Durcissement du système

L'essentiel

• Référentiel : recommandations de configuration d'un système GNU/Linux de l'ANSSI ¹ et guide d'hygiène ². Le dossier en retient un sous-ensemble adapté à une machine unique administrée à distance.
• Chiffrement disque complet en LUKS2. Le choix du mode de déverrouillage (TPM2 seul, TPM2 + PIN, mot de passe) conditionne la possibilité de redémarrer la Box à distance : non tranché.
• Aucun service n'écoute sur le réseau hormis le reverse proxy (443) et SSH (via VPN). Tout le reste est lié à localhost ou au réseau interne des containers.
• Mises à jour de sécurité automatiques pour l'OS ; mises à jour applicatives planifiées dans une fenêtre de maintenance avec possibilité de retour arrière (snapshot).
• Journaux conservés entre 6 mois et 1 an (recommandation CNIL) ⁹, protégés en intégrité, horodatés par NTP.

Toutes les commandes et paramètres ci-dessous sont des propositions à valider sur la machine cible ; la distribution n'est pas encore choisie (voir Linux).

Démarrage : Secure Boot et UEFI

Chiffrement du disque

LUKS2

Le chiffrement complet du disque système et du disque de données utilise LUKS2 via cryptsetup (GPL-2.0 ou ultérieure) ⁴. Choix proposés : chiffre AES-XTS 512 bits, dérivation Argon2id (défaut LUKS2), chiffrement de tout le disque et non d'un simple répertoire, y compris le swap.

Avec deux SSD en miroir (voir Sauvegardes), chaque SSD est chiffré séparément (LUKS sous mdadm ou Btrfs) ou le volume miroir est chiffré au-dessus : à trancher avec la question du RAID.

Mode de déverrouillage : la décision structurante

systemd-cryptenroll gère l'enrôlement TPM2, FIDO2, PKCS#11, PIN et clé de récupération sur un volume LUKS2 ³. Deux points de sa documentation comptent ici : par défaut, sans option --tpm2-pcrs, l'enrôlement n'est lié à aucun PCR (il faut donc choisir explicitement les registres, par exemple ceux du chargeur et de l'état Secure Boot) ; et le « PIN » accepte tout caractère, pas seulement des chiffres ³.

Conséquences pratiques à documenter dans le contrat : qui connaît le PIN ou la phrase de passe, qui détient la clé de récupération, procédure de remplacement de carte mère (le TPM change, la clé de récupération est alors indispensable).

Chiffrement des sauvegardes

Les sauvegardes quittent le périmètre physique ; elles sont chiffrées avant de sortir de la Box, avec une clé distincte de la clé LUKS. restic ¹² et BorgBackup chiffrent côté client avec authentification (voir Sauvegardes). La clé du dépôt est détenue par le client ; le prestataire n'y a pas accès sauf accord explicite documenté.

Gestion des secrets

Règles quelles que soient les approches : jamais de secret dans une image Docker, dans un journal ou dans le prompt système ; rotation à chaque départ d'un administrateur ; inventaire des secrets tenu à jour (quoi, où, qui, dernière rotation).

Mots de passe : la CNIL exige un niveau minimal équivalent à 80 bits d'entropie sans mesure complémentaire (délibération 2022-100) ¹⁰. Les mots de passe des comptes utilisateurs et administrateurs sont générés (gestionnaire de mots de passe), jamais choisis, et doublés par un second facteur.

Isolation des services

Pare-feu

Politique par défaut : tout entrant refusé, tout sortant limité. nftables est le successeur d'iptables dans le noyau Linux ⁷ ; ufw ou firewalld sont des interfaces acceptables si l'équipe préfère, tant que la politique reste identique.

Docker manipule lui-même les règles de pare-feu et peut contourner ufw : ne publier aucun port sur 0.0.0.0 hormis le reverse proxy, et vérifier le résultat effectif avec nft list ruleset et un scan depuis un autre poste.

SSH

• Authentification par clé uniquement (PasswordAuthentication no), clés ed25519, une clé par administrateur nominatif.
• PermitRootLogin no ; élévation par sudo journalisée.
• Second facteur pour SSH : soit le VPN lui-même (accès nominatif avec MFA à l'IdP du VPN), soit un module TOTP/FIDO2 sur SSH. Proposition : VPN avec MFA + clé SSH, ce qui donne deux facteurs indépendants.
• Écoute limitée à l'interface VPN.
• Bannière légale, MaxAuthTries 3, ClientAliveInterval pour fermer les sessions inactives.
• Journal des sessions administrateur exploitable a posteriori (voir Accès prestataire).

Mises à jour

Fenêtre de maintenance type : un soir par mois, annoncée au cabinet, avec télémaintenance ouverte pour la durée de l'intervention seulement.

Gestion des vulnérabilités

• Veille : abonnements aux avis de sécurité de la distribution, de l'interface web retenue, du runtime d'inférence et de la base vectorielle. L'historique 2026 des CVE d'Open WebUI (contournement de permissions RAG) montre que cette veille n'est pas optionnelle (voir Interface).
• Scan des images : Trivy scanne images, systèmes de fichiers et dépôts, détecte vulnérabilités, mauvaises configurations et secrets, et génère un SBOM ⁸. Fréquence proposée : à chaque mise à jour et une fois par mois.
• SBOM léger : liste des images (nom, tag, digest), des paquets système principaux et des modèles (nom, somme de contrôle), tenue dans le dépôt de configuration. C'est aussi une demande de la CNIL pour les systèmes d'IA (nomenclature logicielle) ¹¹ et de l'ANSSI (chaîne d'approvisionnement).
• Scan externe : une fois par trimestre, un scan de ports depuis l'extérieur du cabinet pour vérifier qu'aucun port n'est exposé.

Journaux

Horodatage et temps

Des journaux non horodatés de manière fiable sont inexploitables en cas d'incident. NTP (chrony ou systemd-timesyncd) vers des serveurs de temps de confiance, ou vers le serveur de temps interne du cabinet s'il existe ; vérification de la dérive dans le monitoring. Fuseau horaire explicite (Europe/Paris) et journaux en UTC ou avec décalage indiqué.

Ce que ce durcissement ne fait pas

• Il ne protège pas contre un administrateur légitime malveillant : c'est le rôle du contrat, du journal inaltérable et de la séparation des clés.
• Il ne compense pas un poste utilisateur compromis : la session de l'utilisateur est alors utilisable par l'attaquant, avec les droits de l'utilisateur.
• Il ne rend pas la Box inviolable : il rend chaque étape coûteuse et visible.

Questions ouvertes

Ce qu'il reste à tester

• Exercice d'incident : ransomware sur un poste du cabinetUn ransomware exécuté sur un poste utilisateur ayant accès au partage documentaire ne peut ni chiffrer les données de la Box (montage en lecture seule), ni altérer les sauvegardes (dépôt en ajout seul ou hors de portée), et la procédure d'incident permet une reprise sous 2 jours ouvrés avec une notification CNIL préparée dans les 72 heures.À tester
• Redémarrage à distance avec disque chiffré LUKS2 et TPM2Avec systemd-cryptenroll et un enrôlement TPM2 lié aux PCR du démarrage sécurisé, la Box redémarre sans saisie de mot de passe après un redémarrage ordinaire, refuse le déverrouillage automatique après une modification du chargeur ou de la désactivation de Secure Boot, et redevient déverrouillable avec la clé de récupération.À tester
• Scan de vulnérabilités des images Docker de la BoxLes images officielles de la pile retenue ne contiennent aucune vulnérabilité critique exploitable dans le contexte de la Box (services non exposés, réseau interne), et un scan mensuel automatisé avec Trivy plus un SBOM par image permettent de suivre les correctifs sans effort excessif.À tester
• Test de fuite de permissions du RAG (« l'avocat B ne voit jamais A »)Avec un filtre dossier_id calculé côté serveur et imposé par le moteur (RLS PostgreSQL ou JWT Qdrant), aucun chunk ni aucune réponse ne contient un canari hors de la portée de l'utilisateur, même lorsque la barrière applicative est désactivée.À tester
• Test de restauration complète sur machine viergeUne Box complète (système, configuration, base d'utilisateurs et permissions, index, journaux) peut être reconstruite sur une machine vierge en moins d'un jour ouvré à partir de la sauvegarde hors site chiffrée et des clés sous séquestre, sans intervention sur la Box d'origine.À tester
• Valider l'installation reproductibleUne personne compétente en administration Linux mais sans connaissance préalable du projet réinstalle la Box en moins d'une demi-journée à partir de la page Installation et du dépôt de configuration, et obtient le même résultat à la checklist de validation que l'installation initiale.À tester