Exposer le panneau : ce qui change, et la voie qui change le moins

Le serveur est à la maison ou au bureau et vous voulez y accéder depuis l’extérieur. La question est légitime, mais la réponse n’est pas « faut-il ou non », c’est « par quelle voie ».

Ce qui change au moment où vous le faites

Le panneau n’est plus un endroit que seules les personnes de votre réseau peuvent joindre. La page de connexion devient visible sur internet, et les pages de connexion visibles sur internet sont essayées automatiquement. Ce n’est pas une attaque dirigée contre vous, c’est un bruit de fond permanent qui trouve une adresse nouvellement ouverte en quelques heures. Le point n’est pas que quelqu’un vous vise, c’est que votre tour arrive tout seul.

Trois voies

La première : ne pas exposer. Vous rejoignez d’abord le réseau, puis vous utilisez le panneau comme si vous étiez chez vous. Le panneau n’est jamais visible de l’extérieur, il n’y a donc aucune page de connexion à essayer. C’est la voie qui change le moins et protège le plus.

La deuxième : mettre une porte devant. Le panneau ne parle pas en premier ; une couche qui vérifie qui vous êtes accueille le visiteur, et ensuite seulement le panneau est atteint. Le panneau n’est toujours pas la première chose à laquelle un inconnu s’adresse.

La troisième : exposer directement. Le port est redirigé vers l’extérieur et tout repose sur les épaules de la page de connexion et du certificat. C’est faisable, mais votre défense est désormais une seule couche.

Le minimum si vous exposez

Un deuxième facteur n’est pas une préférence. Le travail quotidien ne devrait pas se faire en root, car un compte pleinement privilégié derrière une porte ouverte sur l’extérieur multiplie deux risques. Le certificat doit être réel, et la raison n’est pas le chiffrement en soi : si vous voyez un avertissement à chaque connexion, vous prenez l’habitude de cliquer au-delà des avertissements, et le jour où le vrai avertissement arrive, vous cliquez au-delà de celui-là aussi.

À quoi sert la limitation des tentatives

Limiter les tentatives ratées n’arrête pas quelqu’un de déterminé. Ce qu’elle fait est plus précieux : elle coupe le bruit de fond, si bien que les événements restant dans le journal sont ceux qui méritent vraiment un regard. Un journal qui produit des milliers de lignes en permanence n’est pas lu, et un journal non lu n’existe pas.

Deux choses souvent oubliées

Exposer le panneau expose la console. Celui qui entre dans le panneau entre aussi sur les écrans des machines, c’est-à-dire dans la session de chaque machine virtuelle qui s’y trouve. Ce qu’il y a derrière le panneau compte autant que le panneau lui-même.

Et l’accès distant au shell est une porte distincte. Fermer l’une ne ferme pas l’autre ; les deux se pensent séparément.

Ce que fait Atlas

Atlas transporte la session dans un cookie que les scripts de page ne peuvent pas lire, et ne considère ce cookie valable que pour les requêtes venant de son propre site, de sorte qu’aucune autre page ne peut faire travailler votre session pour elle. Les connexions ratées sont limitées : au-delà d’un certain nombre la requête est refusée, et ce refus est inscrit dans le journal d’audit. La réponse de connexion ne distingue pas un compte existant d’un compte absent, si bien que quelqu’un qui balaie des noms d’utilisateur depuis l’extérieur ne peut pas dresser de liste. Rien de tout cela ne rend l’exposition du panneau sûre ; cela détermine sur quel sol vous vous tenez si vous choisissez de l’exposer.