Le 20/04/20 à 10:37, Olivier <oza.4...@gmail.com> a écrit : > Bonjour, > > Ici ou là, on peut lire des procédures ou tuto conseillant de consigner ses > données sensibles (clés privées, mot de passe, PKI ...) et applications > associées sur une machine dédiée, hors réseau, éteinte quand elle n'est pas > utilisée.
Il faudrait détailler le besoin, car j'avoue ne pas comprendre l'intérêt de mettre une clé privée sur une machine éteinte… (sauf éventuellement pour une archive chiffrée qu'on aura probablement pas besoin d'ouvrir, dans ce cas on met au chaud la clé de déchiffrement et c'est pas très grave que ce soit fastidieux à récupérer) Et une machine hors réseau… certes c'est un bon moyen d'éviter les intrusions, mais si c'est pour promener des datas sensibles sur une clé usb ça me semble pas bcp mieux question sécurité. > Pourtant utiliser des VM est très pratique et économique. C'est sûr qu'il vaut mieux une VM sans réseau, éteinte la plupart du temps, qu'un PC sans réseau qui attend qu'on l'allume, ça prend moins de place dans le bureau, mais faut envisager que le PC qui héberge la VM peut être corrompu, quel degré de corruption faut-il pour lire les données de la VM, est-ce plus simple ou plus facile que de lire les infos sur le PC dédié à ça). > Qui a déjà conservé des données sensibles dans une VM KVM ? > Quelles mesures particulières a-t-il prises pour protéger ses données ? Les même que d'habitude, faire le tour des questions qui doit pouvoir y accéder / qui pourrait y accéder / quand / comment / etc. Et pour chaque solution retenue regarder ce qu'il faut casser comme serrures pour accéder au contenu protégé, et choisir le meilleur ratio confort d'usage / sécurité des données en fonction du risque qu'on accepte de prendre. > - mot de passe pour protéger le lancement de la VM (est-ce que ça existe ?) > - mot de passe pour le chiffrement du disque de la VM > - suppression ou configuration spéciale de sshd ou plus généralement du > réseau Je ne vois pas vraiment la sécurité supplémentaire que ça apporte par rapport à un simple volume chiffré qu'on ouvre à la demande, pas besoin de vm pour ça (ça peut être une partition lvm ou un simple volume veracrypt dans un fichier, voire un simple fichier chiffré avec gpg, ça dépend de ce qu'on stocke dedans et de l'usage qu'on veut en faire). -- Daniel Tous les hommes seraient des tyrans s'ils le pouvaient. Daniel de Foe
