SécurixOS: SO base para estação de trabalho segura

[!NOTE] Este projeto está em alpha, nenhum suporte é oferecido no momento.

Objetivos

SécurixOS é uma distribuição NixOS desenvolvida pela DINUM para equipar computadores seguros para administração de sistemas, escritório e desenvolvimento, a fim de tratar informações Não Protegidas inicialmente e, eventualmente, informações de Difusão Restrita.

Constitui um modelo de PC seguro concebido para permitir acessos à produção e outros usos críticos, garantindo um nível de segurança variável conforme a configuração utilizada.

Graças ao NixOS, este modelo de PC seguro é reinstanciável para casos de uso variáveis: estação multiagente, estação multinível, estação apenas em intranet, etc., com equipes diferentes, origens de VPN diferentes.

Construído segundo as recomendações da ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

Alvo de arquitetura técnica

Sistema operacional

Sécurix baseia-se no NixOS com um kernel Linux personalizado em conformidade com as regras ANSSI de hardening, algumas delas podendo ser desativadas conforme a necessidade.

Módulos de segurança integrados

• Configuração sistemática segundo as recomendações da ANSSI para sistemas GNU/Linux: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• Suporte avançado de TPM2 e Yubikey para a gestão das chaves de autenticação.
• Criptografia dos dados com age ou um servidor Vault.
• Inscrição centralizada para Secure Boot com gestão PK/KEK.
• Conexão à estação de trabalho em FIDO2 e a senha é apenas um modo de recuperação.
• Descriptografia da estação com uma chave FIDO2 (uma chave de recuperação é gerada na instalação).

Funcionalidades em desenvolvimento (por prioridade)

• Reforço da segurança

  • Aplicação das recomendações ANSSI para um hardening complementar: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Adição da configuração de um coletor de logs para o envio das atividades de um sistema Sécurix.

• Onboarding rápido e gestão centralizada

  • Implementação de um servidor "phone home" que permite adicionar automaticamente:
    • A chave SSH TPM2 do sistema ao repositório de infraestrutura.
    • A autorização para descriptografar os segredos via age (ou integração futura com Vault).
    • Esta parte da infraestrutura poderá inserir-se num processo de negócio visando implementar um novo Sécurix para um agente.

• Suporte avançado das chaves de segurança

  • Gestão e rotação das chaves Secure Boot com TPM2 para reforçar o Secure Boot.

Contribuir

As contribuições estão abertas ao projeto; recomenda-se ter experiência em NixOS para facilitar a integração. Consulte os tickets abertos e o guia de contribuição para participar. Você pode abrir tickets para propor funcionalidades e discutir a arquitetura. As PR geradas por IA sem revisão nem teste serão fechadas; as contribuições do mesmo autor poderão ser bloqueadas posteriormente.

Este README está em francês, mas o restante do código, as issues e as PR estão em inglês.

Execução dos testes

Os testes baseiam-se no framework de teste NixOS. Eles permitem iniciar o Sécurix numa VM e depois executar testes sobre o comportamento dessa VM.

nix-build -A tests

Licenças

Sécurix é distribuído sob licença MIT. Consulte a pasta LICENSES para mais detalhes.