Archives de catégorie : Ligne de commande

33. Le shell sécurisé : ssh

Publié le par
Répondre

Ssh est un incontournable de la gestion sécurisée des machines. L’idée est simple : depuis un ordinateur, se connecter en ligne de commande sur un autre.

Utilisation

Après installation de ssh sur les deux ordinateurs, l’utilisation est simple :

ssh pi@ipordinateurdistant

où, « pi » est le nom de l’utilisateur sous lequel on veut se connecter et « ipordinateurdistant » l’adresse ip de l’ordinateur distant sur lequel on veut se connecter.

Suivant les cas, si vous avez autorisé une connexion avec un mot de passe, un mot de passe vous sera demandé, ou, si vous n’autorisez qu’une connexion par clé, une phrase de passe vous sera demandée.

Création des clés

Pour créer des clés privée et publique utilisables par ssh, il faut simplement lancer la commande :

ssh-keygen -t rsa

Ainsi, vous créerez une paire de clé publique-privée de type rsa, communément utilisé. Vous seront demandé le répertoire dans lequel les clés seront stockées et votre phrase de passe deux fois. Pour le répertoire de stockage, vous pouvez laisser le répertoire par défaut : « .ssh ». Quand cela est fini, vous retrouverez vos clés dans ce répertoire sous les noms « id_rsa » pour la clé privée et « id_rsa.pub » pour la clé publique. Id_rsa étant votre clé privée, elle ne doit jamais être communiquée à qui que ce soit.

Transfert de la clé publique

Pour la clé publique, il faut maintenant la transférer sur les ordinateurs sur lesquels vous voulez vous connecter. Pour cela, il vous faut un compte utilisateur valide sur l’ordinateur distant. Admettons que votre compte sur celui-ci se nomme « pi ». Le transfert de votre clé publique sur ce compte se fait de la manière suivante :

ssh-copy-id pi@ipordinateurdistant

Un avertissement vous sera alors donné vous demandant de confirmer que vous voulez réellement vous connecter sur cet ordinateur. Répondez par « yes ». Le mot de passe du compte pi vous sera alors demandé et après l’avoir validé, vous serez informé que votre clé publique a été ajoutée au trousseau de ce compte.

Vous pourrez alors utiliser ssh comme mentionné plus haut pour vous connecter à l’aide de votre phrase de passe.

Configuration

Alors depuis l’ordinateur sur lequel vous avez créé les clés vous pourrez vous connecter avec votre phrase de passe, parfaitement sécurisée. Mais avec un autre ordinateur, il est possible que vous puissiez vous connecter avec un mot de passe. Si c’est le cas, toute personne pourra tenter de se connecter en ssh à votre compte pi. Pour s’y connecter, il lui suffira de trouver votre mot de passe. Si ce n’est pas le cas, l’accès lui sera simplement refusé. L’ordinateur distant ne va donc alors accepter une connexion que si il sait que c’est vous. Pour cela, il a créé, lors de la transmission de votre clé publique un fichier des hôtes connus baptisé « known_host » et un autre fichier des clés authorisées « authorised_keys ». Ainsi, il est préférable, après avoir déposé sa clé publique, d’interdire les connexions par mot de passe. Cela se fait dans le fichier de l’ordinateur distant :

/etc/ssh/sshd_config

Vous trouverez dans ce fichier la ligne suivante :

#PasswordAuthentication yes

En mode root ou avec sudo, décommentez-la est mettez sa variable à no :

PasswordAuthentication no

Enregistrez et redémarrez ssh par :

systemctl restart ssh

Désormais l’ordinateur distant ne sera plus accessible qu’à travers une phrase de passe. Attention, cela pourrait signifier que certains utilisateurs sans clés qui se connectaient avec un mot de passe pourraient ne plus pouvoir utiliser ssh.

Dérogation de droits

SI vous voulez accorder à certains utilisateurs la possibilité de se connecter par mot de passe, alors que par défaut c’est l’authentification par phrase de passe qui doit être imposée, cela est faisable en ajoutant à la fin du fichier « sshd_config » :

Match user autreuser
    PasswordAuthentication yes

où « autreuser » est un utilisateur autorisé à utiliser une authentification par mot de passe. Attention, tout ce qui vient après la ligne « Match user autreuser » concernera l’utilisateur « autreuser ». On peut ainsi ajouter d’autres directives pour cet utilisateur spécifique en dessous de « Password… ».

26. Git introduction

Publié le par
Répondre

Nous allons prendre un dépôt relativement simple comme celui se trouvant à l’adresse : https://git.roflcopter.fr/guyotv/TM_latex

Un tel dépôt peut être téléchargé (Bouton download) ou cloné (bouton clone). Téléchargé signifie que vous allez en récupérer tous les fichiers, que vous pourrez les utiliser et les modifier sur votre ordinateur, mais pas interagir avec le dépôt. Par contre, quand vous clonez le dépôt, en plus de récupérer tous les fichiers du dépôts, vous récupérez aussi un répertoire caché nommé « .git » qui va vous permettre de modifier les fichiers du dépôt.

Pour cloner le dépôt, cliquez sur le bouton clone et copiez l’adresse de clonage. Puis, placez-vous dans le répertoire dans lequel vous mettez les dépôts clonés et clonez :

clone https://git.roflcopter.fr/guyotv/TM_latex.git

Quelques instants plus tard se trouvera cloné sur votre ordinateur le répertoire du dépôt. Vous pourrez alors travailler localement sur ses fichiers en toute liberté sans modifier le dépôt.

Une fois les modifications faites, vous pourrez utiliser la suite classique de commandes suivante :

git status
git add .
git commit -m "Voici les modifications que j'ai faites."
git push -u origin master

Cette suite de commandes est à comprendre en s’imaginant qu’il existe trois éléments de travail : les fichiers que vous avez modifiés, un dépôt local et un dépôt distant. Quand vous travaillez sur les fichiers qui sont sur votre ordinateur, vous ne modifiez aucun des deux dépôt local et distant. Ainsi :

  • la commande « git status » va comparer les fichiers qui sont dans votre répertoire local à ceux qui se trouvent dans le dépôt local. S’il n’existe pas de différence, elle vous répondra qu’aucune modifications n’est nécessaire. Par contre, si vous avez modifié les fichiers de votre répertoire local, elle va vous afficher tous ceux qui ne correspondent pas à ceux qui se trouvent dans le dépôt local.
  • la commande « git add . » (attention le point « . » est nécessaire) va vous permettre d’ajouter tous ces fichiers (le point « . » signifie tous) à la liste des fichier à modifier sur le dépôt local. Vous pourriez vouloir ne modifier que quelques uns de ceux-ci sur le dépôt local, auquel cas, il faudra les spécifier à la place du point. Ainsi, les fichiers à modifier seront marqués en tant que tel.
  • la commande « git commit -m « C’est fait. » » vous permet d’envoyer les modifications du répertoire de travail dans le dépôt local avec un message obligatoire décrivant ces changements.

À ce stade, rien n’a été effectué sur le dépôt distant. Mais tous les changements que vous avez réalisés se trouvent en attente sur le dépôt local, c’est-à-dire sur votre ordinateur.

  • la commande « git push -u origin master » vous permet d’envoyer vos changements sur le dépôt distant nommé « master ». Plus précisément, elle vous permet de les envoyer sur la branche « origin » du dépôt « master ». En effet, il peut y avoir plusieurs branches branches du même projet sur lesquelles on peut travailler en parallèle. Pour en savoir plus reportez-vous à l’article https://www.cvgg.org/wordpress/blog/27-git-et-les-branches/. Le « -u » va vous demander de spécifier l’utilisateur et vous demandera son mot de passe.

Voilà. AInsi vous pourrez reporter vos changements (pour autant que vous y soyez autorisés : utilisateur et mot de passe) sur le dépôt distant. Ainsi aussi les autres utilisateurs pourront les récupérer.

Une utilisation intéressante en mode mono-utilisateur est la suivante. Imaginez que vous travailliez comme cela est présenté ci-dessus à la maison. Vous vous rendez ensuite à votre travail et là-bas désirez modifier vos fichiers. Pour cela vous les récupérez en clonant le dépôt, faites vos modifications et les reportez successivement sur le dépôt local (à votre travail) puis sur le dépôt distant. Tout va bien. De retour chez vous, vous voulez synchroniser le dépôt distant qui a été modifié au travail avec les fichiers qui sont sur votre ordinateur à la maison. Une seule commande suffira :

git pull

Et vous verrez avec un grand plaisir que toutes les modifications faites au travail seront reportée dans vos fichiers à la maison.

Voilà. Amusez-vous bien. La puissance de git est simplement stupéfiante.

32. Gestion du temps en ligne de commande

Publié le par
Répondre

La mise-à-jour automatique de l’heure sur un ordinateur est tellement classique qu’on en oublierait qu’elle existe. Par ailleurs, justement puisqu’elle existe, pourquoi s’en charger ? Comme il existe un service (NTP) qui se charge de fournir l’heure à l’ordinateur, pourquoi ne pas le laisser faire ?

Si NTP est un service, il doit pour faire son office, utiliser des serveurs de temps disponible sur internet. Il est donc nécessaire que l’ordinateur ait accès au réseau. Si ce n’est pas le cas, l’heure ne sera pas mise à jour. Pour des ordinateurs comprenant une petite pile (la plupart d’entre eux) ou des smartphones constamment branchés sur la batterie, ce n’est qu’après beaucoup de temps que l’heure va prendre quelque retard, puis le quartz intégré à la machine permet aujourd’hui une précision importante.

Par contre, sur certains ordinateurs non munis d’une pile, comme le raspberrypi, si vous l’éteignez, l’horloge s’arrête. En le rallumant sans connexion, l’heure ne sera donc pas correcte.

Une distribution intéressante pour faire de l’astronomie avec un raspberrypi directement sur le télescope permettant d’utiliser la raspicam au foyer (avec un télescope comme le pikon, par exemple) est Astroberry. Cette distribution crée un point d’accès wifi permettant de mettre en place un VPN pour accéder au raspberrypi depuis un portable. Généralement, le réseau internet n’est pas disponible lors d’observations hors de chez soi (le réglage de l’heure via son smartphone ne sera pas abordé ici). Il est donc nécessaire d’effectuer un réglage manuel. Avec Astroberry, on peut le faire avec une interface graphique. Mais, Astroberry nécessite un raspberrypi 3 ou 4. Si on préfère un raspberrypi 0, consommant bien moins de ressources énergétiques (on peut utiliser raspivid sur TCP pour voir les images de la caméra sur un portable et raspistill pour faire les photos), il est nécessaire de s’y connecter via ssh, c’est-à-dire en ligne de commande. Ainsi, en astronomie, avec un raspberrypi 0, le réglage manuel de l’heure peut être nécessaire régulièrement.

Pratiquement, la gestion du temps passait il y a peu par les commandes suivantes permettant notamment de gérer l’accès à un ou des serveurs ntp :

date et ntpdate

Aujourd’hui, avec systemd, un autre outil permet ce type de réglages :

timedatectl

C’est un outil de systemd, à l’instar de systemctl, disponible avec celui-ci. Voici quelques commandes intéressantes :

Activation – désactivation du réglage automatique

timedatectl set-ntp false
timedatectl set-ntp true

Réglage de la zone

timedatectl set-timezone Europe/Zurich

Réglage de la date et de l’heure

timedatectl set-time 'A-M-J HH:MM:SS'
timedatectl set-time 'A:M:J HH:MM:SS'
timedatectl set-time 'A-M-J'
timedatectl set-time 'HH:MM:SS'

Configuration du serveur de temps dans le fichier de configuration /etc/systemd/timesyncd.conf

[Time]
NTP=
FallbackNTP=0.arch.pool.ntp.org 1.arch.pool.ntp.org 2.arch.pool.ntp.org 3.arch.pool.ntp.org/

puis réactiver ntp, comme vu plus haut.

Enfin, vous pouvez consulter les réglages en cours avec :

timedatectl status

Ce qui devrait vous retourner quelque chose comme :

Local time: lun 2021-08-23 08:50:33 CEST
           Universal time: lun 2021-08-23 06:50:33 UTC
                 RTC time: n/a
                Time zone: Europe/Zurich (CEST, +0200)
System clock synchronized: yes
              NTP service: active
          RTC in local TZ: no

Voilà. Timedatectl permet donc le réglage d’un client ntp.

Gemini

Publié le par
Répondre

J’ai trop longtemps négligé l’importance du texte. Jeune j’ai été passionné de littérature. La science m’en a alors détourné. Paul Feyerabend m’ayant rappelé qu’elle était elle-même langage et Noam Shomsky ayant confirmé qu’il en était de même pour l’informatique, mes pratiques ont lentement dérivées vers le texte par la programmation, des cours de physiques en LaTeX et le un nouveau plaisir d’écrire en opposition radicale avec la période désagréable des vidéos-conférences. Tout alors m’a éloigné du monde des images à tel point que j’ai abandonné la télévision. Ce changement ne fut pas radical, car des années auparavant, j’avais déjà abandonné la voiture pour le vélo et je savais que le ralentissement de ses déplacements pouvait être très bénéfique. J’ai alors compris que le filtrage des informations par le texte pouvait l’être tout autant.

La découvert du groupe « rawtext.club » a donc été pour moi une véritable révélation. Toutes les valeurs des membres de ce groupe me correspondaient et comme ils proposaient de mettre de l’information sur le tout jeune Gemini, un autre web focalisé sur le texte, je me suis lancé dans l’aventure.

Le protocole

Gemini est un protocole, à l’instar d’http. Il s’agit d’accorder deux ordinateurs pour qu’il se comprennent et puissent se transmettre de l’information. Ainsi, quand vous utilisez « Hyper Text Transfer Protocol », soit http, vous utilisez un « un protocole de communication client-serveur développé pour le World Wide Web » (Wikipedia). Quand vous utilisez « Gemini », soit gemini, vous utilisez « un protocole de communication client-serveur. C’est un protocole de la couche application qui utilise le protocole TCP comme couche de transport. Il permet notamment d’accéder à des documents texte simples de type hypertexte. Les échanges entre le client et le serveur sont sécurisés à l’aide du protocole TLS. Le protocole est mis au point de manière collaborative mais n’est pas un standard internet » (Wikipedia).

« Les ressources Gemini sont identifiées au moyen d’URL dont le schéma est gemini://. Il est à noter que contrairement au protocole HTTPS qui possède un équivalent non chiffré (HTTP), le protocole Gemini ne définit volontairement pas d’équivalent non-chiffré.

La syntaxe des pages gemini, appelée Gemtext, est inspirée de celle de Markdown. »

Navigation

Pour visiter des sites gemini, on pourrait croire qu’il suffit de taper gemini:// dans la barre d’un navigateur. Mais le protocole n’étant pas standard, cela n’est pas possible aujourd’hui. Il faut un navigateur spécifique pour cela. Plusieurs solutions existent. Personnellement j’utilise « Amfora », un navigateur Gemini en mode ligne de commande. Une liste de clients gemini vous permettra de faire votre choix et de les installer. Outre Amphora, écrit en go, AV-98 écrit en python sont à tester. Sur la figure suivante, vous pouvez voir les deux navigateurs, Amfora à gauche, coloré sur fond noir et à droite dans une console transparente, AV-98 qui se superpose dans un style plus classique. Pour les navigateurs en mode graphique, Lagrange semble un bon choix.

Rawtext.club

Comme dit plus haut, ce groupe est plus qu’un hébergeur Gemini. Je vous conseille donc de vous y intéresser de plus près si vous aimez le texte et la philosophie des mouvement « LOW ».

À l’url :
gemini://rawtext.club
vous trouverez une description de ce « Slow social network », comme il se décrit lui-même.

À l’url :
gemini://rawtext.club/~guyotv
vous trouverez mon site gemini. Tout progressivement, celui-ci va prendre de l’importance et j’espère à terme pouvoir migrer entièrement vers celui-ci.

31. Just sudo it

Publié le par
Répondre

Un petit article pour préciser divers usages du compte root.

Comme le dit le titre, il est tout-à-fait possible, et souvent nécessaire, de réaliser des opérations en mode de Super Utilisateur : su. Plusieurs possibilités s’offrent à nous.

  • sudo, qui est une manière de gérer l’accès d’un utilisateur courant à certaines commandes réservées au super utilisateur,
  • sudo -s, …
  • sudo -i, …
  • sudo su … et
  • su, qui offre un accès complet et sans limites au système.

Accès au super utilisateur

Généralement, il n’est pas nécessaire de se connecter su le compte root. Non seulement cela peut être risqué en raison des erreurs qu’on peut y commettre, mais aussi pour des raisons de sécurité.

La commande sudo est donc généralement celle utilisée pour effectuer des opérations spécifiques nécessitant le lancement d’une unique commande, comme la mise-à-jour des paquets par exemple. Cette commande est hautement paramétrable grâce à l’utilitaire visudo, qui ne sera pas décrite ici, mais qui permet d’attribuer une ou plusieurs commandes à faire sous root, à un utilisateur particulier.

sudo -s, est une commande donnant accès au commandes du compte root, mais pas au compte root. Les variables d’environnement, le répertoire root, le changement du mot de passe root, … ne sont pas accessibles.

sudo -i va un peut plus loin que sudo -s. C’est le mot de passe utilisateur qui est toujours demandé et les commandes restent déléguées par setuid root, mais le shell est initialisé comme au login de l’utilisateur.

sudo su est totalement identique à sudo root, décrit ci-dessous, à l’exception que le mot de passe demandé sera celui de l’utilisateur référencé dans les sudoers. Ainsi, il est possible, pour autant qu’on y soit autorisé, de se connecter en root sans connaître le mot de passe root.

Enfin la commande su, qui est identique à su root (on peut aussi faire su unautreutilisateur), remplace l’utilisateur courant par le super utilisateur, avec tous ses pouvoirs. C’est très pratique, mais nécessite de connaître le mot de passe du super utilisateur.

Gestion des comptes

Par ailleurs, il est nécessaire d’évoquer ici la gestion des comptes et mots de passe dans le cadre du super utilisateur. Notamment, la possibilité d’imposer des changements de mots de passe ou de désactiver des comptes après un temps donné.

La commande « chage » sert à « modifier les informations de validité d’un mot de passe ». Un man chage nous fournit la description suivante :

« La commande chage modifie le nombre de jours entre les changements de mot de passe et la date du dernier changement. Ces informations sont
utilisées par le système pour déterminer si un utilisateur doit changer son mot de passe. »

man chage

Ainsi, si vous êtes confrontés, lors d’une tentative de vous connecter en super utilisateur via la commande su, à une information spécifiant que le compte a été désactivé, c’est que l’administrateur à trouvé nécessaire de vous obliger à reconsidérer votre accès au compte à un moment donné ou au bout d’un certain temps.

La désactivation de l’obligation de changer le mot de passe root se fait par la commande :

chage -E -1 -I -1 -M -1 root

dont l’explication est la suivante :

  • -E : date d’expiration du compte ; -1 supprime l’expiration,
  • -I : durée d’inactivité avant le blocage du compte ; -1 supprime cette durée d’inactivité,
  • -M : nombre de jours maximums pendant les quels un mot de passe est valable ; -1 supprime cette durée.

Voilà pour ces quelques précisions.

30. Systemd utilisateur

Publié le par
Répondre

Ceci n’est pas un article sur systemd, mais la présentation d’une utilisation très pratique de systemd par un utilisateur pour lancer une commande avec systemd au lancement de la session de l’utilisateur. L’article sur lequel je me suis basé pour réaliser ce que je voulais est : https://medium.com/@alexeypetrenko/systemd-user-level-persistence-25eb562d2ea8

Mon problème était le suivant : je dispose d’un clavier bluetooth récupéré d’une tablette obsolète. Or ce clavier ne dispose pas de la touche backslash (\). C’est extrêmement désagréable pour quelqu’un qui pratique intensivement LaTeX.

Il s’agissait donc de lancer une modification du clavier à chaque lancement de session. Pour cela il fallait d’abord savoir comment affecter la touche backslash à l’une des touches libre de mon clavier. Après quelques recherches, le logiciel permettant cette modification a été trouvé et la commande suivante testée fonctionnelle :

xmodmap -e 'keycode 202=backslash' &

Xmodmap permet d’affecter une touche physique, ici la touche 202, à un caractère, ici backslash. Pour déterminer le code de la touche, la commande suivante est nécessaire :

xev -event keyboard

Une fois lancée, en pressant sur une touche, on obtient un retours comme :

KeyPress event, serial 25, synthetic NO, window 0x3a00001,
    root 0x389, subw 0x0, time 5876177, (922,180), root:(924,260),
    state 0x0, keycode 202 (keysym 0x5c, backslash), same_screen YES,
    XLookupString gives 1 bytes: (5c) "\"
    XmbLookupString gives 1 bytes: (5c) "\"
    XFilterEvent returns: False

dans lequel figure « keycode 202 » (ici déjà affectée à backslash). L’esperluette (&) de la fin de commande permettait de lancer la commande pour une session, ce que systemd va nous permettre de faire automatiquement et cela sans aucun droits de superutilisateur.

Venons en donc à systemd. À l’instar des services lancés par systemd pour root, l’idée est de mettre dans le répertoire (à créer au besoin) :

.config/systemd/user/

un fichier de service à lancer au démarrage de la session. Dans mon cas, le nom de ce fichier sera évidemment « backslash.service » puisque ce service va me permettre de disposer de la touche backslash. Son contenu sera le suivant :

[Unit]
Description=Just for backslash character

[Service]
ExecStart= /usr/bin/xmodmap -e 'keycode 202=backslash'
Restart=always
RestartSec=60

[Install]
WantedBy=default.target

Les lignes de restart signifient qu’en cas de problème le démon est relancé au bout de 60 secondes.

Pour installer le service, il faut alors utiliser la commande :

systemctl --user enable backslash.service

Un certains nombre de liens seront créé pour que systemd puisse lancer le service au démarrage de la session.

Pour démarrer le démon sans relancer la session, il faut classiquement faire :

systemctl --user start backslash.service

Si cela ne fonctionne pas, comme ce fut le cas pour moi, lancez :

systemctl --user status backslash.service

L’état du service vous sera retourné et vous verrez apparaître un « Failure » si la commande de votre service est mauvaise. En l’occurrence, pour moi, ce fut le fait qu’il fallait mettre le chemin complet vers xmodmap, soit /user/bin/xmodmap.

Enfin, après avoir corrigé les problèmes, un :

systemctl --user restart backslash.service

ne suffit pas. Il faut encore recharger l’ensemble des démons de l’utilisateur par :

systemctl --user daemon-reload
Voilà. Systemd peut donc être très utile au niveau utilisateur pour remettre en place des fonds d'écran par exemple ou tout autre commande à lancer au démarrage de la session utilisateur.