SécurixOS: SO base para puesto de trabajo seguro

[!NOTE] Este proyecto está en alfa, por el momento no se ofrece soporte.

Objetivos

SécurixOS es una distribución NixOS desarrollada por la DINUM para equipar ordenadores seguros destinados a la administración de sistemas, la ofimática y el desarrollo, con el fin de tratar en una primera fase información No Protegida y, eventualmente, información de Difusión Restringida.

Constituye un modelo de PC seguro diseñado para permitir accesos a producción y otros usos críticos, garantizando un nivel de seguridad variable según la configuración empleada.

Gracias a NixOS, este modelo de PC seguro es re-instanciable para casos de uso variables: puesto multiagente, puesto multinivel, puesto solo en intranet, etc., con equipos diferentes y raíces de VPN diferentes.

Construido según las recomendaciones de la ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

Objetivo de arquitectura técnica

Sistema operativo

Sécurix se basa en NixOS con un núcleo Linux personalizado conforme a las reglas ANSSI de endurecimiento, algunas de las cuales pueden desactivarse según la necesidad.

Módulos de seguridad integrados

• Configuración sistemática según las recomendaciones de la ANSSI para sistemas GNU/Linux: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• Soporte avanzado de TPM2 y Yubikey para la gestión de claves de autenticación.
• Cifrado de datos mediante age o un servidor Vault.
• Enrolamiento centralizado para Secure Boot con gestión PK/KEK.
• Conexión al puesto de trabajo en FIDO2 y la contraseña es solo un modo de rescate.
• Descifrado del puesto mediante una clave FIDO2 (se genera una clave de rescate durante la instalación).

Funcionalidades en desarrollo (por prioridad)

• Refuerzo de la seguridad

  • Aplicación de las recomendaciones ANSSI para un endurecimiento complementario: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Adición de la configuración de un pozo de trazas para el envío de las actividades de un sistema Sécurix.

• Onboarding rápido y gestión centralizada

  • Puesta en marcha de un servidor "phone home" que permita añadir automáticamente:
    • La clave SSH TPM2 del sistema al repositorio de infraestructura.
    • La autorización para descifrar los secretos mediante age (o integración futura con Vault).
    • Esta pieza de infraestructura podrá insertarse en un proceso de negocio destinado a poner en marcha un nuevo Sécurix para un agente.

• Soporte avanzado de claves de seguridad

  • Gestión y rotación de las claves Secure Boot con TPM2 para reforzar Secure Boot.

Contribuir

Las contribuciones están abiertas al proyecto; se recomienda tener experiencia en NixOS para facilitar su integración. Consulte los tickets abiertos y la guía de contribución para participar. Puede abrir tickets para proponer funcionalidades y discutir sobre la arquitectura. Las PR generadas por IA sin revisión ni pruebas serán cerradas; las contribuciones del mismo autor podrán ser bloqueadas posteriormente.

Este README está en francés, pero el resto del código, las issues y las PR están en inglés.

Ejecución de las pruebas

Las pruebas se basan en el framework de test de NixOS. Permiten lanzar Sécurix en una VM y luego ejecutar pruebas sobre el comportamiento de dicha VM.

nix-build -A tests

Licencias

Sécurix se distribuye bajo licencia MIT. Consulte la carpeta LICENSES para más detalles.