Trucs libres

Quand vous avez configuré la connexion automatique (autologin) sous Gnome/Ubuntu, rien de plus agaçant que la fenêtre demandant de déverrouiller le trousseau au démarrage, pour que network-manager puisse utiliser les clés Wifi !

Si votre mot de passe de trousseau est le même que celui du login, le trousseau est déverrouillé automatiquement lorsque vous tapez le mot de passe à la connexion, ce qui n’est pas possible en autologin.

Une solution est de mettre un mot de passe de trousseau vide, mais c’est mauvais pour la sécurité de tous vos mots de passe.

La meilleure solution serait de stocker les clés wifi dans le trousseau par défaut, et de stocker tous les autres mots de passe dans un autre trousseau. J’ai peut-être mal cherché mais à ce que j’ai vu la plupart des applications utilisent uniquement le trousseau par défaut.

Solution intermédiaire : mettre un mot de passe "bidon" au trousseau par défaut, déverrouillé au démarrage de Gnome par un script, ce qui est quand même mieux qu’un mot de passe vide.

Voici donc ma solution :

On change le mot de passe du trousseau par défaut :

1. Aller dans Applications > Accessoires > Mots de passe et clés de chiffrement (inutile comme moi de chercher dans Système > Préférences pendant 2 heures, là où il devrait être)
2. Clique droit sur le trousseau par défaut > Changer le mot de passe

On crée ensuite le script python contenant le code suivant :

vi ~/.lordiam.py

#!/usr/bin/python
import gnomekeyring
#gnomekeyring.lock_sync(None);
gnomekeyring.unlock_sync(None, 'monmotdepasse');

On empêche aux autres utilisateurs de lire le fichier :

chmod 700 ~/.lordiam.py

On teste. On doit obtenir 0 comme code de retour (le warning est normal) :

~/.lordiam.py
echo $?

Maintenant, on ajoute le script au démarrage dans Système > Préférences > Applications au démarrage :

Commande : /home/UTILISATEUR/.lordiam.py

Enfin, on redémarre son PC pour tester le tout.

Notes :

• C’est un "coup de chance" que le script soit appelé avant le lancement de network-manager. Je n’ai pas trouvé comment le placer prioritaire dans la liste des programmes au démarrage de Gnome.
• À quoi sert le trousseau ’login’ ? À ce que j’ai compris, il sert à stocker les mots de passes qui seront oubliés à la fin de la session.
• Pour le script, on choisira un nom moins remarquable que unlock_keyring.py. De même, on met le script en fichier caché. C’est toujours mieux que rien.

Références :

• apt-get source libpam-gnome-keyring
• apt-get source python-gnomekeyring

Userspace Software Suspend est une alternative à la méthode d’hibernation par défaut du noyau Linux. Elle ajoute plusieurs fonctionnalités intéressantes telles que la compression, le chiffrement... La compression permet d’hiberner avec une partition Swap plus petite, et accélère le temps de réveil de votre système !

Voici comment installer USwSusp sous Ubuntu Karmic. Doit aussi fonctionner sous une Debian récente.

Installer le paquet uswsusp :

aptitude install uswsusp

Désormais, vous pouvez hiberner en tapant la commande s2disk en root.

Pour hiberner depuis le menu Ubuntu ou les raccourcis clavier, modifiez la ligne suivante dans le fichier /etc/pm/config.d/00sleep_module :

SLEEP_MODULE=uswsusp

Puis testez votre hibernation !!

Liens :

• https://lists.ubuntu.com/archives/karmic-changes/2009-April/000258.html
• http://suspend.sourceforge.net/

J’ai cherché un moyen de modifier le format des courriels envoyés par la crontab. J’aurais espéré une syntaxe similaire à MAILTO=

Réponse : C’est impossible.

Avec le programme cron par défaut sous Debian, c’est codé en dûr dans le code de cron :

Dans le fichier source do_command.c :

fprintf(mail, "From: root (Cron Daemon)\n");
fprintf(mail, "To: %s\n", mailto);
fprintf(mail, "Subject: Cron <%s@%s> %s\n",
  usernm, first_word(hostname, "."),
  e->cmd);

On le trouve partout. Voici comment créer des partages sftp en chroot.

Dans le fichier /etc/ssh/sshd_config :

# on utilise le sftp interne d'openssh
# car la commande /usr/lib/openssh/sftp-server ne sera pas disponible dans le chroot
Subsystem sftp internal-sftp

Match group sftp
        ChrootDirectory %h
        X11Forwarding no
        AllowTcpForwarding no
        ForceCommand internal-sftp

MAJ 17/06/2010 : Attention à la syntaxe ! Les commentaires doivent commencer en début de ligne uniquement, et il ne doit pas y avoir d’espace en fin de la ligne ForceCommand internal-sftp.

Il suffit ensuite de créer des utilisateurs appartenant au groupe sftp, et le tour est joué. On teste par :

sftp user@myserver.com

Problème si on veut utiliser la commande rsync pour transférer des fichiers, car la commande rsync n’est pas disponible dans le chroot.

En premier lieu, on autorise d’autres commandes que "internal-sftp" en commentant la ligne :

#ForceCommand internal-sftp

Ensuite, on crée l’arborescence suivante dans le dossier chroot :

bin/
bin/bash
bin/rsync
lib/
lib/libncurses.so.5
lib/ld-linux.so.2
lib/libacl.so.1
lib/libpopt.so.0
lib/libattr.so.1
lib/i686
lib/i686/cmov
lib/i686/cmov/libdl.so.2
lib/i686/cmov/libc.so.6

Il s’agit des commandes bash et rsync, ainsi que toutes leurs librairies (que l’on peut obtenir à l’aide de la commande ldd)

Note : l’utilisateur doit avoir /bin/bash comme shell par défaut.

Note 2 : le dossier du chroot doit appartenir à root, bien que ça soit le dossier de l’utilisateur. Pour permettre à l’utilisateur d’écrire dedans, il faut créer un sous dossier où il a les droit. C’est une contrainte importante, mais nécessaire à la sécurité d’un chroot, vous dirons les programmeurs d’OpenSSH.

Références :

• man sshd_config
• http://www.debian-administration.org/articles/590
• http://www.howtoforge.org/chrooted-ssh-sftp-tutorial-debian-lenny
• http://www.fuschlberger.net/programs/ssh-scp-sftp-chroot-jail/

Si vous constatez de nombreuses tentative de connexion par ssh dans votre fichier /var/log/auth.log (robots qui testent des utilisateurs/mots de passes), il faut faire quelque chose.

Le plus simple est de mettre en place une restriction par IP dans votre pare-feu iptables, ou dans /etc/hosts.deny

Si vous ne pouvez/voulez pas mettre en place cette restriction, utilisez Fail2ban :

aptitude install fail2ban

L’installation par défaut bloque les tentatives de connexion SSH.

On peut adapter un peu la configuration, ou activer Fail2ban pour d’autres services. Exemple :

vi /etc/fail2ban/jail.conf
bantime  = 86400
maxretry = 10 # pour ssh
enabled  = true # pour vsftpd
maxretry = 10 # pour vsftpd

Ensuite, la commande iptables -L donne les adresses IP qui ont été bannies.

Pour faire un test de configuration tout en listant les virtualhosts Apache, utiliser la commande :

apache2ctl -S

Ne pas utiliser la commande apache2 -S qui ne lira pas le contenu de /etc/apache2/envvars, et affichera donc l’erreur :

# apache2 -S
apache2: bad user name ${APACHE_RUN_USER}

Références :

• man apache2ctl
• zless /usr/share/doc/apache2.2-common/README.Debian.gz
• http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=534675

Pour installer une surveillance du RAID SAS sur un serveur Dell :

# lspci|grep -i raid
01:00.0 RAID bus controller: LSI Logic / Symbios Logic MegaRAID SAS 1078 (rev 04)

# vi /etc/apt/sources.list
deb http://hwraid.le-vert.net/debian lenny main

# aptitude update
# aptitude install megactl

# megasasctl 
a0       PERC 6/i Integrated      encl:1 ldrv:1  batt:good
a0d0      278GiB RAID 1   1x2  optimal
a0e32s0    279GiB  a0d0  online  
a0e32s1    279GiB  a0d0  online  

# crontab -l
# monitoring du raid toutes les 4 heures
* */4 * * * /usr/sbin/megasasctl -H

Sources :

• http://hwraid.le-vert.net/wiki/LSIM...
• http://hwraid.le-vert.net/wiki/Debi...

Assez d’entendre les bips incessants lorsque vous utilisez la complétion dans votre terminal ?

Ajouter la ligne suivante au fichier ~/.bashrc

# desactiver le son de cloche
xset -b

Le fichier de configuration du panel se trouve dans ~/.config/lxpanel/LXDE/panels/panel

Les lanceurs sont dans /usr/share/applications/lxde*.desktop

Il faut changer les alternatives Debian. En root taper :

update-alternatives --config x-terminal-emulator
update-alternatives --config x-www-browser