Bonjour Je ne vais parler ici qu'en mon nom propre, évidemment pas de mes employeurs passés, présents, futurs.
Mais en tant qu'un des concepteurs de SEDUCS (ce qui n'est pas un titre de gloire), utilisateur de QubesOS et aillant commencé à travailler sur le sujet il y a une bonne décennie, je me sens concerné par le thread. On 6/29/19 2:51 PM, Florent CARRÉ wrote: > Bonjour tout le monde, ... > > Incroyable, l'ANSSI aurait enfin compris que c'était stupide d'interdire la > virtualisation pour le poste d'administration. > Ils auraient pu éviter d'attendre aussi longtemps. De mémoire, le premier document public de l'ANSSI décrivant le concept de poste admin avec virtualisation doit dater de 2015. Ce n'est plus si récent. Si je lis bien, le principe décrit dans le guide est juste: - avoir un hyperviseur comme socle non géré par l'utilisateur qui ne sert qu'a gérer les VM et leurs échanges - et avoir des VM cloisonnées par usage, plus ou moins autonomes selon leur sensibilité. C'est assez faisable avec Xen, KVM, HyperV... Microsoft propose d'ailleurs une architecture de stations d'admin (Privileged Access Workstation ou PAW) basée sur ce principe https://blogs.technet.microsoft.com/datacentersecurity/2018/04/30/paw-deployment-guide/ C'est une question de configuration pas d'intégration complexe. > ... > Concernant Clip OS, ça fait depuis 2006 qu'ils sont dessus la chose et puis > leur plus gros concurrent (qui est en production), c'est SEDUCS ( > http://www.c-s.fr/file/174062) de C&S (Communications & Systèmes). SEDUCS c'est un socle multi-compartiment pour des applications sensibles. C'est très loin d'un OS généraliste. Il existe des tonnes de socles de ce genre développés pour les besoins du monde gouvernemental de chaque grand pays et de chaque industriel de défense. Par exemple https://www.businesswire.com/news/home/20120227006690/en/BAE-Systems-STOP-OS%E2%84%A2-Secure-Application-Platform En fait, à l'époque ou le DoD demandait des TrustedOS (Trusted Solaris par exemple), faire des compartiments de niveau de classification séparé était assez commun dans ce cadre. Voir https://en.wikipedia.org/wiki/Multilevel_security#Trusted_operating_systems > ... > Peut être qu'un jour il y aura une release stable de Clip OS, quand il aura > 18 ans (on s'en approche rapidement). En fait, ClipOS 4 est utilisé en production depuis des années. C'est ClipOS 5, une mise à jour majeure et libre qui est en cours de maturation. Par contre, aujourd'hui Clip 4 est pensé comme un poste bureautique et messagerie sécurisé. Il n'est pas pensé pour développer ou scripter ce qui le rend peu apte à servir de poste d'admin en 2019. Si je comprends bien, élargir les cas d'usage devrait être possible avec la v5. >... > Pourquoi ne pas envisager Qubes (https://www.qubes-os.org) ? J'utilise Qubes sur la plupart de mes machines. C'est initialement conçu dans l'idée que l'utilisateur est autonome et son propre administrateur. A noter que si le fonctionnement des VM Linux est complètement transparent, coté Windows il ne faut pas trop rêver. Dans la version 4, Qubes a introduit un framework de gestion proche des concepts de ClipOS basé sur Salt https://www.qubes-os.org/news/2015/12/14/mgmt-stack/ Je n'ai pas testé, je ne sais pas à quel point c'est pratique de déploiement, mais l'idée est de gérer les postes sans accès à leur contenu. Il existe en fait plein d'usages basé sur de la simple config et des GPO dans le monde Windows, des déploiement d'images Linux, voire des intégrations dédiées avec de hyperviseurs durcis (par exemple Polyxène de Bertin). Mais l'important au final, c'est de se débarrasser des usages à risque dans le monde privilégié (socle de l'hyperviseur, ou VM d'admin). A ma connaissance, il n'existe pas aujourd'hui de solution d'OS multi-compartiment disponible sur l'étagère qui soit qualifiée par l'ANSSI, ClipOS inclus. Mais ce n'est pas nécessaire dans la plupart des cas. Bref, ce n'est ni infaisable, ni même aussi dur à faire qu'on croit souvent de prime abord. -- Christophe Renard https://ww.goupilland.net --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
