SécurixOS: Basis-Betriebssystem für gesicherte Arbeitsplätze

[!NOTE] Dieses Projekt befindet sich in der Alpha-Phase, derzeit wird kein Support angeboten.

Ziele

SécurixOS ist eine von der DINUM entwickelte NixOS-Distribution, um gesicherte Computer für Systemadministration, Büroarbeit und Entwicklung auszustatten, um zunächst nicht geschützte Informationen und möglicherweise später Informationen mit eingeschränkter Verbreitung zu verarbeiten.

Es stellt ein Modell eines gesicherten PCs dar, das entwickelt wurde, um Zugriffe auf die Produktion und andere kritische Anwendungsfälle zu ermöglichen und dabei ein je nach eingesetzter Konfiguration variables Sicherheitsniveau zu gewährleisten.

Dank NixOS ist dieses Modell eines gesicherten PCs für variable Anwendungsfälle neu instanziierbar: Multi-Agenten-Arbeitsplatz, Multi-Level-Arbeitsplatz, nur Intranet-Arbeitsplatz usw. mit unterschiedlichen Teams, unterschiedlichen VPN-Stämmen.

Erstellt gemäß den Empfehlungen der ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

Ziel der technischen Architektur

Betriebssystem

Sécurix basiert auf NixOS mit einem angepassten Linux-Kernel gemäß den ANSSI-Härtungsregeln, von denen einige je nach Bedarf deaktivierbar sind.

Integrierte Sicherheitsmodule

• Systematische Konfiguration gemäß den Empfehlungen der ANSSI für GNU/Linux-Systeme: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• Erweiterte Unterstützung von TPM2 und Yubikey für die Verwaltung von Authentifizierungsschlüsseln.
• Datenverschlüsselung mit age oder einem Vault-Server.
• Zentralisierte Registrierung für Secure Boot mit PK/KEK-Verwaltung.
• Anmeldung am Arbeitsplatz per FIDO2, das Passwort dient nur als Notfallmodus.
• Entschlüsselung des Arbeitsplatzes mit einem FIDO2-Schlüssel (bei der Installation wird ein Ersatzschlüssel generiert).

Funktionen in Entwicklung (nach Priorität)

• Sicherheitsverstärkung

  • Anwendung der ANSSI-Empfehlungen für eine ergänzende Härtung: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Hinzufügen der Konfiguration einer Protokollsenke für die Übermittlung der Aktivitäten eines Sécurix-Systems.

• Schnelles Onboarding und zentralisierte Verwaltung

  • Einrichtung eines "Phone-Home"-Servers, der automatisch Folgendes hinzufügen kann:
    • Den SSH-TPM2-Schlüssel des Systems zum Infrastruktur-Repository.
    • Die Berechtigung zum Entschlüsseln der Secrets via age (oder zukünftige Integration mit Vault).
    • Dieses Infrastruktur-Element kann sich in einen Geschäftsprozess einfügen, der darauf abzielt, ein neues Sécurix für einen Mitarbeiter einzurichten.

• Erweiterte Unterstützung von Sicherheitsschlüsseln

  • Verwaltung und Rotation der Secure-Boot-Schlüssel mit TPM2 zur Verstärkung von Secure Boot.

Mitwirken

Beiträge zum Projekt sind offen, es wird empfohlen, über NixOS-Expertise zu verfügen, um die Integration zu erleichtern. Konsultieren Sie die offenen Tickets und den Beitragsleitfaden, um teilzunehmen. Sie können Tickets eröffnen, um Funktionen vorzuschlagen und über die Architektur zu diskutieren. Von KI generierte PRs ohne Überprüfung und Tests werden geschlossen, Beiträge desselben Autors können anschließend blockiert werden.

Diese README ist auf Französisch, der restliche Code, die Issues und die PRs sind jedoch auf Englisch.

Ausführung der Tests

Die Tests basieren auf dem NixOS-Testframework. Sie ermöglichen es, Sécurix in einer VM zu starten und dann Tests zum Verhalten dieser VM auszuführen.

nix-build -A tests

Lizenzen

Sécurix wird unter der MIT-Lizenz vertrieben. Weitere Details finden Sie im Ordner LICENSES.