SécurixOS : 보안 워크스테이션용 기본 OS

[!NOTE] 이 프로젝트는 알파 단계이며, 현재로서는 어떠한 지원도 제공되지 않습니다.

목표

SécurixOS는 DINUM이 시스템 관리, 사무 업무 및 개발을 위한 보안 컴퓨터에 탑재하기 위해 개발한 NixOS 배포판으로, 우선적으로 비보호 정보를 처리하고 이후 필요에 따라 배포 제한 정보까지 처리하는 것을 목표로 합니다.

이는 사용된 구성에 따라 다양한 수준의 보안을 보장하면서 프로덕션 접근 및 기타 중요 용도에 사용할 수 있도록 설계된 보안 PC 모델을 구성합니다.

NixOS 덕분에 이 보안 PC 모델은 다양한 사용 사례에 맞게 재생성할 수 있습니다: 다중 에이전트 워크스테이션, 다중 레벨 워크스테이션, 인트라넷 전용 워크스테이션 등으로, 서로 다른 팀과 서로 다른 VPN 소스를 사용할 수 있습니다.

ANSSI 권장 사항에 따라 구축되었습니다: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

기술 아키텍처 대상

운영 체제

Sécurix는 ANSSI 강화 규칙에 따라 맞춤형 Linux 커널을 사용하는 NixOS를 기반으로 하며, 일부는 필요에 따라 비활성화할 수 있습니다.

내장 보안 모듈

• GNU/Linux 시스템에 대한 ANSSI 권장 사항에 따른 체계적 구성: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• 인증 키 관리를 위한 TPM2 및 Yubikey 고급 지원.
• age 또는 Vault 서버를 사용한 데이터 암호화.
• PK/KEK 관리를 통한 Secure Boot 중앙 집중식 등록.
• FIDO2를 통한 워크스테이션 로그인, 비밀번호는 비상 모드일 뿐입니다.
• FIDO2 키를 사용한 워크스테이션 복호화 (설치 시 복구 키가 생성됩니다).

개발 중인 기능 (우선순위순)

• 보안 강화

  • 추가 강화를 위한 ANSSI 권장 사항 적용: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Sécurix 시스템의 활동 전송을 위한 로그 싱크 구성 추가.

• 신속한 온보딩 및 중앙 집중식 관리

  • 다음을 자동으로 추가할 수 있는 "phone home" 서버 구축:
    • 시스템의 TPM2 SSH 키를 인프라 저장소에 추가.
    • age를 통한 시크릿 복호화 권한 부여 (또는 향후 Vault 통합).
    • 이 인프라 구성 요소는 에이전트를 위한 새로운 Sécurix를 설정하는 비즈니스 프로세스에 통합될 수 있습니다.

• 보안 키 고급 지원

  • Secure Boot를 강화하기 위한 TPM2를 사용한 Secure Boot 키 관리 및 교체.

기여

프로젝트에 대한 기여는 열려 있으며, 통합을 용이하게 하기 위해 NixOS 전문 지식을 갖추는 것이 권장됩니다. 참여하려면 열린 이슈와 기여 가이드를 확인하세요. 기능을 제안하고 아키텍처에 대해 논의하기 위해 이슈를 열 수 있습니다. 검토나 테스트 없이 AI가 생성한 PR은 닫히며, 동일 작성자의 기여는 이후 차단될 수 있습니다.

이 README는 프랑스어로 작성되었지만, 나머지 코드, 이슈 및 PR은 영어로 작성됩니다.

테스트 실행

테스트는 NixOS 테스트 프레임워크를 기반으로 합니다. 이를 통해 VM에서 Sécurix를 실행한 다음 해당 VM의 동작에 대한 테스트를 실행할 수 있습니다.

nix-build -A tests

라이선스

Sécurix는 MIT 라이선스로 배포됩니다. 자세한 내용은 LICENSES 폴더를 참조하세요.