"Bantko" - Confidentialité et Hiérarchie

Vous intégrez le service IT de Bantko, une PME du secteur financier. Ici, la sécurité n'est pas une option. Une fuite de données entre le service Ressources Humaines (RH) et le service Comptabilité pourrait avoir des conséquences graves.

Votre DSI vous confie la gestion du serveur de fichiers interne. Vous devez garantir un cloisonnement strict entre les services, tout en assurant que la Direction puisse auditer (lire) n'importe quel document, sans jamais pouvoir les modifier (pour éviter toute accusation de falsification).

Maitriser les permissions standards (UGO) pour isoler des départements.

Utiliser les ACL par défaut pour gérer l'héritage des droits (problématique de la Direction).

Configurer Sudo avec des alias pour déléguer des tâches administratives sans donner les pleins pouvoirs.

Verrouiller l'accès aux utilisateurs non autorisés.

PARTIE 1 : L'Organigramme (Utilisateurs & Groupes)

Vous devez recréer la structure de l'entreprise sur le système Linux.

1. Créez les groupes suivants : rh, compta, direction.
2. Créez les utilisateurs suivants avec leurs dossiers personnels :
   gflaubert (Service RH) -> groupe principal rh.
   jvalles (Service Compta) -> groupe principal compta.
   aernaux (Directrice Générale) -> groupe principal direction.
   mpagnol (Votre assistant) -> aucun groupe spécifique pour l'instant.

Attribuez des mots de passe temporaires.

Contrôle
Vérifiez que gflaubert ne fait pas partie du groupe Compta, et inversement.

PARTIE 2 : Le Cloisonnement Strict (Permissions UGO)

Les dossiers de travail doivent être créés et sécurisés.

1. Créez l'arborescence suivante :
   /data/fincorp/rh
   /data/fincorp/compta

La Règle d'Or
Le dossier rh doit appartenir au groupe rh.
Seuls les membres du groupe rh (et root) peuvent entrer, lire et écrire dedans.
Personne d'autre (ni Compta, ni mpagnol) ne doit pouvoir y accéder.

Appliquez la même logique pour le dossier compta.

Test de pénétration
Connectez-vous en gflaubert et créez un fichier salaires.txt dans /data/fincorp/rh.
Connectez-vous en jvalles et essayez de lire ce fichier. L'accès doit être refusé.

PARTIE 3 : L'Œil de la Direction (ACLs et Héritage)

La directrice, aernaux, doit avoir un accès en Lecture Seule sur tous les dossiers RH et Compta pour effectuer des contrôles.

Problème
Si vous changez le groupe propriétaire pour mettre "direction", les employés ne pourront plus travailler. Si vous utilisez les droits "Others", tout le monde pourra lire.

1. Utilisez les ACL (Access Control Lists) pour donner à aernaux le droit de lecture et d'exécution (r-x) sur les dossiers /data/fincorp/rh et /data/fincorp/compta.
2. Le piège des nouveaux fichiers : Si gflaubert crée un nouveau fichier demain, aernaux n'aura pas forcément les droits dessus par défaut.
   Configurez des ACL par défaut (Default ACLs) sur les dossiers parents pour que tout nouveau fichier ou dossier créé à l'intérieur hérite automatiquement des droits de lecture pour aernaux.

Validation
En tant qu'gflaubert, créez un nouveau fichier nouveau_contrat.doc dans le dossier RH.

Vérifiez les droits de ce fichier (getfacl). aernaux apparaît-elle ?

Connectez-vous en aernaux et essayez de lire le fichier (doit fonctionner) puis de le supprimer ou modifier (doit échouer).

PARTIE 4 : Délégation de la gestion des comptes (Sudo Restreint)

Votre assistant mpagnol doit pouvoir débloquer des comptes utilisateurs ou changer des mots de passe en cas d'oubli, mais il ne doit jamais pouvoir installer de logiciels, ni modifier la configuration réseau, ni lire les fichiers de la Direction.

1. Configurez Sudo (visudo) pour l'utilisateur mpagnol.
2. Utilisez un Cmnd_Alias nommé GESTION_COMPTES pour regrouper les commandes /usr/bin/passwd et /usr/sbin/usermod.
3. Autorisez mpagnol à lancer uniquement ces commandes via sudo.
4. Question critique : Avec cette configuration, mpagnol peut-il changer le mot de passe de aernaux (la directrice) ou de root ? Testez-le.

Note
Dans la réalité, pour empêcher cela, on utiliserait des scripts wrappers ou des configurations sudo très complexes.

Pour ce TP, contentez-vous de constater le résultat.

PARTIE 5 : Bonus / Investigation

Une procédure automatique de sauvegarde tente de copier les fichiers RH chaque nuit, mais elle échoue par moments.

En regardant les attributs des fichiers dans le dossier RH, vous voyez ceci sur un fichier critique :
Plaintext

-rw-r--r-- 1 gflaubert rh 0 Nov 29 10:00 archives_2023.tar.gz

Pourtant, même root n'arrive pas à le supprimer avec rm.

Quelle commande permet de voir les attributs étendus cachés qui pourraient protéger ce fichier (ex: attribut immuable) ?

Simulez la situation : En tant que root, créez un fichier et rendez-le immuable. Essayez de le supprimer. Retirez l'attribut et supprimez-le.