Voir la source de Mail2sh, l'article dans la presse

= Mail2shell ou comment contrôler son ordinateur à distance par e-mail&nbsp;!  =

'''L'idée est déconcertante'''&nbsp;: un administrateur contrôle un serveur distant par le biais d'un Sheil initié par courrier électronique. Génial&nbsp;!<br>Par [http://xavier.leclercq1.free.fr/ Xavier Leclercq] 

----

== Posons le problème...<br>  ==

Imaginons la situation suivante&nbsp;: vous êtes chez vous et désirez accéder au serveur passerelle de votre école ou entreprise.<br>Le moyen le plus simple est sans doute de créer un tunnel ssh sécurisé. Seulement, son fichier /etc/hosts.allow n'autorise que certaines IP fixes à accéder à un service ssh&nbsp;:<br>:sshd daemon (adresses bidons)<br>:sshd: 192.168.0.0/255.255.255.0 195.248.8.0 212.88.242.0 212.11.38.0 

Le mécanisme tcp-warpers rejettera impitoyablement une tentative d'accès non autorisée au service ssh en envoyant un e-mail à l'administrateur pour l'en avertir (/etc/hosts.deny)&nbsp;: 

:sshd:ALL:spawn = (/usr/sbin/safe_finger-l@%h l\<br>/usr/bin/Mail -s&nbsp;%d-%h-%u.deny root) &amp;

Ce qui donnera par exemple&nbsp;:<br>:sshd-212.125.94.152-root.deny<br>Bref, nous sommes ici confronté à un problème&nbsp;: comment accéder au serveur lorsque le client n'a pas d'IP fixe&nbsp;?<br>Plusieurs solutions sont possibles comme la création d'un canal VPN ou l'administration par https... Mail2sh nous propose une autre voie&nbsp;: le contrôle à distance par e-mail. Cette solution est très séduisante&nbsp;: vous pouvez l'utiliser quel que soit l'endroit ou vous vous trouvez, sans aucune modification de la configuration du client (le seul critère étant de pouvoir accéder au courrier électronique) 

<br> 

== Le principe<br>  ==

Vous envoyez un courrier à une adresse contrôlée par votre serveur passerelle. Cette adresse devra être spécifique à cette utilisation.<br>Le premier réflexe sera de la baptiser mail2sh@VotreNomdeDomaine mais il est préférable de la nommer autrement pour une raison de sécurité.<br>A la réception du courrier, l'utilitaire mail2sh est appelé. Il vérifiera la légitimité du courrier. Le mécanisme d'authentification compare le nom de l'utilisateur et son mot de passe au couple username / password de son fichier de configuration. En cas de non rejet, Mail2sh ouvre un Shell et exécute les commandes qui se trouvent à la suite dans le corps du message. Ces dernières seront toutes soumises à l'interpréteur de commandes que l'utilisateur emploie. Attention&nbsp;: les utilisateurs référencés dans le fichier de configuration (mail2sh.conf) ont le droit d'utiliser mail2sh mais ceux-ci devront aussi exister obligatoirement dans /etc/passwd.<br> 

<br> 

== Mise en place<br>  ==

Télécharger la version 1.1 à l'adresse http://jmans.gyptis.orq/nouveau/ce_que_je_fais/logiciels_softs/mail2sh/index.asp. Le logiciel est disponible sous format RPM, deb ou tgz. L'auteur, José Mans, que j'ai contacté m'a affirmé que bientôt les sources PERL de Mail2sh seraient disponibles. Pour l'instant, vous pouvez utiliser gratuitement mail2sh dans un but non commercial.<br>Mail2sh v1.1 n'est pas sous licence GPL. 

Voici les opérations à effectuer 

#Lancez la commande visudo pour y ajouter la ligne&nbsp;:<br>mail2sh ALL = (root) NOPASSWD: /var/lib/mail2sh/mail2s<br> 
#Créez une adresse de courrier électronique, par exemple mail2sh@qqchose.<br> 
#Editez (ou créez) le fichier forward (sendmail ou qmail) situé sous l'arborescence de l'utilisateur mail2sh pour y ajouter 
#:vi /home/e-smith/files/users/ mail2sh/.qmail<br> 
#::'''|'''/usr/bin/sudo /var/lib/mail2sh/mail2sh 
#:Le contenu du courrier électronique reçu est envoyé à mail2sh qui est exécuté en tant que root (sudo) Editez le fichier 
#:/etc/mail2sh/mail2sh.conf<br>''single user on''
#:''user default root''
#:''site xl''
#:''password ceciestmonmotdepasseenclair''
#:''reply-to xI@endymion.homelinux.com''<br><br>L'utilisateur xl doit exister mais ne doit pas nécessairement avoir de concordance de mot de passe entre /etc/passwd et mail2sh.conf. 
#Vérifiez le fichier /etc/passwd&nbsp;: la possibilité d'ouverture d'un Shell est ici obligatoire. Autrement dit, si vous avez quelque chose comme: 
#:xl:x:5021:5021:xl xl:/home/e-smith/files/users/xl:/bin/false 
#:Transformez la ligne en 
#:xl:x:5021:5021:xl xl:/home/e-smith/files/users/xl:/bin/bash

== Un premier essai<br>  ==

Editez un fichier «mail» qui contiendra par exemple 

:site xl ceciestmonmotdepasseenclair 
:pwd<br> 
:ls 
:mail root &lt; /etc/mail2sh/mel 
:quit

Si vous n'indiquez pas un bon mot de passe (identique à celui de mail2 sh.conf), vous recevrez le message suivant<br> 

:«&nbsp;Hello, authentification error, please contacte your administrator 
:thx 
:mail2sh (c) José Mans (mail2sh-list®gyp-tis.org) 
:http://mans.gyptis.org/&nbsp;»

Il est configurable car il s'agit du fichier /etc/mail2sh/mail2sh.noauth. 

Si par contre, l'authentification se passe convenablement, deux courriers sont envoyés. Le premier est le résultat des commandes Shell (Is listera les fichiers de ~xl). Le deuxième est le contenu du fichier «mail» (résultant de la commande mail root &lt; /etc/mail2sh/mel)<br> 

<br> 

== Comment renforcer la sécurité&nbsp;?<br>  ==

Il existe un moyen de renforcer la sécurité en utilisant GPG. Cet utilitaire est normalement installé d'office sous Linux. Vous devez le lancer une<br>première fois pour l'initialiser (sans oublier de modifier le fichier options). Puis vous créez vos clés et encodez le fichier «mail» d'essai.<br>Mais comment décoder le courrier électronique&nbsp;?<br>:''(echo "votrepassphrase"; cat mel.gpg) l gpg -batch -passphrase-fd 0 '' 

Une solution possible est de récupérer et d'installer «pgp-mine-handler.pl» à l'adresse&nbsp;: [[www.david-guembel.de/gpg-handler.html|www.david-guembel.de/gpg-handler.html]]<br><br>Le principe est de créer un tube qui décodera le courrier électronique codé gpg<br>:cat mel.gpg I /usr/bin/pgp-mime-handler.pl l more 

Il ne vous reste plus qu'à transformer votre fichier ''.forward'' ou ''.qmail'' vi /home/e-smith/files/users/ mail2sh/.qmail<br>:'''l'''/usr/bin/pgp-mime-handler.pl I /usr/bin/sudo /var/lib/mail2sh/mail2sh

Il y a quand même un inconvénient&nbsp;: la «passphrase» est demandée pour décoder le courrier électronique. Comme il s'agit d'un processus batch, nous ne pouvons employer l'utilitaire «kdialog» appelé par défaut par le script Perl «gpg-mime-handler.pl» Il sera nécessaire de remplacer cet appel par:<br>:$main::dialog_program = "cat /path/to/the/passphrase.txt";<br>Ce qui malheureusement représente un bien faible niveau de sécurité&nbsp;!<br> 

<br>

== Améliorations<br>  ==

A propos de GPG, José Mans déclare&nbsp;: «Disons que GPG peut coder les messages ou envoyer une signature numérique codée avec la clé privée.<br>Mails2sh emploiera toujours la même clef publique, soit pour vérifier le destinataire, soit pour décoder le mail&nbsp;; c'est en fonction de ce que voudra faire<br>celui qui expédie le courrier...&nbsp;»<br>Mail2sh est un utilitaire quasi unique en son genre. Félicitations à son auteur d'avoir eu cette idée. Mais, attention aux aspects de sécurité que son utilisation implique!<br><br> 

<br><br>