Catalogue des règles de sécurité

Cette page récapitule quelles règles ANSSI s’activent, selon le niveau et la catégorie d’un hôte. C’est la référence à consulter avant de monter le durcissement d’une machine.

Rappel : niveau et catégorie

darkone.system.security = {
  enable   = true;
  level    = "intermediary";   # minimal | intermediary | reinforced | high
  category = "server";         # base | client | server
};

Les niveaux sont cumulatifs : intermediary ajoute ses règles à celles de minimal, et ainsi de suite. La catégorie ajoute les règles propres au poste (client) ou au serveur (server).

Catégorie conseillée par profil

Profil	Catégorie conseillée	Pourquoi
`minimal`, `portable`	`base`	Socle universel
`desktop`, `laptop`	`client`	Écran, USB, session interactive
`server`, `gateway`, `hcs`, `vm`	`server`	Services exposés, réseau

Tableau comparatif par niveau

Chaque colonne indique l’état de la règle à ce niveau (les niveaux étant cumulatifs). Légende :

Icône	Signification
✅	Active à ce niveau
⚠️	Partielle (voir la note)
❌	Pas encore active à ce niveau

Amorçage et matériel

Code	Règle	Min	Inter	Renf	Élevé
`R3`	Secure Boot UEFI (si supporté)	❌	⚠️	⚠️	⚠️
`R5`	Mot de passe du chargeur d’amorçage	❌	⚠️	⚠️	⚠️
`C6`	Chiffrement disque LUKS2	❌	⚠️	⚠️	⚠️
`R7`	IOMMU activé	❌	❌	✅	✅
`R29`	`/boot` restreint	❌	❌	✅	✅
`R6`	Protection cmdline et initramfs	❌	❌	❌	✅

Noyau

Code	Règle	Min	Inter	Renf	Élevé
`R8`	Options mémoire sur la ligne de commande	❌	✅	✅	✅
`R9`	sysctls de durcissement	❌	✅	✅	✅
`R11`	Yama : `ptrace` restreint	❌	✅	✅	✅
`R10`	Chargement de modules désactivé	❌	❌	✅	✅
`R60`	Noyau `linux_hardened`	❌	❌	✅	✅
`C1`	Patchs linux-hardened	❌	❌	❌	✅
`C2`	LSM Lockdown	❌	❌	❌	✅
`R15`–`R27`	Durcissement à la compilation	❌	❌	❌	✅

Comptes et authentification

Code	Règle	Min	Inter	Renf	Élevé
`R30`	Comptes inutilisés désactivés	✅	✅	✅	✅
`R31`	Mots de passe robustes	✅	✅	✅	✅
`R68`	Stockage des mots de passe en `yescrypt`	✅	✅	✅	✅
`R32`	Verrouillage sur inactivité	❌	✅	✅	✅
`R33`	Traçabilité des actions admin	❌	✅	✅	✅
`R34`	Comptes de service sans shell	❌	✅	✅	✅
`R35`	Comptes de service uniques	❌	✅	✅	✅
`R67`	PAM distant sécurisé	❌	⚠️	⚠️	⚠️
`R69`	Bases d’utilisateurs en TLS	❌	⚠️	⚠️	⚠️
`R70`	Comptes système ≠ annuaire	❌	⚠️	⚠️	⚠️
`C10`	Limites de session (`nproc`, `nofile`)	❌	✅	✅	✅

R67 : pam_faillock verrouille vraiment les comptes

Trois mots de passe erronés verrouillent le compte 15 minutes, sur login, su, sudo et, via la sous-pile login, l’écran de connexion GNOME. La pile est complète : preauth refuse, authfail compte, la règle account bloque un compte déjà verrouillé. Les deux règles auth encadrent le pam_unix de chaque service ; leur rang est calculé, car il diffère d’une pile à l’autre (11700 sur su/sudo, 13100 sur login).

sshd en est volontairement exclu : DNF interdit l’authentification par mot de passe, donc faillock n’y compterait jamais rien. Sa règle account ne saurait qu’y refuser une session de secours par clé pour un verrou acquis à la console. L’accès de maintenance reste donc ouvert en toutes circonstances, et nix (sans credential mot de passe) ne peut pas être verrouillé.

Gardez tout de même une session root ouverte au premier déploiement et connaissez le retour : faillock --user <login> --reset. Réglages : darkone.security.pam.faillock.deny et .unlockTime. root n’est jamais verrouillé.

Droits d’administration (sudo)

Code	Règle	Min	Inter	Renf	Élevé
`R39`	Directives `sudo` durcies	❌	✅	✅	✅
`R40`	Cibles `sudo` non-root	❌	✅	✅	✅
`R42`	Interdiction des négations	❌	✅	✅	✅
`R44`	`sudoedit` pour l’édition	❌	✅	✅	✅
`R38`	Groupe `sudo` dédié	❌	❌	✅	✅
`R41`	Limitation des overrides `NOEXEC`	❌	❌	✅	✅

Fichiers et permissions

Code	Règle	Min	Inter	Renf	Élevé
`R53`	Détection des fichiers sans propriétaire	✅	✅	✅	✅
`R54`	Sticky bit sur `/tmp` et `/var/tmp`	✅	✅	✅	✅
`R56`	Détection des `setuid` hors liste blanche	✅	✅	✅	✅
`R14`	sysctls système de fichiers	❌	✅	✅	✅
`R28`	Partitionnement et options de montage	❌	✅	✅	✅
`R50`	Restriction des fichiers sensibles	❌	✅	✅	✅
`R52`	Permissions des sockets et tubes nommés	❌	⚠️	⚠️	⚠️
`R55`	Répertoires temporaires par utilisateur	❌	⚠️	⚠️	⚠️
`R36`	`UMASK` 0077	❌	❌	✅	✅
`R57`	`setuid` root minimal (capabilities)	❌	❌	✅	✅

R28 : /tmp non exécutable

/tmp est un tmpfs en nosuid,nodev,noexec, dimensionné par boot.tmp.tmpfsSize (25 % de la RAM par défaut). R28 est propriétaire du montage : boot.tmp.useTmpfs est forcé à false, sinon l’unité tmp.mount qu’il génère — sans noexec — l’emporterait silencieusement sur /etc/fstab.

noexec interdit l’exécution directe et dlopen. Il casse donc tout outil qui exécute ce qu’il vient de décompresser (pip, cargo, gcc) et tout runtime qui extrait ses bibliothèques natives dans /tmp (Bun, Electron, outillage d’agents). Les compilations Nix sont couvertes, le démon basculant sur /var/tmp, mais un outil interactif peut demander export TMPDIR=$XDG_RUNTIME_DIR.

Deux sorties de secours, par hôte :

Option	Effet
`darkone.security.filesystem.tmpNoexec = false`	garde le tmpfs et `nosuid,nodev`, retire `noexec`
`darkone.security.filesystem.tmpfs = false`	laisse `/tmp` sur son système de fichiers d’origine (données persistantes, pas de RAM consommée)

Services et confinement

Code	Règle	Min	Inter	Renf	Élevé
`R62`	Services obsolètes coupés	✅	✅	✅	✅
`R63`	Capacités des services réduites	❌	⚠️	⚠️	⚠️
`R37`	Contrôle d’accès obligatoire (MAC)	❌	❌	✅	✅
`R45`	Profils AppArmor	❌	❌	✅	✅
`R64`	Privilèges de service restreints	❌	❌	✅	✅
`R65`	Isolation des services (namespaces)	❌	❌	✅	✅
`R66`	Durcissement des conteneurs	❌	❌	❌	✅

Réseau

Code	Règle	Min	Inter	Renf	Élevé
`R80`	Surveillance des ports en écoute	✅	✅	✅	✅
`C4`	Pare-feu en refus par défaut	⚠️	⚠️	✅	✅
`R12`	sysctls réseau IPv4	❌	✅	✅	✅
`R13`	Désactivation d’IPv6 (sur demande)	❌	⚠️	⚠️	⚠️
`C5`	Durcissement OpenSSH	❌	✅	✅	✅
`C7`	Synchronisation horaire NTS	❌	✅	✅	✅
`C8`	Résolveur DNS sécurisé (DNSSEC, DoT)	❌	✅	✅	✅
`R79`	Services exposés durcis (serveur)	❌	✅	✅	✅
`R78`	Isolation des services réseau (serveur)	❌	❌	✅	✅

Journaux et intégrité

Code	Règle	Min	Inter	Renf	Élevé
`R71`	Journalisation persistante scellée	❌	❌	✅	✅
`R72`	Journaux dédiés par service	❌	❌	✅	✅
`R73`	auditd avec règles ANSSI	❌	❌	✅	✅
`C9`	Désactivation des core dumps	❌	❌	✅	✅
`R76`	Scellement et vérification d’intégrité	❌	❌	❌	✅
`R77`	Protection de la base scellée	❌	❌	❌	✅

Système et divers

Code	Règle	Min	Inter	Renf	Élevé
`C11`	Bannières légales d’accès	✅	✅	✅	✅
`C12`	`cron` / `at` restreints	✅	✅	✅	✅
`R61`	Mises à jour régulières	⚠️	⚠️	⚠️	⚠️
`R74`	Courrier local durci	❌	✅	✅	✅
`R75`	Alias de messagerie (`root` → admin)	❌	✅	✅	✅
`R51`	Rotation des secrets d’installation	❌	❌	✅	✅
`C3`	USBGuard (poste)	❌	❌	✅	✅

Adapter sans tout casser

Trois soupapes permettent d’ajuster une protection précise sans descendre le niveau global.

Tags (excludes) : couper un groupe de règles incompatibles (ex. needs-jit, needs-binfmt).
Exceptions (exceptions) : contourner une règle, justification obligatoire.
Options d’activation : allumer une règle trop destructrice pour être active par défaut (disableIpv6, restrictUserns).

Le détail de ces soupapes est dans Notions de sécurité.

Voir aussi

Notions de sécurité : les concepts pour lire ce catalogue
Sécurité et durcissement : la mise en œuvre au quotidien
Référence des modules de sécurité : toutes les options exposées par le code