SécurixOS : Base OS per postazioni sicure

[!NOTE] Questo progetto è in alpha, al momento non è previsto alcun supporto.

Obiettivi

SécurixOS è una distribuzione NixOS sviluppata dalla DINUM per dotare di computer sicuri per l'amministrazione di sistema, l'office automation e lo sviluppo al fine di trattare inizialmente informazioni Non Protette e successivamente eventualmente informazioni a Diffusione Ristretta.

Costituisce un modello di PC sicuro progettato per consentire accessi alla produzione e altri usi critici garantendo un livello di sicurezza variabile a seconda della configurazione impiegata.

Grazie a NixOS, questo modello di PC sicuro è reistanziabile per casi d'uso variabili: postazione multi-agente, postazione multi-livello, postazione solo intranet, ecc. con team diversi, sorgenti VPN diverse.

Costruito secondo le raccomandazioni dell'ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

Architettura tecnica di riferimento

Sistema operativo

Sécurix si basa su NixOS con un kernel Linux personalizzato conformemente alle regole ANSSI di hardening, alcune delle quali sono disattivabili in base alle necessità.

Moduli di sicurezza integrati

• Configurazione sistematica secondo le raccomandazioni dell'ANSSI per i sistemi GNU/Linux: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• Supporto avanzato di TPM2 e Yubikey per la gestione delle chiavi di autenticazione.
• Cifratura dei dati tramite age o un server Vault.
• Enrollment centralizzato per Secure Boot con gestione PK/KEK.
• Connessione alla postazione di lavoro in FIDO2 e la password è solo una modalità di emergenza.
• Decifratura della postazione tramite una chiave FIDO2 (una chiave di backup viene generata all'installazione).

Funzionalità in sviluppo (per priorità)

• Rafforzamento della sicurezza

  • Applicazione delle raccomandazioni ANSSI per un hardening complementare: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Aggiunta della configurazione di un pozzo di log per l'invio delle attività di un sistema Sécurix.

• Onboarding rapido e gestione centralizzata

  • Implementazione di un server "phone home" che consente di aggiungere automaticamente:
    • La chiave SSH TPM2 del sistema al repository di infrastruttura.
    • L'autorizzazione per decifrare i segreti tramite age (o futura integrazione con Vault).
    • Questo elemento di infrastruttura potrà inserirsi in un processo aziendale volto a configurare un nuovo Sécurix per un agente.

• Supporto avanzato delle chiavi di sicurezza

  • Gestione e rotazione delle chiavi Secure Boot con TPM2 per rafforzare Secure Boot.

Contribuire

I contributi sono aperti al progetto, si raccomanda di avere una competenza su NixOS per facilitarne l'integrazione. Consultare i ticket aperti e la guida alla contribuzione per partecipare. È possibile aprire ticket per proporre funzionalità e discutere dell'architettura. Le PR generate da IA senza revisione né test saranno chiuse, i contributi dello stesso autore potranno essere bloccati in seguito.

Questo README è in francese, ma il resto del codice, le issue e le PR sono in inglese.

Avvio dei test

I test sono basati sul framework di test NixOS. Consentono di avviare Sécurix in una VM e poi eseguire test sul comportamento di questa VM.

nix-build -A tests

Licenze

Sécurix è distribuito sotto licenza MIT. Vedere la cartella LICENSES per maggiori dettagli.