Surface d’attaque et une base de durcissement

Durcir un ordinateur ne signifie pas le rendre incassable. Cela signifie retirer les portes et fenêtres que personne n’utilise, pour que celles qui restent soient plus faciles à surveiller. Ce cours parcourt ce processus pour un seul Mac utilisé par une seule personne : pas de parc de serveurs, pas de service informatique, seulement les réglages et vérifications que n’importe qui peut faire soi-même.

Ce que signifie « surface d’attaque »

La surface d’attaque d’un ordinateur est tout ce qui pourrait y être atteint ou détourné : chaque compte pouvant se connecter, chaque service à l’écoute d’une connexion réseau, chaque application pouvant s’exécuter, chaque port laissé ouvert. Chacun de ces éléments est un petit pari que rien ne tournera jamais mal avec lui. Une base de durcissement est l’ensemble des changements qui réduit le nombre de paris que vous prenez, sans prétendre que ceux qui restent sont sans risque.

macOS part déjà d’une position raisonnablement solide : les Mac récents chiffrent le stockage par défaut, le code doit être signé pour s’exécuter, et la Protection de l’intégrité du système empêche même un compte administrateur de réécrire silencieusement des fichiers système essentiels. Les quatre prochaines leçons couvrent les parties que vous pouvez encore améliorer : comment le disque est chiffré et comment la machine démarre, qui possède un compte et ce qu’il peut faire, quels services et ports sont ouverts, et comment vérifier vous-même les défenses déjà intégrées.

Les principes de conception derrière les réglages

Les réglages individuels de ce cours servent tous un petit ensemble d’idées sous-jacentes. Le moindre privilège signifie donner à un compte, ou à un logiciel, seulement l’accès dont il a besoin, jamais plus « au cas où ce serait utile plus tard ». L’isolation des processus et la séparation des domaines signifient empêcher les erreurs d’une application de déborder sur une autre : un onglet de navigateur compromis ne devrait pas pouvoir lire les fichiers de votre client de messagerie. Les états privilégiés et non privilégiés sont la distinction entre un compte administrateur et un compte standard, et entre un processus s’exécutant en tant que root et un autre s’exécutant en tant qu’utilisateur ordinaire. Aucune de ces idées n’est propre à macOS ; ce sont les mêmes principes autour desquels tout système d’exploitation moderne est construit, et chaque réglage du reste de ce cours n’est en réalité que l’un d’eux appliqué à un écran ou une commande précise.

Pourquoi l’ordre compte

Certains changements vous protègent même si vous ne faites rien d’autre ; d’autres ne comptent qu’une fois les bases en place. Une base raisonnable effectue d’abord les changements à forte valeur et à faible effort.

1. Chiffrer le disque (FileVault) pour que les données soient protégées même si le Mac est perdu, volé, ou saisi alors qu’il est éteint.
2. Maintenir macOS et les applications à jour, car la plupart des correctifs pour des faiblesses connues arrivent sous forme de mises à jour logicielles, pas de nouveaux réglages.
3. Séparer comptes et privilèges : utiliser un compte standard au quotidien, réserver l’accès administrateur aux moments où il est réellement nécessaire.
4. Désactiver les services et ports que vous n’utilisez pas : le partage de fichiers, le partage d’écran et la connexion à distance sont des réglages par défaut couramment laissés activés sans raison.
5. Vérifier. macOS est livré avec des défenses déjà actives ; vérifiez qu’elles le restent, selon un calendrier régulier, avec les commandes en lecture seule couvertes dans ce cours.

Coûts, et ce que ce cours ne vous dira pas de faire

Chacun de ces changements a un coût : un disque chiffré nécessite une clé de récupération stockée quelque part en sécurité ; un compte standard signifie taper un mot de passe plus souvent ; un port fermé pourrait être celui dont vous aviez réellement besoin pour une imprimante ou un disque de sauvegarde. Le durcissement est une série de compromis, et le bon compromis dépend de l’usage de la machine et de qui pourrait la cibler.

Ce cours ne suggérera jamais de désactiver la Protection de l’intégrité du système, Gatekeeper, ou le chiffrement de disque que les Mac à puce Apple appliquent par défaut. Certains guides de durcissement écrits pour des utilisateurs avancés incluent des étapes de ce type, ou fournissent des scripts et des listes de règles tierces à importer dans un pare-feu de bas niveau. Ils s’adressent à des personnes prêtes à accepter le risque d’une mise à jour cassée ou d’une panne plus difficile à diagnostiquer ; les conseils de ce cours sont délibérément plus restreints, et chaque réglage est vérifié par rapport à la propre documentation d’Apple avant d’être inclus.