SécurixOS: базовая ОС для защищённой рабочей станции

[!NOTE] Этот проект находится в стадии alpha, поддержка на данный момент не предоставляется.

Цели

SécurixOS — это дистрибутив NixOS, разработанный DINUM для оснащения защищённых компьютеров, предназначенных для системного администрирования, офисной работы и разработки, с целью обработки в первую очередь информации категории «Non Protégées», а впоследствии, возможно, и информации категории «Diffusion Restreinte».

Он представляет собой модель защищённого ПК, разработанную для обеспечения доступа к производственной среде и других критически важных сценариев использования, гарантируя при этом уровень безопасности, зависящий от применяемой конфигурации.

Благодаря NixOS эта модель защищённого ПК может быть воспроизведена для различных сценариев использования: рабочая станция для нескольких агентов, многоуровневая рабочая станция, рабочая станция только с доступом в интранет и т. д., с разными командами и разными VPN-инфраструктурами.

Разработан в соответствии с рекомендациями ANSSI: https://cyber.gouv.fr/publications/recommandations-relatives-ladministration-securisee-des-si.

Целевая техническая архитектура

Операционная система

Sécurix основан на NixOS с кастомизированным ядром Linux в соответствии с правилами усиления безопасности ANSSI, некоторые из которых могут быть отключены при необходимости.

Встроенные модули безопасности

• Системная конфигурация в соответствии с рекомендациями ANSSI для систем GNU/Linux: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
• Расширенная поддержка TPM2 и Yubikey для управления ключами аутентификации.
• Шифрование данных с помощью age или сервера Vault.
• Централизованная регистрация для Secure Boot с управлением PK/KEK.
• Вход на рабочую станцию через FIDO2, пароль используется только как резервный способ.
• Расшифровка рабочей станции с помощью ключа FIDO2 (резервный ключ генерируется при установке).

Функциональность в разработке (по приоритету)

• Усиление безопасности

  • Применение рекомендаций ANSSI для дополнительного усиления защиты: https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux.
  • Добавление конфигурации сборщика журналов для отправки данных об активности системы Sécurix.

• Быстрый онбординг и централизованное управление

  • Развёртывание сервера «phone home», позволяющего автоматически добавлять:
    • SSH-ключ TPM2 системы в инфраструктурный репозиторий.
    • Разрешение на расшифровку секретов через age (или будущую интеграцию с Vault).
    • Этот инфраструктурный компонент сможет встраиваться в бизнес-процесс, направленный на развёртывание нового Sécurix для агента.

• Расширенная поддержка ключей безопасности

  • Управление и ротация ключей Secure Boot с помощью TPM2 для усиления Secure Boot.

Участие в проекте

Вклад в проект открыт для всех; рекомендуется иметь опыт работы с NixOS для облегчения интеграции. Ознакомьтесь с открытыми тикетами и руководством по участию, чтобы присоединиться. Вы можете открывать тикеты для предложения функций и обсуждения архитектуры. PR, сгенерированные ИИ без рецензирования и тестирования, будут закрыты; последующие вклады того же автора могут быть заблокированы.

Этот README на французском языке, но остальной код, issues и PR — на английском.

Запуск тестов

Тесты основаны на фреймворке тестирования NixOS. Они позволяют запустить Sécurix в виртуальной машине и затем выполнить тесты поведения этой ВМ.

nix-build -A tests

Лицензии

Sécurix распространяется под лицензией MIT. Подробности см. в папке LICENSES.