cloud-gouv / securix

# SécurixOS : Base OS pour poste sécurisé
> [!NOTE]
> Ce projet est en **alpha**, aucun support n'est proposé pour l'heure.
## Objectifs 
SécurixOS est une distribution NixOS développée par la DINUM pour équiper des ordinateurs sécurisés pour l'administration système, la bureautique et le développement afin de traiter des informations Non Protégées dans un premier temps puis éventuellement des informations Diffusion Restreinte. 
Il constitue un modèle de PC sécurisé conçu pour permettre des accès à la production et d'autres usages critiques en garantissant un niveau de sécurité variable selon la configuration employée.
Grâce à NixOS, ce modèle de PC sécurisé est ré-instanciable pour des cas d'usages variables : poste multi-agent, poste multi-niveaux, poste en intranet seulement, etc. avec des équipes différentes, des souches de VPN différentes.
Construit selon les recommandations de l'ANSSI : .
## Cible d'architecture technique
### Système d'exploitation
Sécurix repose sur NixOS avec un noyau Linux personnalisé conformément aux règles ANSSI de durcissement, certains d'entre eux étant désactivables selon le besoin.
### Modules de sécurité intégrés
- Configuration systématique selon les recommandations de l'ANSSI pour les systèmes GNU/Linux : .
- Support avancé de TPM2 et Yubikey pour la gestion des clés d'authentification.
- Chiffrement des données à l'aide de `age` ou d'un serveur Vault.
- Enrôlement centralisé pour Secure Boot avec gestion PK/KEK.
- Connexion au poste de travail en FIDO2 et le mot de passe n'est qu'un mode de secours.
- Déchiffrement du poste à l'aide d'une clé FIDO2 (une clé de secours est générée à l'installation). 
## Fonctionnalités en développement (par priorité)
- **Renforcement de la sécurité**
 - Application des recommandations ANSSI pour un durcissement complémentaire: .
 - Ajout de la configuration d'un puits de traces pour l'envoi des activités d'un système Sécurix.
- **Onboarding rapide et gestion centralisée**
 - Mise en place d'un serveur "phone home" permettant d'ajouter automatiquement :
 - La clé SSH TPM2 du système au dépôt d'infrastructure.
 - L'autorisation pour déchiffrer les secrets via `age` (ou intégration future avec Vault).
 - Ce morceau d'infrastructure pourra s'insérer dans un processus métier visant à mettre en place un nouveau Sécurix pour un agent.
- **Support avancé des clés de sécurité**
 - Gestion et rotation des clés Secure Boot avec TPM2 pour renforcer Secure Boot.
## Contribuer
Les contributions sont ouvertes au projet, il est recommandé d'avoir une expertise NixOS pour en faciliter l'intégration.
Consultez les tickets ouverts et le guide de contribution pour participer.
Vous pouvez ouvrir des tickets pour proposer des fonctionnalités et discuter de l'architecture.
Les PR générées par IA sans relecture ni test seront fermées, les contributions par le même auteur pourront être bloquées par la suite.
Ce README est en français, mais le reste du code, les issues et les PR sont en anglais.
### Lan