour se connecter

Ceci afin d'éviter que l'un des comptes systèmes (nobody, daemon, _securityd, _ssd, etc) puisse être utilisé (pour l'instant on ne connait pas les mots de passe de ceux-ci mais on ne sait jamais...)

Donc toujours dans sshd_config, modifiez la ligne suivante comme ceci :

AllowUsers mobile

On peut maintenant fermer sshd_config.

Il faut relancer ssh pour que ces modifications soient prisent en compte (par exemple en utilisant SBSettings)

4 - Changer le port d'écoute du service SSH

Choisissez un autre port que 60022 (ceci est un exemple et si tout le monde prend le même port, changer le port devient moins utile), n'importe lequel mais je conseille un port au delà de 49151 afin de ne pas interagir avec un service existant (la commande netstat -tln ne sert pas à grand chose car la plupart des ports sont ouverts à la demande, il n'y a pas de services qui écoute sur un port précis)

4a - Dans /etc/services

Il faut modifier le fichier /etc/services afin d'attribuer un nom au port que l'on souhaite utiliser pour ssh.

On sauvegarde le fichier :

iPhone-de-Sioban:~ root# cd /etc
iPhone-de-Sioban:/etc/ssh root# cp services services.old

On édite le fichier :

iPhone-de-Sioban:/etc/ssh root# vim services

On ajoute à la fin du fichier (l'ordre n'a pas d'importance) la ligne suivante :

ssh-alt         60022/tcp

4b - Dans /Library/LaunchDaemons/com.openssh.sshd.plist

Il faut modifier le fichier /Library/LaunchDaemons/com.openssh.sshd.plist.

On le sauvegarde :

iPhone-de-Sioban:~ root# cd /Library/LaunchDaemons
iPhone-de-Sioban:/etc/ssh root# cp com.openssh.sshd.plist com.openssh.sshd.plist.old

On édite le fichier :

iPhone-de-Sioban:/etc/ssh root# vim com.openssh.sshd.plist

Recherchez la ligne suivante,  j'ai volontairement fait apparaitre les lignes avec vim (commande :set nu dans vim pour les afficher, commande :set nonu pour les faire disparaitre) :

21     <key>Sockets</key>
     22     <dict>
     23         <key>Listeners</key>
     24         <dict>
     25             <key>Bonjour</key>
     26             <array>
     27                 <string>ssh</string>
     28                 <string>sftp-ssh</string>
     29             </array>
     30
     31             <key>SockServiceName</key>
     32             <string>ssh</string>
     33         </dict>
     34     </dict>

Et remplacez là comme suit :

21     <key>Sockets</key>
     22     <dict>
     23         <key>Listeners</key>
     24         <dict>
     25             <key>Bonjour</key>
     26             <array>
     27                 <string>ssh</string>
     28                 <string>sftp-ssh</string>
     29             </array>
     30
     31             <key>SockServiceName</key>
     32             <string>ssh-alt</string>
     33         </dict>
     34     </dict>

Il faut relancer ssh pour que ces modifications soient prisent en compte (par exemple en utilisant SBSettings)

Enfin, sous Putty et sous WinSCP pensez à changer le port pour vous connecter ensuite à votre iPhone.

Voilà c'est tout

Tapez moi si j'ai oublié un truc ou si j'ai mal écris un autre...

Dernière modification par sioban (17-11-2009 09:24:08)