finger_openbsd.conv (18789B)
1 titre:Configurer un serveur finger sous OpenBSD 2 date_pub:11 février 2023 3 date_mod:22 octobre 2023 4 date_pub:2045 5 date_mod:2142 6 auteur:~ldp 7 type:article 8 uuid:f4c6527f-504d-4e4f-946e-fbb0b7e659d7 9 10 Le protocole finger est à l'image des premiers temps d'Internet : simplissime et convivial[1]. Publiée en 1977, la RFC 742 est la première à en détailler le fonctionnement. Notre protocole dépasse donc aujourd'hui les 45 ans. Trois autres RFC ont suivi la première, la dernière étant la RFC 1288, publiée en 1991. 11 12 => https://www.rfc-editor.org/rfc/rfc742 RFC 742 13 => https://www.rfc-editor.org/rfc/rfc1288 RFC 1288 14 15 finger est une sorte de super carnet d'adresses en ligne. Une simple requête permet de recevoir ce qu'on pourrait appeler la « page d'accueil » du serveur, qui contient souvent la liste des utilisateurs qui y sont connectés. Augmentée d'un nom d'utilisateur, la requête fournit une somme variable d'informations concernant cet utilisateur. Il s'agit traditionnellement de son nom complet, de l'emplacement de son dossier ~/, du programme shell qu'il utilise, de la date et de l'heure de sa dernière connexion, de son numéro de téléphone, de l'état de sa boîte courriel, etc. En outre, les serveurs finger affichent typiquement le contenu des fichiers ~/.project et ~/.plan. Le premier tend à contenir des informations générales sur l'utilisateur, sur ses intérêts, etc. ; le second est souvent plus spécifique et changeant et lui sert à informer les autres de ses plans à court terme, de ce qui l'occupe, de ce qu'il explore ou veut explorer, etc. Mais ce qu'affiche une requête finger dépend en définitive des préférences de l'administrateur et de l'utilisateur. 16 17 L'âge d'or de finger semble révolu. Il était une l'époque où très peu d'individus possédaient un ordinateur personnel et où une grande partie de ceux qui avaient à en utiliser un devaient se connecter à un ordinateur central, donc partagé, appartenant à quelque université ou entreprise. Alors, « toutes les machines Unix connectées au réseau avaient un serveur finger », dit-on[2]. Avant l'avènement du Web, c'était un des seuls moyens informatisés répandus et efficaces d'obtenir de l'information sur quelqu'un. 18 19 Aujourd'hui, le protocole, sans être totalement tombé en désuétude, est assez marginal ; c'est le moins qu'on puisse dire. Il jouit toutefois d'un regain d'intérêt récent avec la montée de l'Internet simple et indépendant (je suis toujours à la recherche d'un terme français pour « smol web »). Il est apprécié pour sa simplicité et pour son fonctionnement décentralisé. Plusieurs serveurs tildes mettent ainsi à la disposition de leurs membres un serveur finger. 20 21 => gemini://zaibatsu.circumlunar.space/~solderpunk/phlog/were-bringin-finger-back.txt Article de Solderpunk « We're bringin' finger back! » (en anglais) 22 23 J'héberge de depuis peu mon propre serveur finger. J'ai été séduit par sa simplicité et par l'espoir de le voir renaître comme moyen d'échange et de socialisation au sein des petites communautés de l'Internet citoyen. 24 25 C'est avec OpenBSD et ses outils que j'ai monté ce serveur, et en la matière, je n'ai pas d'expérience avec d'autres systèmes. Je n'aurai donc qu'OpenBSD en tête en écrivant cet article. Je serais cependant surpris d'apprendre que la marche à suivre diffère grandement entre les systèmes de type Unix. 26 27 ## Exemples d'utilisation 28 29 De nombreux systèmes dérivés de Unix sont livrés avec le programme finger(1), qui permet de réaliser des requêtes par ce protocole. 30 31 ``` 32 $ finger ldp@asteride.xyz 33 [asteride.xyz/207.148.27.164] 34 35 ---------------- 36 * ASTERIDE.XYZ * 37 ---------------- 38 39 Utilisateur: ldp Nom: LoC/c Daignault-Pichette 40 Dossier: /home/ldp Shell: /bin/ksh 41 Courriel: ldp@asteride.xyz 42 Gemini: gemini://asteride.xyz/~ldp/ 43 Langues: FranC'ais, catalan et anglais 44 DC)connectC) depuis le 2023-02-10 C 03:20:17 (UTC) 45 46 [Et cetera] 47 ``` 48 49 Le client d'OpenBSD ne gère que l'encodage ASCII. C'est pourquoi le texte n'est pas affiché correctement. Les RFC sur finger à partir de 1194 RECOMMANDENT en effet de filtrer des caractères et de ne laisser passer que les caractères entre 32 et 126, de même que t, r et n. Il est en outre spécifié que le serveur DOIT transmettre des caractères ASCII entre 128 et 255. D'habitude, je respecte les standards de bon cœur, mais quand j'écris en français, j'emploie les caractères en usage dans cette langue. Je ne me passerai ni des accents, ni des cédilles, ni des guillemets, ni, tant qu'à y être, d'autres commodités typographiques comme les ligatures. Je pense que nous pouvons nous permettre d'utiliser l'UTF-8[3]. 50 51 Heureusement, le protocole est si simple qu'on peut simuler le fonctionnement du programme avec netcat ou telnet, qui ne souffrent pas des mêmes limitations. Il suffit d'ouvrir un connexion avec le serveur approprié au port 79 et d'envoyer une seule ligne de texte. Cette ligne correspond généralement à l'utilisateur au sujet duquel on veut obtenir de l'information. 52 53 ``` 54 $ telnet asteride.xyz 79 55 ldp 56 57 ---------------- 58 * ASTERIDE.XYZ * 59 ---------------- 60 61 Utilisateur: ldp Nom: Loïc Daignault-Pichette 62 Dossier: /home/ldp Shell: /bin/ksh 63 Courriel: ldp@asteride.xyz 64 Gemini: gemini://asteride.xyz/~ldp/ 65 Langues: Français, catalan et anglais 66 Déconnecté depuis le 2023-02-10 à 03:20:17 (UTC) 67 68 [Et cetera] 69 ``` 70 71 On peut même créer une fonction shell avec netcat pour remplacer le client de base. Elle n'est pas complète, mais elle sait faire l'important. 72 73 ``` 74 finger() { 75 echo "$1" | grep @ >/dev/null && 76 printf "${1%@*}\r\n" | nc "${1##*@}" 79 || 77 printf "${1%@*}\r\n" | nc "127.0.0.1 79" 78 } 79 ``` 80 81 On peut souvent obtenir la liste des utilisateurs connectés à un système en ne précisant pas de nom d'utilisateur. Bien sûr, l'administrateur est maître de ce qui est envoyé. 82 83 ``` 84 $ finger @asteride.xyz 85 86 ---------------- 87 * ASTERIDE.XYZ * 88 ---------------- 89 90 Bienvenue sur asteride.xyz. 91 92 Le système héberge les utilisateurs suivants: 93 94 * ldp (alias Loïc Daignault-Pichette) 95 96 Vous pouvez taper quelque chose comme « finger UTILISATEUR@asteride.xyz » 97 pour consulter le profil d'UTILISATEUR. 98 ``` 99 100 Cela revient à envoyer une ligne vide. 101 102 ``` 103 $ telnet asteride.xyz 79 104 [ENTRÉE] 105 106 ---------------- 107 * ASTERIDE.XYZ * 108 ---------------- 109 110 Bienvenue sur asteride.xyz. 111 112 [Et cetera] 113 ``` 114 115 asteride.xyz ne compte qu'un seul (vrai) utilisateur. On peut aller voir sur des serveurs tildes comme zaibatsu.circumlunar.space, tilde.club, tilde.institude, etc. pour consulter une liste plus longue. 116 117 ``` 118 $ finger @zaibatsu.circumlunar.space 119 $ finger @tilde.club 120 $ finger @tilde.institute 121 $ finger @etc. 122 ``` 123 124 Je veux aussi donner un exemple d'utilisation originale du protocole. Techniquement, il ne s'agit que d'envoyer du texte en réponse à une ligne de texte. Un serveur peut alors interpréter cette ligne comme il le veut. graph.no permet ainsi de consulter la météo avec finger. 125 126 ``` 127 $ finger québec~72@graph.no 128 [graph.no/178.255.144.27] 129 -= Meteogram for Quebec, Canada =- 130 'C Rain (mm) 131 -16 132 -17--- 133 -18 ------ 134 -19 ------ =-- 135 -20 ---=--^^^ --- 136 -21 ^^^=== --- 137 -22 ====== --- 138 -23 ^^^ 139 -24 =--=-- 140 -25 141 18 19 20 21 22 23 09/02 02 03 04 05 06 07_08_09_10_11_12 Hour 142 143 W W W W W W W W W W W W NW W W W W W W Wind dir. 144 5 5 5 5 5 4 4 4 4 4 3 3 2 2 2 1 1 1 1 Wind(m/s) 145 146 Legend left axis: - Sunny ^ Scattered = Clouded =V= Thunder # Fog 147 Legend right axis: | Rain ! Sleet * Snow 148 [Terminal FTW!] 149 ``` 150 151 On peut envoyer une ligne vide pour consulter les options de ce serveur. 152 153 ``` 154 finger @graph.no 155 ``` 156 157 ## Configuration 158 159 Cette présentation achevée, nous pouvons maintenant voir comment mettre en place un serveur finger sous OpenBSD. Ce n'est pas extrêmement compliqué. D'abord, le système d'exploitation vient un serveur finger (fingerd(8)) et avec tous les outils nécessaires à son fonctionnement. 160 161 fingerd(8) n'est pas un serveur à part entière : il ne tourne pas en arrière-plan (ce n'est un daimôn) et il n'accepte pas lui-même les connections entrantes ; il a besoin d'inetd(8) pour fonctionner. inetd(8) surveille une série de ports et transmet les requêtes à certains programmes. 162 163 C'est par le fichier de configuration /etc/inetd.conf qu'on lui indique quels ports surveiller et quel programme exécuter en cas de requête. Un exemple de configuration est disponible au /etc/examples/inetd.conf. Ce sont les lignes qui commencent par « #finger » qui nous intéressent. Il s'agit de les copier dans le fichier de configuration /etc/inetd.conf et de retirer ces dièses qui marquent les commentaires. 164 165 ``` 166 $ cat /etc/inetd.conf 167 finger stream tcp nowait _fingerd /usr/libexec/fingerd fingerd -lsm 168 finger stream tcp6 nowait _fingerd /usr/libexec/fingerd fingerd -lsm 169 ``` 170 171 Il y a deux lignes, car on veut qu'inetd(8) soit attentif au requêtes venants d'IPv4 et d'IPv6. Si on voulait surveiller non pas le port 79, qui est le port standard de finger, mais à un autre port, on replacerait le premier champ (« finger ») par le numéro de ce port. On peut aussi écrire : 172 173 ``` 174 $ cat /etc/inetd.conf.fictif 175 79 stream tcp nowait _fingerd /usr/libexec/fingerd fingerd -lsm 176 79 stream tcp6 nowait _fingerd /usr/libexec/fingerd fingerd -lsm 177 ``` 178 179 En fait, inetd(8) consulte le fichier /etc/services pour connaître la correspondance entre le nom du service et numéro de port à utiliser. Une autre option serait donc de modifier ce fichier. 180 181 Le quatrième champ spécifie le nom de l'utilisateur sous lequel exécuter le programme finger. Ici, il s'agit de _fingerd, ce qui est tout à fait approprié. 182 183 Le cinquième champ donne le chemin vers le programme qui doit traiter la requête. Ici, il nous utilisons le programme inclus dans OpenBSD. Les champs suivants seront donnés en argument à ce programme (avec « fingerd » comme argument 0). Trois options sont spécifiées. -l demande de noter chaque requête dans les journaux. -s empêche le transfert des requêtes. Sans cela, la commande 184 185 ``` 186 finger québec~72@graph.no@asteride.xyz 187 ``` 188 189 demanderait à asteride.xyz d'effectuer lui-même la requête à graph.no. Celui-ci n'aurait aucune idée de l'identité de l'initiateur et penserait qu'il s'agit d'asteride.xyz. On comprend que ce n'est pas ce qu'on souhaite permettre. 190 191 Finalement, l'option -m oblige l'utilisateur à envoyer le nom d'utilisateur exacte au serveur. Autrement, on s'attend à ce que, advenant une requête au sujet d'un utilisateur inexistant, le serveur réponde avec une liste nom d'utilisateurs qui ressemblent à celui de la requête. 192 193 La page du manuel de fingerd(8) dresse la liste de toutes les options disponibles. 194 195 ### Modifier la réponse du serveur 196 197 fingerd(8) offre très peu d'options pour modifier l'apparence du contenu de la réponse ; la liberté de l'utilisateur se limite à ce qu'il peut écrire dans ~/.plan et dans ~/.project. 198 199 En fait, sur OpenBSD fingerd(8) ne s'occupe pas lui-même la recherche et de la présentation des données. Il délègue ces tâches à finger(1), le même programme qu'on utilise normalement pour effectuer une requête à partir de la ligne de commande. D'ailleurs, il est possible d'utiliser localement la commande sans serveur finger. Voici la réponse affichée par la commande finger(1) que j'ai exécutée sur mon ordinateur portable. (Notez l'absence de « @ »). 200 201 ``` 202 Login: ldp Name: LoC/c Daignault-Pichette 203 Directory: /home/ldp Shell: /bin/ksh 204 On since Fri Feb 10 12:43 (EST) on ttyp0 from :0 205 On since Fri Feb 10 13:48 (EST) on ttyp4 from :0 206 On since Fri Feb 10 13:47 (EST) on ttyp6 from :0 207 On since Fri Feb 10 13:49 (EST) on ttyp7 from :0 208 On since Fri Feb 10 13:50 (EST) on ttyp8 from :0 209 On since Fri Feb 10 14:19 (EST) on ttypa from :0 210 New mail received Thu Feb 9 13:35 2023 (EST) 211 Unread since Wed Sep 14 18:06 2022 (EDT) 212 No Plan. 213 ``` 214 215 fingerd(8) propose d'utiliser un autre programme que finger(1). On l'indique à l'aide de l'option -P. Voici à quoi devrait ressembler le fichier de configuration d'inetd(8) si on voulait que fingerd(8) transmette le texte généré à chaque requête par le programme qui se trouve au /etc/finger. Bien entendu, il faut que ce programme soit exécutable par _fingerd. 216 217 ``` 218 $ cat /etc/inetd.conf 219 finger stream tcp nowait _fingerd /usr/libexec/fingerd fingerd -lsm -P /etc/finger 220 finger stream tcp6 nowait _fingerd /usr/libexec/fingerd fingerd -lsm -P /etc/finger 221 ``` 222 223 À partir de là, on peut faire ce qu'on veut. Selon ce que j'ai trouvé dans le code source de fingerd(8), le programme de remplacement devrait savoir gérer (ou ignorer) les options -smMpl, telles que décrites dans finger(1). Les arguments sont donnés par fingerd(8) dans cet ordre : les options sont placées d'abord, suivies du marqueur de fin des options (--) et du contenu de la seule ligne envoyée par le client (un nom d'utilisateur ou rien, la plupart du temps)[4] 224 225 Voici un exemple de programme de remplacement. 226 227 ``` 228 $ cat /etc/finger 229 #!/bin/sh 230 231 # interpréter les options (en fait, elles sont ignorées) 232 PLAN=1 233 while getopts "smMpl" OPT 234 do 235 case $OPT in 236 s) FG_COURT=1 ;; 237 m) FG_CHERCHER= ;; 238 M) FG_CHERCHER=1 ;; 239 p) FG_PLAN= ;; 240 l) FG_LONG=1 ;; 241 *) logger -t finger "L'option -$OPT n'est pas supportée." 242 esac 243 done 244 shift $((OPTIND - 1)) 245 246 UTILISATEUR="$1" 247 printf '%snn' $UTILISATEUR 248 [ -r "/home/$UTILISATEUR/.plan" ] && cat "/home/$UTILISATEUR/.plan" 249 [ -r "/home/$UTILISATEUR/.projet" ] && cat "/home/$UTILISATEUR/.projet" 250 ``` 251 252 Ce programme n'est pas robuste. Il ne sait même pas gérer la ligne vide. De plus, les dossiers de certains utilisateurs ne se trouvent pas dans /home/ ; c'est le cas de root, par exemple. Il faudrait consulter /etc/passwd pour savoir où le dossier de chaque utilisateur se trouve. Le but est simplement de donner un aperçu du pouvoir qui est entre nos mains. 253 254 ## Brèves remarques sur la sécurité 255 256 Cette section s'impose, car le protocole finger n'a pas une bonne réputation en matière de sécurité. Cette réputation n'est qu'en partie justifiée. Elle est répandue surtout à cause du ver de Morris, qui a, entre autres, profité d'une vulnérabilité dans le programme fingerd répandu à l'époque (c'est-à-dire 1988). Ce n'est pas le protocole lui-même qui a été pris en défaut, mais une mise en œuvre particulière. D'ailleurs, tout service exposé à l'Internet vient avec ses risques en matière de sécurité. Et gardons en tête que ces vulnérabilités ont d'autant moins de chances de survenir que le programme est simple. 257 258 => https://fr.wikipedia.org/wiki/Morris_(ver_informatique) Article Wikipédia sur le ver de Morris 259 260 Si on veut affirmer que finger n'est pas sécuritaire, c'est à l'objectif même du service qu'il faut s'en prendre. Si on essaie généralement de divulguer le moins d'information possible aux pirates potentiels, c'est parce qu'ils peuvent parfois s'en servir pour mieux cibler leurs attaques. Or, le but de finger est de partager de l'information. Disposer de la liste des utilisateurs connectés et connaître leurs plans et leurs intérêts a des chances de faciliter la vie de ces pirates. Ça ne fait aucun doute. Par contre, avoir un blogue, un compte Facebook, un compte Mastodon, etc. bref être présent et actif sur ce genre de plateforme accessible publiquement risque d'aider les pirates bien plus que d'avoir une présence sur finger. 261 262 S'il y a peu de chance d'y avoir une faille utile aux pirates dans les programmes finger contemporains et si j'estime que les risques associés à l'information disponible par leur truchement est négligeable, je crois qu'il faut être extrêmement vigilant au moment de créer un programme finger alternatif. Il est très facile de faire des erreurs, surtout dans des programmes shell. Prudence! donc. 263 264 ## Conclusion 265 266 Si la configuration de base d'un serveur finger sous OpenBSD est très simple, j'ai trouvé moins évident l'exécution d'un programme finger alternatif. Dans ce cas, malgré la réputation d'OpenBSD dans ce domaine, la page de manuel de fingerd(8) ne semble malheureusement aider que ceux qui savent déjà comment faire. J'ai en effet dû consulter le code source du programme pour comprendre comment le configurer. J'ai donc écrit ce guide pour aider ceux qui auraient la même idée que moi. 267 268 ## Voir aussi 269 270 ### Mon serveur finger 271 272 => finger://ldp@asteride.xyz ldp@asteride.xyz 273 274 ### Les RFC 275 276 => https://www.rfc-editor.org/rfc/rfc742 RFC 742 277 => https://www.rfc-editor.org/rfc/rfc1194 RFC 1194 278 => https://www.rfc-editor.org/rfc/rfc1196 RFC 1196 279 => https://www.rfc-editor.org/rfc/rfc1288 RFC 1288 280 281 ### L'article Wikipédia sur finger 282 283 => https://fr.wikipedia.org/wiki/Finger_(Unix) finger (Unix) 284 285 ### L'article de Bortzmeyer sur finger 286 287 => https://www.bortzmeyer.org/1288.html RFC 1288: The Finger User Information Protocol (en français malgré le titre) 288 289 ## Notes 290 291 [1] Certains ajouteraient que le peu de souci porté à la sécurité informatique fait de finger un digne représentant de son époque. Ce n'est pas exactement mon avis. J'y reviendrai. 292 293 [2] Voir l'article de Stéphane Bortzmeyer sur finger. 294 295 [3] Le client Bombadillo, par exemple, accepte les textes encodés en UTF-8. Je serais d'accord pour qu'on modifie le client d'OpenBSD afin qu'il respecte LC_CTYPE. 296 297 [4] Astuce : si on veut avoir une idée des arguments que finderd(8) donne au programme, on peut remplacer « /etc/finger » par « echo ». Ces arguments seront ainsi transmis par finger.