Recherche pare-feu avec des règles par programme

[damad]

Bonjour à toutes et à tous !!

Existe-t-il un pare-feu pour Mint qui fonctionne avec des règles par programme en plus des règles par port, comme anciennement Kerio sur Window$ ou encore l'excellent COMODO firewall ?

Merci d'avance pour vos réponses !!

[damad]

Je serais tenté de dire les deux...

Voici un exemple. Pour utiliser transmission, il faut ouvrir un port entrant. Ce qu'on peut faire avec ufw, mais de façon générale. Le port est ouvert pour tout et n'importe quoi. Ce que je cherche est un pare-feu qui ouvre ce port entrant QUE pour transmission, pas pour firefox ou autres logiciels.

Peut-être que c'est possible avec ufw, mais je l'ignore...

[damad]

Effectivement, j'ai regardé des dizaines de tutos sur ufw et nul ne parle de règles par programme. Et je ne trouve toujours aucun autre pare-feu qui pourrait le faire.

Je trouve quand même ça étonnant. Je reprends mon exemple avec transmission. On peut choisir d'utiliser un port différent à chaque démarrage du programme. Si j'opte pour cette solution, il faudrait que j'ouvre tous les ports en entrée dans ufw pour que transmission fonctionne ? C'est absurde ... Ou alors je n'ai rien compris en pare-feu...

[damad]

Merci pour le lien. J'ai donc cherché du côté de leopardflower et au détour d'un chemin, j'ai trouvé ceci : https://askubuntu.com/questions/135135/ ... all/135163

Il existait donc bien au moins un pare-feu comme j'en recherche, injoy firewall, mais il n'est plus supporté depuis bien longtemps. J'ai alors essayé opensnitch, qui fonctionne très bien pour les connexions sortantes, mais pas entrantes. Comme douaneapp. Et je trouve ça sidérant.

Il me semble que le filtrage de connexions entrantes par application est beaucoup plus important que pour les connexions sortantes, non  ? Désolé de constater que sur ce coup-là, window$ est plus sécurisé que linux ... Ou, encore une fois, je n'ai rien compris en pare-feu...

[Armaggion]

Le filtrage des connexions entrantes est très important, et généralement intégralement bloqué par défaut, donc la question ne se pose pas vraiment.
De plus, filtrer par le nom d'un logiciel qui aurait le droit de requêter ta machine, ça nécessite de toutes façons qu'a minima un port soit ouvert pour qu'un logiciel à l'intérieur de ton système soit en écoute et puisse autoriser ou refouler après que le firewall ait laissé passer, et donc après que tu aies ouvert le port et installé ton listener.
Et comment peux-tu savoir quelle application va requêter ton serveur ? Un même service peut avoir des milliers de clients différents (exemple : nombre de navigateurs différents capables de requêter un serveur Apache).

Par contre les connexions sortantes ont besoin de plus de souplesse bien évidemment, et donc en général elles ne sont pas bloquées.
En conséquence, pour pouvoir utiliser ton système à ton insu, un pirate ne va pas pouvoir juste taper dedans, il doit d'abord t'amener à télécharger un bout de logiciel qui va, lui, requêter ensuite l'extérieur.

A priori je dirais qu'un filtrage des connexions sortantes par logiciel, c'est trop facile à tromper et donc que ça peut facilement donner une fausse impression de confiance. Qu'est-ce qui t'empêche de créer ton petit logiciel qui va faire un "sudo apt update" et que tu vas appeler "firefox" ? Pour faire mieux (c'est tout à fait faisable), il faut taper dans du plus lourd, soit toujours au niveau logiciel avec des autorisations gérées au niveau de l'OS pour les applications, genre permissions d'Android ou SELinux ou AppArmor ou ce qui est plus ou moins containerisé (je ne dis pas que toutes ces technos le gèrent, c'est un exemple), soit au niveau matériel (pare-feu/routeur) mais c'est une échelle qui dépasse l'informatique domestique.

[damad]

Merci pour ces explications très instructives.

De plus, filtrer par le nom d'un logiciel qui aurait le droit de requêter ta machine, ça nécessite de toutes façons qu'a minima un port soit ouvert pour qu'un logiciel à l'intérieur de ton système soit en écoute et puisse autoriser ou refouler après que le firewall ait laissé passer, et donc après que tu aies ouvert le port et installé ton listener.
........
En conséquence, pour pouvoir utiliser ton système à ton insu, un pirate ne va pas pouvoir juste taper dedans, il doit d'abord t'amener à télécharger un bout de logiciel qui va, lui, requêter ensuite l'extérieur.

Là était la clé de ma mauvaise compréhension d'un pare-feu : un port entrant ouvert ne veut pas dire que tout y rentre automatiquement, il faut quelque chose qui écoute ce port...

Je vais donc en rester à ufw. Je classe le sujet en résolu, bien qu'il n'y ait pas de pare-feu comme je le le veux, mais parce que j'ai mieux compris pourquoi ça n'existe pas.

Merci à tous !!

[Armaggion]

A ton service