SécurixOS: نظام تشغيل أساسي لمحطة عمل آمنة

[!NOTE] هذا المشروع في مرحلة ألفا، ولا يتم تقديم أي دعم في الوقت الحالي.

الأهداف

SécurixOS هو توزيعة NixOS طورتها DINUM لتجهيز حواسيب آمنة لإدارة الأنظمة والمكتبيات والتطوير، بهدف معالجة المعلومات غير المحمية في مرحلة أولى ثم المعلومات ذات التوزيع المقيّد لاحقًا.

وهو يشكّل نموذجًا لحاسوب آمن مصمم لإتاحة الوصول إلى بيئات الإنتاج واستخدامات حرجة أخرى، مع ضمان مستوى أمان متغيّر حسب الإعدادات المستخدمة.

بفضل NixOS، يمكن إعادة إنشاء هذا النموذج من الحاسوب الآمن لحالات استخدام متنوعة: محطة متعددة الوكلاء، محطة متعددة المستويات، محطة على الشبكة الداخلية فقط، إلخ، مع فرق مختلفة وسجلات VPN مختلفة.

مبني وفقًا لتوصيات ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

الهدف المعماري التقني

نظام التشغيل

يعتمد Sécurix على NixOS مع نواة Linux مخصّصة وفقًا لقواعد التقوية الخاصة بـ ANSSI، مع إمكانية تعطيل بعضها حسب الحاجة.

وحدات الأمان المدمجة

• إعداد منهجي وفقًا لتوصيات ANSSI لأنظمة GNU/Linux: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• دعم متقدم لـ TPM2 وYubikey لإدارة مفاتيح المصادقة.
• تشفير البيانات باستخدام age أو خادم Vault.
• تسجيل مركزي لـ Secure Boot مع إدارة PK/KEK.
• الاتصال بمحطة العمل عبر FIDO2، وكلمة المرور ليست سوى وضع احتياطي.
• فك تشفير المحطة باستخدام مفتاح FIDO2 (يتم إنشاء مفتاح احتياطي عند التثبيت).

الميزات قيد التطوير (حسب الأولوية)

• تعزيز الأمان

  • تطبيق توصيات ANSSI لتقوية إضافية: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • إضافة إعداد بئر سجلات (puits de traces) لإرسال أنشطة نظام Sécurix.

• التهيئة السريعة والإدارة المركزية

  • إنشاء خادم "phone home" يتيح الإضافة التلقائية لـ:
    • مفتاح SSH TPM2 الخاص بالنظام إلى مستودع البنية التحتية.
    • التصريح لفك تشفير الأسرار عبر age (أو تكامل مستقبلي مع Vault).
    • يمكن إدراج هذا الجزء من البنية التحتية في عملية أعمال تهدف إلى إعداد Sécurix جديد لأحد الوكلاء.

• دعم متقدم لمفاتيح الأمان

  • إدارة وتدوير مفاتيح Secure Boot باستخدام TPM2 لتعزيز Secure Boot.

المساهمة

المساهمات مفتوحة للمشروع، ويُنصح بامتلاك خبرة في NixOS لتسهيل الدمج. راجع التذاكر المفتوحة ودليل المساهمة للمشاركة. يمكنك فتح تذاكر لاقتراح ميزات ومناقشة البنية المعمارية. سيتم إغلاق طلبات السحب (PR) المولّدة بالذكاء الاصطناعي دون مراجعة أو اختبار، وقد يتم حظر مساهمات المؤلف نفسه لاحقًا.

هذا الملف README بالفرنسية، لكن بقية الكود والتذاكر وطلبات السحب بالإنجليزية.

تشغيل الاختبارات

تعتمد الاختبارات على إطار اختبار NixOS. وهي تتيح تشغيل Sécurix في آلة افتراضية ثم تنفيذ اختبارات على سلوك هذه الآلة الافتراضية.

nix-build -A tests

التراخيص

يُوزَّع Sécurix تحت ترخيص MIT. راجع مجلد LICENSES لمزيد من التفاصيل.