fy59/arch-system
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
arch-system/docs/security.md

1.8 KiB
Raw Blame History

Sécurité du dépôt

Le dépôt est public. Ne jamais y stocker :

  • clés Secure Boot ;
  • clés SSH privées ou clés hôte ;
  • mots de passe d’application ;
  • .netrc ;
  • tokens Forgejo ;
  • configurations WireGuard ;
  • connexions NetworkManager ;
  • bases SQLite ou données d’enquête ;
  • sauvegardes brutes de /root.

Les règles sudoers fournies sont limitées à des helpers root contrôlés. Ne jamais autoriser sans mot de passe /usr/bin/systemctl, /usr/bin/tee, un shell ou un éditeur généraliste.

Décisions avant restauration du réseau et de la chaîne de démarrage

Le fichier nftables versionné vise wg0 ; le relevé du poste visait wlp1s0, avec WireGuard en échec. Deux politiques sont possibles, à choisir explicitement : VPN obligatoire (bloquer le trafic non autorisé quand le tunnel tombe, tout en prévoyant les flux de connexion et de secours) ou VPN facultatif (autoriser des flux directs définis et surveiller la panne du tunnel). Pour chacune, dresser une table DNS/Web/SSH, boucle locale, impression et flux VM, puis tester la coupure du VPN et le retour du réseau sans perdre l’accès d’administration. Avant ce choix, ne pas copier le pare-feu versionné et ne pas utiliser deploy.sh --all.

Pour Secure Boot, comparer les clés conservées hors Git, l’ESP réellement montée, le chargeur EFI utilisé, les noyaux et les fichiers suivis par sbctl list-files/verify selon la version installée. Le hook pacman sbctl masqué sur ArchASP ne suffit pas à justifier sa réactivation ; la signature éventuelle par post-hook mkinitcpio ne prouve pas la chaîne complète. Ne pas recréer/enrôler de clés ou changer ESP_PATH sans la décision de l’opérateur et un chemin de secours démarrable. Voir la procédure.