Voir la source de Mail2sh, l'article dans la presse

= Mail2shell ou comment contrôler son ordinateur à distance par e-mail&nbsp;!  =

'''L'idée est déconcertante'''&nbsp;: un administrateur contrôle un serveur distant par le biais d'un Sheil initié par courrier électronique. Génial&nbsp;!<br>Par [http://xavier.leclercq1.free.fr/ Xavier Leclercq] joignable sur [https://linuxfr.org/users/xavierl LinuxFr]

----

== Posons le problème...<br>  ==

Imaginons la situation suivante&nbsp;: vous êtes chez vous et désirez accéder au serveur passerelle de votre école ou entreprise.<br>Le moyen le plus simple est sans doute de créer un tunnel ssh sécurisé. Seulement, son fichier /etc/hosts.allow n'autorise que certaines IP fixes à accéder à un service ssh&nbsp;:<br>:sshd daemon (adresses bidons)<br>:sshd: 192.168.0.0/255.255.255.0 195.248.8.0 212.88.242.0 212.11.38.0 

Le mécanisme tcp-warpers rejettera impitoyablement une tentative d'accès non autorisée au service ssh en envoyant un e-mail à l'administrateur pour l'en avertir (/etc/hosts.deny)&nbsp;: 

:sshd:ALL:spawn = (/usr/sbin/safe_finger-l@%h l\<br>/usr/bin/Mail -s&nbsp;%d-%h-%u.deny root) &amp;

Ce qui donnera par exemple&nbsp;:<br>:sshd-212.125.94.152-root.deny<br>Bref, nous sommes ici confronté à un problème&nbsp;: comment accéder au serveur lorsque le client n'a pas d'IP fixe&nbsp;?<br>Plusieurs solutions sont possibles comme la création d'un canal VPN ou l'administration par https... [[Mail2sh]] nous propose une autre voie&nbsp;: le contrôle à distance par e-mail. Cette solution est très séduisante&nbsp;: vous pouvez l'utiliser quel que soit l'endroit ou vous vous trouvez, sans aucune modification de la configuration du client (le seul critère étant de pouvoir accéder au courrier électronique) 

<br> 

== Le principe<br>  ==

Vous envoyez un courrier à une adresse contrôlée par votre serveur passerelle. Cette adresse devra être spécifique à cette utilisation.<br>Le premier réflexe sera de la baptiser mail2sh@VotreNomdeDomaine mais il est préférable de la nommer autrement pour une raison de sécurité.<br>A la réception du courrier, l'utilitaire [[Mail2sh]] est appelé. Il vérifiera la légitimité du courrier. Le mécanisme d'authentification compare le nom de l'utilisateur et son mot de passe au couple username / password de son fichier de configuration. En cas de non rejet, [[Mail2sh]] ouvre un Shell et exécute les commandes qui se trouvent à la suite dans le corps du message. Ces dernières seront toutes soumises à l'interpréteur de commandes que l'utilisateur emploie. Attention&nbsp;: les utilisateurs référencés dans le fichier de configuration (mail2sh.conf) ont le droit d'utiliser [[Mail2sh]] mais ceux-ci devront aussi exister obligatoirement dans /etc/passwd.<br> 

<br> 

== Mise en place<br>  ==

Télécharger la version 1.1 à l'adresse http://mans.gyptis.org/ce_que_je_fais/logiciels_softs/Mail2sh/. Le logiciel est disponible sous format RPM, deb ou tgz. L'auteur, José Mans, que j'ai contacté m'a affirmé que bientôt les sources PERL de [[Mail2sh]] seraient disponibles. Pour l'instant, vous pouvez utiliser gratuitement [[Mail2sh]] dans un but non commercial.<br>[[Mail2sh]] v1.1 n'est pas sous licence GPL. 

Voici les opérations à effectuer 

#Lancez la commande visudo pour y ajouter la ligne&nbsp;:<br>mail2sh ALL = (root) NOPASSWD: /var/lib/mail2sh/mail2s<br> 
#Créez une adresse de courrier électronique, par exemple mail2sh@qqchose.<br> 
#Editez (ou créez) le fichier forward (sendmail ou qmail) situé sous l'arborescence de l'utilisateur [[Mail2sh]] pour y ajouter 
#:vi /home/e-smith/files/users/ mail2sh/.qmail<br> 
#::'''|'''/usr/bin/sudo /var/lib/mail2sh/mail2sh 
#:Le contenu du courrier électronique reçu est envoyé à [[Mail2sh]] qui est exécuté en tant que root (sudo) Editez le fichier 
#:/etc/mail2sh/mail2sh.conf<br>''single user on'' 
#:''user default root'' 
#:''site xl'' 
#:''password ceciestmonmotdepasseenclair'' 
#:''reply-to xI@endymion.homelinux.com''<br><br>L'utilisateur xl doit exister mais ne doit pas nécessairement avoir de concordance de mot de passe entre /etc/passwd et mail2sh.conf. 
#Vérifiez le fichier /etc/passwd&nbsp;: la possibilité d'ouverture d'un Shell est ici obligatoire. Autrement dit, si vous avez quelque chose comme: 
#:xl:x:5021:5021:xl xl:/home/e-smith/files/users/xl:/bin/false 
#:Transformez la ligne en 
#:xl:x:5021:5021:xl xl:/home/e-smith/files/users/xl:/bin/bash

== Un premier essai<br>  ==

Editez un fichier «mail» qui contiendra par exemple 

:site xl ceciestmonmotdepasseenclair 
:pwd<br> 
:ls 
:mail root &lt; /etc/mail2sh]mel 
:quit

Si vous n'indiquez pas un bon mot de passe (identique à celui de mail2 sh.conf), vous recevrez le message suivant<br> 

:«&nbsp;Hello, authentification error, please contacte your administrator 
:thx 
:[[Mail2sh]] (c) José Mans (mans®gyp-tis.org) 
:http://mans.gyptis.org/&nbsp;»

Il est configurable car il s'agit du fichier /etc/mail2sh/mail2sh.noauth. 

Si par contre, l'authentification se passe convenablement, deux courriers sont envoyés. Le premier est le résultat des commandes Shell (Is listera les fichiers de ~xl). Le deuxième est le contenu du fichier «mail» (résultant de la commande mail root &lt; /etc/mail2sh/mel)<br> 

<br> 

== Comment renforcer la sécurité&nbsp;?<br>  ==

Il existe un moyen de renforcer la sécurité en utilisant GPG. Cet utilitaire est normalement installé d'office sous Linux. Vous devez le lancer une<br>première fois pour l'initialiser (sans oublier de modifier le fichier options). Puis vous créez vos clés et encodez le fichier «mail» d'essai.<br>Mais comment décoder le courrier électronique&nbsp;?<br> 

:''(echo "votrepassphrase"; cat mel.gpg) | gpg -batch -passphrase-fd 0 ''

Une solution possible est de récupérer et d'installer «pgp-mine-handler.pl» à l'adresse&nbsp;: [[www.david-guembel.de/gpg-handler.html|www.david-guembel.de/gpg-handler.html]]<br><br>Le principe est de créer un tube qui décodera le courrier électronique codé gpg<br> 

:''cat mel.gpg | /usr/bin/pgp-mime-handler.pl | more''

Il ne vous reste plus qu'à transformer votre fichier ''.forward'' ou ''.qmail'' vi /home/e-smith/files/users/ mail2sh/.qmail<br> 

:'''''l'''/usr/bin/pgp-mime-handler.pl | /usr/bin/sudo /var/lib/mail2sh/mail2sh''

Il y a quand même un inconvénient&nbsp;: la «passphrase» est demandée pour décoder le courrier électronique. Comme il s'agit d'un processus batch, nous ne pouvons employer l'utilitaire «kdialog» appelé par défaut par le script Perl «gpg-mime-handler.pl» Il sera nécessaire de remplacer cet appel par:<br> 

:$main::dialog_program = "cat /path/to/the/passphrase.txt";<br>

Ce qui malheureusement représente un bien faible niveau de sécurité&nbsp;!<br> 

<br>

== Améliorations<br>  ==

A propos de GPG, José Mans déclare&nbsp;: «Disons que GPG peut coder les messages ou envoyer une signature numérique codée avec la clé privée.<br>Mails2sh emploiera toujours la même clef publique, soit pour vérifier le destinataire, soit pour décoder le mail&nbsp;; c'est en fonction de ce que voudra faire<br>celui qui expédie le courrier...&nbsp;»<br>[[Mail2sh]] est un utilitaire quasi unique en son genre. Félicitations à son auteur d'avoir eu cette idée. Mais, attention aux aspects de sécurité que son utilisation implique!<br><br> 

<br><br>