{"id":1557,"date":"2014-04-26T12:32:44","date_gmt":"2014-04-26T10:32:44","guid":{"rendered":"http:\/\/blog.nebule.org\/?page_id=1557"},"modified":"2014-04-26T12:32:44","modified_gmt":"2014-04-26T10:32:44","slug":"bachue","status":"publish","type":"page","link":"https:\/\/blog.nebule.org\/?page_id=1557","title":{"rendered":"bachue"},"content":{"rendered":"

Entit\u00e9 bachue<\/em><\/h1>\n

Cette entit\u00e9 permet la diffusion des diff\u00e9rents codes n\u00e9cessaires au bon fonctionnement du projet nebule<\/em> et des projets annexes comme sylabe<\/em>.<\/p>\n

Son identifiant : 19762515dd804577f9fd8c005a7803ddee413f264319748e30aa2aedf318ca57<\/b><\/code><\/p>\n

Son nom vient de Bachu\u00e9<\/a>, m\u00e8re de l’humanit\u00e9. Elle sortit des eaux du lac Iguaque<\/em> (Colombie) avec un enfant dans les bras pour peupler le monde.<\/p>\n

Son r\u00f4le est de diffuser les diff\u00e9rents codes du projet nebule<\/em> ainsi que des projets annexes comme sylabe<\/a>.<\/p>\n

La protection de cette entit\u00e9 se fait sur trois niveaux :
\n– public
\n– diffusion
\n– priv\u00e9
\n– d\u00e9veloppement<\/p>\n

Voici le sch\u00e9ma du cheminement des informations autour de l’entit\u00e9 :<\/p>\n

\"20140427<\/a><\/p>\n

Le niveau public<\/strong> permet le partage \u00e0 grande \u00e9chelle des liens de l’entit\u00e9. C’est le serveur web public xue<\/em>. L’entit\u00e9 est accessible aux adresses http:\/\/bachue.nebule.org\/<\/a> et http:\/\/bachue6.nebule.org\/<\/a>.
\nCe serveur prot\u00e9g\u00e9 assez classiquement comme tout serveur sur Internet. Il ne contient cependant aucune donn\u00e9e sensible et aucune entit\u00e9 ne peut se d\u00e9verrouiller dessus. La compromission du serveur ne peut \u00eatre qu’une atteinte \u00e0 la disponibilit\u00e9 de la diffusion des nouveaux liens, les anciens liens \u00e9tant naturellement rediffus\u00e9s par toutes les entit\u00e9s. Il peut \u00eatre \u00e0 tout moment reconstruit ailleurs sur Internet, voir \u00eatre simplement dupliqu\u00e9 en plusieurs endroits.
\nEn cas de perte de disponibilit\u00e9 du serveur, les liens peuvent \u00eatre diffus\u00e9s par d’autres entit\u00e9s. La propagation de ces liens sera dans ce cas plus lente mais ce mode de fonctionnement permet d’assurer la diffusion des liens quoi qu’il arrive.<\/p>\n

Le niveau de diffusion<\/strong> n’a pas pour vocation \u00e0 permettre le partage des liens de l’entit\u00e9, c’est \u00e0 dire qu’il ne diffuse rien publiquement. Il fait simplement l’interface entre le niveau priv\u00e9 et le niveau public.
\nCette fonction d’interface est h\u00e9berg\u00e9e sur une machine d\u00e9di\u00e9e. Elle est install\u00e9e en FreeBSD Release 10.0<\/em> sur une vieille machine PowerPC<\/em>. Elle ne supporte que IPv6<\/em> et est prot\u00e9g\u00e9e de l’Internet par le pare-feu spartacus<\/em>.
\nLe disque dur n’est pas encore chiffr\u00e9. Le syst\u00e8me est cependant sommairement offusqu\u00e9.<\/p>\n

Le niveau priv\u00e9<\/strong> est d\u00e9di\u00e9 \u00e0 la manipulation de l’entit\u00e9. C’est \u00e0 ce niveau uniquement que la cl\u00e9 priv\u00e9 de l’entit\u00e9 est disponible, donc que l’on peut d\u00e9verrouiller l’entit\u00e9 pour signer des liens.
\nLa machine se laquelle est utilis\u00e9e l’entit\u00e9 est de type PC<\/em> 64bits<\/em> et ne supporte aucun r\u00e9seau. Le syst\u00e8me repose sur un disque dur chiffr\u00e9 et sur une cl\u00e9 USB pour d\u00e9marrer le syst\u00e8me. La cl\u00e9 USB contient le mot de passe du disque chiffr\u00e9. Il existe un syst\u00e8me d’offuscation sommaire sur cette machine.
\nL’entit\u00e9 bachue<\/em> est sauvegard\u00e9e sur le syst\u00e8me de l’entit\u00e9 puppetmaster<\/em>. En cas de probl\u00e8me, il est possible de remonter une nouvelle machine h\u00f4te.
\nLe syst\u00e8me ainsi lanc\u00e9 \u00e9change avec le monde ext\u00e9rieur unique via une cl\u00e9 USB pr\u00e9-d\u00e9finie. Aucun support amovible n’est mont\u00e9 sur le syst\u00e8me lors de l’insertion.
\nLes mises \u00e0 jours sont r\u00e9alis\u00e9es \u00e0 la main en cas d’extr\u00eame n\u00e9cessit\u00e9. Un script est pr\u00eat \u00e0 \u00eatre lanc\u00e9 \u00e0 la main au besoin.
\nL’entit\u00e9 est potentiellement vuln\u00e9rable puisqu’elle ex\u00e9cute du code pour signer les liens. Ce code peut avoir \u00e9t\u00e9 compromis sur le poste de d\u00e9veloppement. L’interface web sylabe<\/em> ne peut pas modifier les fichiers de la machine autres que les objets et liens. Mais cette interface web pourrait faire d’autres actions comme essayer d’exfiltrer la cl\u00e9 priv\u00e9e. Pour cette raison, c’est sous forme de script bash<\/em> que les liens sont sign\u00e9s.
\n A aucun moment la cl\u00e9 priv\u00e9 de l’entit\u00e9 ne doit sortir de son support chiffr\u00e9.<\/span><\/p>\n

Le niveau d\u00e9veloppement<\/strong> permet de travailler facilement sur les diff\u00e9rents codes.
\nCe poste de d\u00e9veloppement est assez sensible puisqu’il peut constituer le premier point d’entr\u00e9e pour une attaque. Le but d’une attaque peut \u00eatre essayer d’exfiltrer la cl\u00e9 priv\u00e9e de l’h\u00f4te en modifiant le code qui lui est transmis. Une autre attaque peut \u00eatre de tout simplement modifier le code pour retirer \u00e0 posteriori des mots de passes ou des cl\u00e9s priv\u00e9es d’autres entit\u00e9s.
\nLa mise en place de poste de d\u00e9veloppement n’est pas encore termin\u00e9e…<\/p>\n","protected":false},"excerpt":{"rendered":"

Entit\u00e9 bachue Cette entit\u00e9 permet la diffusion des diff\u00e9rents codes n\u00e9cessaires au bon fonctionnement du projet nebule et des projets annexes comme sylabe. Son identifiant : 19762515dd804577f9fd8c005a7803ddee413f264319748e30aa2aedf318ca57 Son nom vient de Bachu\u00e9, m\u00e8re de l’humanit\u00e9. Elle sortit des eaux du lac Iguaque (Colombie) avec un enfant dans les bras pour peupler le monde. Son r\u00f4le … Continuer la lecture de bachue<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"parent":1550,"menu_order":3,"comment_status":"open","ping_status":"open","template":"","meta":[],"_links":{"self":[{"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/pages\/1557"}],"collection":[{"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.nebule.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1557"}],"version-history":[{"count":0,"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/pages\/1557\/revisions"}],"up":[{"embeddable":true,"href":"https:\/\/blog.nebule.org\/index.php?rest_route=\/wp\/v2\/pages\/1550"}],"wp:attachment":[{"href":"https:\/\/blog.nebule.org\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1557"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}