Sécurité

Nous prenons très à cœur de mettre à disposition des services en ligne fonctionnels et disponibles. Voici les mesures mises en place pour assurer la protection des données et des services mis à disposition.

Attention nous sommes bénévoles Vous utilisez nos services en ligne à 1h28 pour une partie en ligne ? Il y a de très forte chance que l'un des administrateur roupille profondément ou soit lui aussi en train de raconter des histoires avec des dés ! L'administration de ces services est réalisée par des bénévoles qui n'ont aucune obligation d'astreinte, de moyen, de délais ou de résultats. Nous faisons notre possible pour que les services offerts fonctionnent.

Parefeu

Seuls les ports légitimes liés à des services accessibles aux utilisateurs sont ouverts (http, smtp, imap…).

Accès distant aux bases de données

Aucun accès distant aux bases de données ne sont autorisés par des interfaces web. Les accès sont possible uniquement par un tunnel SSH entre le poste d'un administrateur et le serveur pour accéder aux bases de données MariaDB ou PostgreSQL.

Accès distant au shell

Les administrateurs disposent de leurs propres clés cryptographiques pour se connecter en Shell aux serveurs. L'accès par mot de passe est impossible. En cas de doute sur la confidentialité d'une clé, elle est régénérée et révoquée des accès.

Sécurisation des applications

Les services mis à disposition reposent sur des logiciels libres souvent ciblés par des attaques exploitant leurs failles de sécurité.

Accès aux interfaces et services critiques par VPN

Les interfaces d'administration, voire l'intégralité, de certains services en ligne ne sont accessibles qu'avec un VPN. Si vous êtes membres de l'association et que vous devez utiliser un accès VPN, vous disposez d'un QR Code de configuration pour installer votre accès VPN.

Les services suivants sont sécurisés par VPN :

• Magento/Mage-OS (administration / gestion)
• Wordpress (administration / rédaction)
• Grav (administration / rédaction)
• Dolibarr (tout sauf les formulaires publics)
• Keycloak (administration)
• OpenLDAP (administration)
• Mastodon (administration / modération)
• SHlink (administration)

Preuve de travail (PoW) pour l'accès à certains services

Toutes nos interfaces publiques de saisie de données sont protégées par un système de vérification par preuve de travail (PoW), conçu pour écarter autant que possible les bots et les agents IA. Pour y accéder, JavaScript et les cookies doivent être activés.

Le PoW (preuve de travail) oblige le navigateur du visiteur à résoudre un petit calcul coûteux avant d'accéder au service : négligeable pour un humain, mais prohibitif pour un bot qui doit le répéter des milliers de fois.

• Mastodon (inscription)
• Magento/Mage-OS (toutes pages)
• Orgasso (toutes pages)
• Bookstack (toutes pages)
• Grav (fomulaires)
• Peertube (inscription)
• Keycloak (toutes pages)

Politique de mise à jour

Nous veillons à mettre à jour les services mis à disposition en appliquant les mises à jour critiques le plus rapidement possible.

Toutefois, nous pouvons dans certains cas opter pour différer une mise à jour pour garantir le fonctionnement d'un service critique utilisé.

Dans de rares situations, si aucune mise à jour n'est possible pour un service en ligne et qu'une faille est exploitée, nous nous permettrons de mettre hors ligne le service dans l'attente de sa mise à jour.

Journalisation et surveillance des journaux

Les journaux sont conservés pendant un an dans le respect de dispositions légales françaises.

Les journaux sont surveillés par fail2ban, notamment pour bannir :

• les tentatives d'accès illégitimes (ex. xmlrpc.php de Wordpress, qui utilise ça à part des bots ?)
• les tentatives de scan répété (même si tu te sens l'âme d'un whitehat, on te jail)
• les tentatives de détournement des API (oui, paye tes propres serveurs pour miner des cryptomonnaies)

Les attaques réussies, à la discrétion du Conseil d'administration de l'association pourront faire l'objet d'une plainte et de poursuites.

Sérieux, arrêtez de vous prendre pour Guy Fawkes parce que vous avez bloqué pendant 30 minutes le serveur d'une association !

Politique de sauvegarde

L’ensemble des données sont sauvegardées quotidiennement et hébergées hors des serveurs en production (toujours en France, sur un serveur hébergé au siège de l’association). Une copie de la sauvegarde de la veille est conservée afin de restaurer une version antérieure d’un service si nécessaire.

Nous utilisons des scripts systèmes rsync permettant la copie individuelles des conteneurs et de leurs volumes persistants. Il est ainsi possible de restaurer un service à l’état du matin ou la veille.

Le système de sauvegarde est en cours de réinstallation, seule la sauvegarde du matin à 6h00 est disponible pour l'instant.