Allez-y, excitez-vous, d’ici 1 mois, je retrouverai mes modules et hop, à moi firefox 3…
Et après on se demande pourquoi je préfère Debian à des distrib un peu trop vivaces. Heureusement, mon Ubuntu est restée en 7.10, je me méfie de la migration en 8.jesaisplusquoi. A tous les coups y’a ffox 3 dedans maintenant et pan dans ta gueule les modules, de force.

Beta-deployez bien, a+

Bon, je poste un peu après tout le monde sur le sujet. Mais c’est histoire de faire part de 2/3 remarques. A voir les news postées un peu partout, j’ai l’impression de revivre la naissance de « Blaster » sous Windows : grande ampleur alors que la correction existait et beaucoup découvrent/découvraient ça tardivement sans trop savoir quoi faire.
Bon ici, il ne s’agit que de rectifier avant qu’une faille soit exploitable. Mais c’est extrêmement préoccupant.
Et le pire, c’est que contrairement à beaucoup de failles, le problème réside dans les « clefs de cryptage » que vous utilisez (qui vous sont propres), pas dans l’outil en lui-même. Donc appliquer les patchs constitue seulement 1% de la solution. (dans le cas où vos clefs ont été générées, disons, entre hier et y’a 2 ans… c’est large)

Point de départ de l’information

Si vous découvrez seulement maintenant le sujet et que vous gérez des Debian ou Ubuntu ou dérivés, c’est grave, lisez vite les « security advisory » de openssl et de openssh publié le lendemain. Ce sont les seules sources fiables, comme point de départ.
Si ça vous gonfle car c’est en anglais, parce-que personne n’en voudrait à votre pseudo-serveur etc, alors arrêtez tout de suite de « gérer » un serveur…
Le wiki de Debian résume bien tous les services qui peuvent être impactés et donnent les opérations à faire. A commencer par OpenSSH (tout le monde l’a celui-là)

Donc, pour cette fois, et pour les suivantes, faites ceci :

Pour bien réagir la prochaine fois :

Inscrivez-vous sur la mailing-list de securité Debian

Inscrivez-vous soit par l’interface web, soit en envoyant un mail à debian-security-announce-REQUEST@lists.debian.org avec sujet subscribe et en confirmant une fois le 1er de retour reçu).
Optez pour celle appelée « debian-security-announce », pas nécessairement « debian-security » qui est plutôt une chat-room non modérée
=> Ainsi, vous serez au courant au bon moment avec les bonnes infos, plutôt que des « on dit » incomplets sur des forums.
Si vous n’êtes pas en Debian, ça vaut quand même. Il doit y avoir l’équivalent sur Ubuntu et autres dérivés.

Lisez les alertes à tête reposée et faites ce qui est demandé

Par exemple, dans celle d’OpenSSL dit notamment une toute petite phrase : « We recommend that you upgrade your openssl package and subsequently regenerate any cryptographic material, as outlined above. »
=> Cette toute petite phrase veut simplement dire qu’il faut regénérer TOUT ce qui a trait à la crypto. Donc tous vos certificats pour vos protocoles sécurisés, notamment SSH, HTTPS, POP3S, IMAPS, SSMTP etc. Sans parler des known_hosts et authorized_keys. En gros, si vous gérez un paquet de serveurs, ça va juste vous pourrir un bon paquet d’heures. Mais c’est obligatoire.

Le mot de la fin

Voilou, c’était histoire de clarifier la situation vu ce qu’on peut lire comme info incomplète sur cette faille. Le classique "apt-get update ; apt-get upgrade" du matin ne suffit pas !
J’ai eu envie de faire cet article quand je pense aux hébergeurs qui proposent des serveurs à pas cher, avec environ 97% d’admin archi-débutant-pas-sérieux. Je me ferais du souci à leur place. Surtout si un exploit est révélé !
Faites que le mien ne bloque pas le trafic SSH en cas d’exploit révélé (si si, mon hébergeur l’a proposé, arg !)…. ce serait un bordel sans nom.

Récemment, j’ai installé une Ubuntu sur un PC équipé comme suit :
- disque 1 : SAS (Serial-Attached-SCSI) contenant un windows
- disque 2 : SATA vide prévu pour l’Ubuntu
- disques 3 et 4 : 2 HD SATA de données.

Il n’y avait donc qu’un boot XP normal sur le SAS.

Ordre de boot…

Au départ, le BIOS (d’une marque connue qui ne permet rien ou si peu dans son BIOS) pointait sur le SAS puis SATA dans l’ordre de boot.
J’ai choisi de mettre GRUB sur le disque SATA (et ainsi ne pas flinguer le MBR du Windows). Comme ça les OS ignorent presque que l’autre est là et je peux surtout virer un des 2 disques sans devoir réinstaller le MBR de l’un ou de l’autre.

J’ai donc dû inverser l’ordre de boot dans le BIOS. Rien de surprenant jusque là.
Comme on ne peut pas préciser dans ce BIOS quel SATA ou quel SAS doit booter lorsqu’il y en a plusieurs, c’est donc le premier – pas d’autre possibilité.
Ce premier détail – on s’en rend compte après une première install d’Ubuntu sur le SATA où rien ne boote – force à organiser ses disques (mes SATA en l’occurrence) de sorte que l’Ubuntu soit sur le premier SATA. Au départ, dans mon cas, c’était le dernier (je venais de l’ajouter…)

sda, non, sdd, non (hd3,0) non plus… raaaaaah

J’ai fait plusieurs réinstall de la chose et ça ne s’est pas vraiment passé 2 fois pareil au niveau de la détection des disques durs, donc de l’ordre d’apparition, donc de leurs noms, donc de la conf GRUB. Parfois tout marchait tout seul, parfois après install, plus rien ne bootait (ni Ubuntu, ni Windows).
Un conseil donc, avant de lancer l’installation Ubuntu, lorsque vous êtes en liveOS, vous repérez bien le nom de chaque disque via un petit fdisk. Vous le faites avec le BIOS précablé vers le bon disque (mon SATA dans mon cas) :

ubuntu:~$ sudo fdisk -l
Disque /dev/sda: 146.8 Go, 146815737856 octets
255 heads, 63 sectors/track, 17849 cylinders
Units = cylindres of 16065 * 512 = 8225280 bytes
Disk identifier: 0x12345678

Périphérique Amorce    Début         Fin      Blocs    Id  Système
/dev/sda1   *           1       17849   143372061    7  HPFS/NTFS

Disque /dev/sdb: 400.0 Go, 400088457216 octets
255 heads, 63 sectors/track, 48641 cylinders
Units = cylindres of 16065 * 512 = 8225280 bytes
Disk identifier: 0x12345678

Périphérique Amorce    Début         Fin      Blocs    Id  Système
/dev/sdb1   *           1        2432    19535008+  83  Linux
/dev/sdb2            2433        2681     2000092+  82  Linux swap / Solaris
/dev/sdb3            2682       48641   369173700   83  Linux

Disque /dev/sdc: 400.0 Go, 400088457216 octets
255 heads, 63 sectors/track, 48641 cylinders
Units = cylindres of 16065 * 512 = 8225280 bytes
Disk identifier: 0x12345678

Périphérique Amorce    Début         Fin      Blocs    Id  Système
/dev/sdc1               1       48641   390708801    7  HPFS/NTFS

Disque /dev/sdd: 400.0 Go, 400088457216 octets
255 heads, 63 sectors/track, 48641 cylinders
Units = cylindres of 16065 * 512 = 8225280 bytes
Disk identifier: 0x12345678

Périphérique Amorce    Début         Fin      Blocs    Id  Système
/dev/sdd1               1       48641   390708801    7  HPFS/NTFS

Dans le cas ci-dessus, le SAS de 146 Go puis 3 SATA de 400 Go.
Donc Windows = /dev/sda1 et Ubuntu sera = /dev/sdb1

FIXME : Parfois, et je n’arrive pas à l’expliquer, le boot du Live Ubuntu m’a sorti un mode graphique un peu dégradé et l’ordre des disques changeaient…
Au final, je me suis retrouvé avec une conf GRUB mauvaise et pas grand chose ne bootait.

Dans mon cas, la bonne conf est la suivante – je ne prends que la fin du fichier /boot/grub/menu.lst :

## ## End Default Options ##

title           Ubuntu 7.10, kernel 2.6.22-14-generic
root            (hd0,0)
kernel          /boot/vmlinuz-2.6.22-14-generic root=UUID=52f30332-a489-4df5-8305-85c4a1e7dba1 ro quiet splash
initrd          /boot/initrd.img-2.6.22-14-generic
quiet

title           Ubuntu 7.10, kernel 2.6.22-14-generic (recovery mode)
root            (hd0,0)
kernel          /boot/vmlinuz-2.6.22-14-generic root=UUID=52f30332-a489-4df5-8305-85c4a1e7dba1 ro single
initrd          /boot/initrd.img-2.6.22-14-generic

title           Ubuntu 7.10, memtest86+
root            (hd0,0)
kernel          /boot/memtest86+.bin
quiet

### END DEBIAN AUTOMAGIC KERNELS LIST

# This is a divider, added to separate the menu items below from the Debian
# ones.
title           Other operating systems:
root

# This entry automatically added by the Debian installer for a non-linux OS
# on /dev/sda1
title           Windows XP
map             (hd3) (hd0)
map             (hd0) (hd3)
root            (hd3,0)
makeactive
chainloader     +1

Le piège

Si vous avez été attentif, vous avez vu le piège :
Dans GRUB, le linux est vu comme le premier disque : hd0. C’est vrai, à condition de se dire que le BIOS boote (donc détecte ?) d’abord le SATA (donc il compte d’abord les SATA et le SAS est vu alors en 4è).
=> C’est sur cette info que se base GRUB.

Par contre, le disque contenant vraiment l’OS Linux est sdB, donc le deuxième O_o
=> Ce qui veut dire que Ubuntu redétecte l’ordre des disques à sa manière ensuite (disons que je le vois comme ça, tout au moins

De même pour le Windows, c’est sdA alors qu’il est vu par le BIOS en dernier (4è => hd3 dans GRUB).

Enfin, piège ultime, les lignes « map » qui n’étaient pas là au départ.
Windows ne tolère de booter que s’il est « le premier disque » – ce qui ne veut rien dire et est une limitation complètement débile. Toujours est-il que là, il est vu à un moment donné comme 4è et sans vous le dire, ce con de NTLOADER ne part pas (et ne vous dit rien). GRUB vous dit que ça merdoit puis vous ramène au menu de boot.
La commande « map » sert à modifier virtuellement l’ordre des disques. Ca suffit à blouser Windows. Attention le « root » reste sur hd3 alors qu’on a inversé les disques, c’est pas dynamique à ce niveau là.

=> Le bilan après installation Ubuntu, c’est qu’aucun des menus ne menait à rien…. il a fallu changer la conf GRUB à la volée pour récupérer le linux, tester les paramètres pour booter le windows et enfin écrire la bonne conf dans /boot/grub/menu.lst

Remarque sur les modifs à la volée de GRUB lors du boot

Si GRUB démarre après une install, mais qu’aucun menu ne vous démarre un OS (ils sont simplement listés), n’oubliez pas que vous avez la touche ‘e’ pour éditer une des lignes du menu de choix du boot. Les raccourcis claviers sont expliqués. Vous pourrez donc choisir un root (hdtruc,bidule) qui va bien.
Si vous avez bien en tête la conf en terme de /dev/sdX et l’ordre des disques vu par le BIOS, vous devriez pouvoir faire booter n’importe quoi. Une fois sous le linux qui héberge le fichier de conf de GRUB, vous reportez vos modifs et c’est fini.

J’ai trouvé plusieurs sites web tous un peu brouillons donnant des informations sur le sujet. Je vous fais une synthèse propre de la chose, fait avec une XUbuntu (plus légère qu’Ubuntu) 7.10 i386 desktop

Mes sources de départ

- Un article un peu dépassé
- Un article correct si ce n’est qu’il n’explique pas grand chose et balance des commandes à la suite.
- Et enfin, un article parlant d’un bug qui n’a plus lieu mais qui a au moins le mérite d’expliquer un peu comment le LiveOS identifie une partition de la clef USB pour stocker les informations « persistantes ».

Ce dont vous avez besoin

- Une clef USB d’au moins 1 Go. Rapide de préférence. Comptez 700/750 Mo pour la partie figée de l’XUbuntu et le reste pour votre partie « persistante ».
- L’ISO de XUbuntu (ou Ubuntu)
- Un PC sous Windows. Mais ce sera plus simple sous Linux (pour créer une partition EXT2).
- Un PC acceptant de booter sur de l’USB. Sinon pour tester, ça ne va pas être simple
C’est tout.

Préparer la clef

Le principe est de créer 2 partitions :
- la première en FAT16 (16, pas 32) qui hébergera le contenu de l’ISO un tout petit peu retravaillé. En gros, pour pouvoir booter, charger le noyau etc.
- l’autre au format EXT2 pour la partie « variable » de l’OS (la partie « persistante »). C’est bien de l’EXT2 et pas EXT3 : aucune utilité de journaliser sur un LiveOS, sans parler du débit relativement faible de l’USB.

Créer les partitions

Sous Windows vous passerez par le menu de « Gestion de disques » pour créer vos partitions.
Sous Linux, par fdisk /dev/sdb si votre clef est reconnue en SDB. Faites un fdisk -l pour le savoir. Je vous passe la config, au pire allez voir le 2è article que je mentionne plus haut dans mes sources, tout est dedans (style : « tapez sur n puis p puis 1 etc » – du bonheur).

Formatter les partitions

Sous Windows, facile. J’ai dit FAT16, pas FAT32. Vu ?
Sous Linux, la commande est mkfs.vfat -F 16 -n ubuntu710 /dev/sdb1 si votre clef est sdB. Le nom « ubuntu710″ est arbitraire.

Pour formatter la deuxième partitions en EXT2, si vous êtes sous Windows, vous avez 3 options qui se résument à trouver un Linux quelque part
1) Vous utilisez le propre OS qu’on va faire sur cette clef, en mode non « persistant » (je le décris ci-après) puisque pour l’instant la « partition de persistance » n’existe pas. Une fois sur cet OS, vous avez accès à la commande qui va bien.
2) Vous utilisez le CD gravé à partir de votre ISO [X]Ubuntu et bootez dessus pour avoir un Linux tout frais en LiveOS.
3) Vous avez un Linux sous la main quelque part et c’est plus simple.

Dans tous les cas, la commande sous Linux est la suivante : mkfs.ext2 -b 4096 -L casper-rw /dev/sdx2. Cette fois-ci, le nom « casper-rw » est important (de ce que j’en ai compris) car c’est lui qui est utilisé pour désigner les partitions utilisées pour la « persistance ». Donc bref, vous ne touchez pas si vous voulez que tout votre « / » soit « persistant ». Si vous voulez limiter au « /home » par exemple, survolez l’article suivant pour tenter de le faire. Je n’ai pas essayé (en gros, il faudrait une partition nommée « home-rw »).

« Copier l’OS »

Maintenant que les partitions sont prêtes, vous devez :
- Recopier le contenu de l’ISO sur la première partition.
- Dupliquer le contenu du répertoire « isolinux » à la racine de la partition 1 de la clef (un déplacement devrait suffire, mais je ne suis pas sûr).
- Dupliquer les fichiers "/casper/initrd.gz" et "/casper/vmlinuz" à la racine de la clef.

Rendre la clef bootable avec SYSLINUX

Téléchargez « syslinux » (un bootloader) depuis ce site. Actuellement, la version est 3.61 pour Windows. Sous Linux (Debian par exemple), l’outil SYSLINUX est packagé. Installez-le comme d’hab.
Sous Windows, vous faites un "syslinux X:" où X est la lettre de lecteur de votre partition n°1 de votre clef.
Sous Linux, vous faites un "syslinux -sf /dev/sdb1" si votre clef est sdB.

Adapter le menu de boot

Recopier à la racine de la 1è partition les fichiers fournis sur ce site. Parcourez-les pour bien comprendre comment fonctionne SYSLINUX.
Pour booter sur l’OS « persistant », vous tapez « persistent » au boot. Sinon vous bootez par défaut sur la version Live normale qui n’est pas persistante.

Optimisations !

Vous êtes sur une clef USB, c’est-à-dire un périphérique assez lent et avec une place limitée. A vous de bien régler l’écriture des logs, afin de ne pas encombrer votre clef inutilement. Pensez aussi à régler APT ou au moins à supprimer les paquets DEB de /var/cache/apt/archives/ après des upgrade/install de paquets etc…

Et voilà, frimez bien avec votre OS.
Ah j’oubliais : bootez en mode « persistant », créez 3 fichiers via touch ~/toto ; touch /tmp/toto ; sudo touch /toto
Rebootez bien proprement et vérifiez que vos fichiers sont encore là (sauf celui du /tmp, il aura dégagé).

Et évidemment, d’installer Linux dessus… car j’avais entendu dire que c’était possible. Pourquoi Linux sur une PS3 ? pour potentiellement lire les fichiers que la PS3 ne saurait pas lire (OGG, XVID, MKV…) et pour avoir un « PC de salon » (Internet, mail, jabber etc) en 1920*1080 sur 40 pouces. Baaaaaaave….

Enfin, l’idée est d’utiliser aussi un « serveur multimédia » (une appli DLNA quelconque) pour accéder à quelques fichiers multimédias à distance sur un PC windows.

(Apparement, on peut aussi jouer avec une PS3, faudra que je me renseigne ;P

Alors, je vais pondre très prochainement plusieurs billets sur ce blog concernant la PS3.

Je livre juste 2 remarques dès à présent :

1) N’upgradez pas le firmware de la PS3 – sauf si un jeu vous force à le faire (tant pis pour vous). Plus il est bas, moins vous aurez d’emmerdes sous Linux. C’est un peu la même logique que pour une PSP. En bon gros boulet, j’ai upgradé avant de réfléchir et je suis passé de 1.96 à 2.10 et je le regrette. M’enfin bon, je m’en suis sorti quand même côté Linux/PS3, c’est juste plus chiant. En 1.96, ce serait passé comme une lettre à la poste (quand il n’y a pas grève).

2) Toutes les docs que vous pourrez trouver sur le web sont généralement assez approximatives et limitées à un cas particulier (tel firmware, telle config gnagnagna). J’essaierai de dépasser ce cadre.

Et si vous êtes trop impatient, lisez les sites ci-dessous, c’est là que j’ai trouvé la plupart des informations pour débugger :
http://psubuntu.com/
http://linux.yes.nu/PS3Ubuntu/
+ 2/3 autres sites qui vous expliquent comment créer la partition pour Linux et booter dessus.