SécurixOS : セキュアワークステーション向けベースOS

[!NOTE] このプロジェクトは アルファ 段階であり、現時点でサポートは提供されていません。

目的

SécurixOS は DINUM によって開発された NixOS ディストリビューションで、システム管理、オフィスワーク、開発のためのセキュアなコンピュータを提供し、まずは非保護情報を、その後必要に応じて拡散制限情報を扱うことを目的としています。

これは、本番環境へのアクセスやその他の重要な用途を可能にするために設計されたセキュアPCのモデルであり、採用する構成に応じて可変的なセキュリティレベルを保証します。

NixOS のおかげで、このセキュアPCモデルは、マルチエージェントワークステーション、マルチレベルワークステーション、イントラネット専用ワークステーションなど、さまざまなユースケースに対して、異なるチームや異なるVPN基盤で再インスタンス化することができます。

ANSSI の推奨事項に従って構築されています: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

技術アーキテクチャのターゲット

オペレーティングシステム

Sécurix は NixOS をベースにしており、ANSSI のハードニング規則に従ってカスタマイズされた Linux カーネルを備えています。その一部は必要に応じて無効化できます。

統合されたセキュリティモジュール

• GNU/Linux システムに関する ANSSI の推奨事項に従ったシステム構成: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• 認証キー管理のための TPM2 および Yubikey の高度なサポート。
• age または Vault サーバーを使用したデータの暗号化。
• PK/KEK 管理を伴う Secure Boot の集中登録。
• FIDO2 によるワークステーションへのログイン。パスワードは緊急時のみの手段です。
• FIDO2 キーを使用したワークステーションの復号(インストール時にバックアップキーが生成されます)。

開発中の機能(優先順位順)

• セキュリティの強化

  • 補完的なハードニングのための ANSSI 推奨事項の適用: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Sécurix システムのアクティビティ送信用のログシンクの構成の追加。

• 迅速なオンボーディングと集中管理

  • 以下を自動的に追加できる「phone home」サーバーの導入:
    • システムの TPM2 SSH キーをインフラストラクチャリポジトリに追加。
    • age を介したシークレットの復号の許可(または将来の Vault との統合)。
    • このインフラストラクチャの一部は、エージェント用の新しい Sécurix をセットアップすることを目的としたビジネスプロセスに組み込むことができます。

• セキュリティキーの高度なサポート

  • Secure Boot を強化するための TPM2 による Secure Boot キーの管理とローテーション。

コントリビュート

プロジェクトへのコントリビュートは歓迎されていますが、統合を容易にするために NixOS の専門知識を持つことを推奨します。 参加するには、オープンなチケットとコントリビューションガイドをご覧ください。 機能を提案したり、アーキテクチャについて議論するためにチケットを開くことができます。 レビューやテストなしで AI によって生成された PR はクローズされ、同一作者によるコントリビュートはその後ブロックされる可能性があります。

この README はフランス語ですが、残りのコード、issue、PR は英語です。

テストの実行

テストは NixOS テストフレームワークに基づいています。これにより、VM 内で Sécurix を起動し、その VM の動作に関するテストを実行できます。

nix-build -A tests

ライセンス

Sécurix は MIT ライセンスの下で配布されています。詳細については LICENSES フォルダをご覧ください。