35 lines
1.8 KiB
Markdown
35 lines
1.8 KiB
Markdown
# Sécurité du dépôt
|
||
|
||
Le dépôt est public. Ne jamais y stocker :
|
||
|
||
- clés Secure Boot ;
|
||
- clés SSH privées ou clés hôte ;
|
||
- mots de passe d’application ;
|
||
- `.netrc` ;
|
||
- tokens Forgejo ;
|
||
- configurations WireGuard ;
|
||
- connexions NetworkManager ;
|
||
- bases SQLite ou données d’enquête ;
|
||
- sauvegardes brutes de `/root`.
|
||
|
||
Les règles sudoers fournies sont limitées à des helpers root contrôlés. Ne jamais autoriser sans mot de passe `/usr/bin/systemctl`, `/usr/bin/tee`, un shell ou un éditeur généraliste.
|
||
|
||
## Décisions avant restauration du réseau et de la chaîne de démarrage
|
||
|
||
Le fichier nftables versionné vise `wg0` ; le relevé du poste visait
|
||
`wlp1s0`, avec WireGuard en échec. Deux politiques sont possibles, à choisir
|
||
explicitement : **VPN obligatoire** (bloquer le trafic non autorisé quand le
|
||
tunnel tombe, tout en prévoyant les flux de connexion et de secours) ou
|
||
**VPN facultatif** (autoriser des flux directs définis et surveiller la panne
|
||
du tunnel). Pour chacune, dresser une table DNS/Web/SSH, boucle locale,
|
||
impression et flux VM, puis tester la coupure du VPN et le retour du réseau
|
||
sans perdre l’accès d’administration. Avant ce choix, ne pas copier le
|
||
pare-feu versionné et ne pas utiliser `deploy.sh --all`.
|
||
|
||
Pour Secure Boot, comparer les clés conservées hors Git, l’ESP réellement
|
||
montée, le chargeur EFI utilisé, les noyaux et les fichiers suivis par
|
||
`sbctl list-files`/`verify` selon la version installée. Le hook pacman sbctl
|
||
masqué sur ArchASP ne suffit pas à justifier sa réactivation ; la signature
|
||
éventuelle par post-hook mkinitcpio ne prouve pas la chaîne complète. Ne pas
|
||
recréer/enrôler de clés ou changer `ESP_PATH` sans la décision de l’opérateur
|
||
et un chemin de secours démarrable. Voir [la procédure](reinstall.md).
|