Sécurité de BaaStide

Ce que couvre cette section

BaaStide protège les données de vos clients, et il protège aussi l'accès à ces données. L'agent chiffre les données sur la machine, avant leur envoi. Le portail limite chaque utilisateur à son rôle, et il garde une trace de chaque action. Les actions destructrices attendent 72 heures avant de prendre effet.

Cette page donne les garanties de BaaStide, les limites de ces garanties, et la liste des points à vérifier chez vous. Elle ne remplace pas votre propre politique de sécurité.

Prérequis

• Un compte sur le portail, avec un rôle. Voir Rôles et droits.
• N'importe quel rôle pour lire le journal d'audit.
• Le rôle Administrateur pour lire la liste des utilisateurs et pour fixer la règle de vérification en deux étapes du MSP.
• Le rôle Administrateur plateforme pour créer une clé API.

Les garanties sur les données

Garantie	Ce que BaaStide fait
Chiffrement avant l'envoi	L'agent chiffre les données sur la machine. Elles sortent de la machine chiffrées, et elles arrivent chiffrées dans le stockage.
Une clé par endpoint	Chaque endpoint a son propre dépôt, chiffré avec sa propre clé. La clé d'un dépôt n'ouvre aucun autre dépôt.
Contrôle d'intégrité	Chaque bloc du dépôt porte un code d'authentification. La lecture d'un bloc modifié échoue.
Restauration en lecture seule	Le jeton d'une restauration ne donne que la lecture du dépôt. Une restauration n'écrit jamais dans le dépôt.
Dépôt limité à sa machine	L'agent refuse un ordre qui pointe vers un autre serveur, ou vers le dépôt d'une autre machine.
Accès de courte durée	Chaque tâche reçoit un jeton d'accès au dépôt qui expire. La plateforme le remplace pendant une tâche longue.

Le détail du chiffrement et des clés est sur la page Chiffrement et clés.

Les garanties sur la machine

Garantie	Ce que BaaStide fait
Connexions sortantes seulement	L'agent ouvre toutes les connexions, en HTTPS. Vous n'ouvrez aucun port entrant. L'instance hébergée par BaaStide utilise le port 443.
Vérification du serveur	L'agent vérifie le certificat de chaque serveur. Sur le canal de contrôle, il vérifie aussi que la chaîne du certificat porte une empreinte d'autorité de certification connue. Sinon il refuse la connexion.
Mise à jour vérifiée	L'agent vérifie la taille, l'empreinte SHA-256 et la signature de chaque nouvelle version. Il l'essaie avant de l'installer, et il remet la version précédente quand l'essai échoue.
Installation Windows signée	L'installation refuse un programme sans signature valide, et un programme signé par un autre éditeur.
Fichiers privés	Les dossiers et les fichiers de l'agent sont lus et écrits par root seulement sur Linux, et par SYSTEM et les administrateurs locaux seulement sur Windows.
Service durci	L'agent tourne dans un service du système, avec des réglages de durcissement. Le canal de restauration local n'accepte aucun client distant.
Secrets absents des journaux	Les clés et les jetons n'entrent pas dans le journal d'une tâche. Ils sont remplacés par <redacted>.
Interrupteurs locaux	Root sur Linux, ou un administrateur local sur Windows, coupe les scripts, et coupe la lecture des dossiers de la machine depuis le portail. La plateforme ne peut pas les rallumer.

Les garanties sur le portail

Garantie	Ce que BaaStide fait
Quatre rôles fixes	Le rôle fixe ce que l'utilisateur voit et ce qu'il change. Vous ne modifiez pas les droits d'un rôle.
Vérification en deux étapes	Le compte demande un code à six chiffres après le mot de passe. Un administrateur rend cette vérification obligatoire pour tout le MSP.
Code récent pour les scripts	L'écriture d'un script lancé avant ou après une sauvegarde demande un code de vérification récent.
Journal d'audit	La plateforme écrit une entrée par action qui change l'état du MSP. Une entrée ne peut être ni modifiée ni supprimée.
Délai de 72 heures	Une action destructrice attend 72 heures. Vous l'annulez pendant ce délai.
Jeton d'enrôlement à usage unique	Un jeton d'enrôlement sert une seule fois, et il expire au bout de 7 jours. Un jeton de déploiement enrôle plusieurs machines d'un même client. Voir Déployer sur beaucoup de machines.
Droits limités pour les accès sans personne	Une clé API et un accès MCP portent des portées choisies à leur création. Les actions d'une clé API entrent dans le journal d'audit.

Ce que BaaStide ne garantit pas

• BaaStide n'est pas « zero-knowledge ». Sur l'instance hébergée par BaaStide, la plateforme garde la clé de chaque dépôt. BaaStide peut donc lire les sauvegardes. Voir Chiffrement et clés.
• Aucun service externe de gestion de clés. BaaStide ne chiffre pas les clés des dépôts avec un service de gestion de clés que vous contrôlez.
• L'empreinte d'autorité de certification ne couvre pas tous les canaux. L'agent la vérifie sur le canal de contrôle, et pendant l'enrôlement sur l'instance hébergée. Pour le transfert des données et pour le téléchargement d'une nouvelle version, il fait la vérification TLS habituelle, avec les autorités de certification du système. Une nouvelle version reste protégée par sa signature.
• BaaStide ne protège pas la machine contre son propre administrateur. Root sur Linux, et un administrateur local sur Windows, lisent l'identité de l'agent, coupent ses interrupteurs et désinstallent l'agent.
• L'agent tourne avec les droits les plus élevés du système : root sur Linux, LocalSystem sur Windows. Il lit ainsi tous les fichiers de la machine. Vous ne lui donnez pas un compte de service dédié.

Vérifier les accès au portail de votre MSP

Faites ce contrôle à la mise en service, puis une fois par trimestre.

1. Ouvrez le portail.
2. Dans le menu Administration, cliquez Utilisateurs.
3. Lisez le bloc Personnes avec un accès. Retirez un membre qui a quitté l'équipe.
4. Lisez la colonne Rôle. Donnez le rôle Lecture seule à une personne qui n'opère pas les sauvegardes. Voir Rôles et droits.
5. Lisez la colonne Deux étapes. Activez la Règle de vérification en deux étapes du MSP, en bas de la page, pour la rendre obligatoire. Voir Utilisateurs et invitations.
6. Dans le menu Administration, cliquez Journal d'audit.
7. Lisez les entrées des connexions, des changements de rôle et des suppressions demandées. Voir Journal d'audit.
8. Dans le menu Administration, cliquez Actions différées.
9. Vérifiez qu'aucune action destructrice n'attend sans raison. Voir Annuler une action différée.

Vérifier une machine protégée

1. Ouvrez la fiche de la machine dans le portail.
2. Lisez le champ Version. Mettez l'agent à jour quand sa version est trop ancienne. Voir Agent trop ancien.
3. Vérifiez que la machine a une politique de sauvegarde active. Une machine sans politique n'est pas sauvegardée. Voir Quel type de sauvegarde choisir.
4. Ouvrez l'onglet Activité. Lisez le résultat des dernières tâches. Voir Suivre une tâche de sauvegarde.
5. Ouvrez une session sur la machine. Vérifiez que seuls vos administrateurs ont les droits d'administration de cette machine.
6. Coupez les scripts avec baastide agent scripts off quand votre politique interne les interdit. Voir Scripts avant et après une sauvegarde.
7. Lancez une restauration d'essai. Voir Tester ses restaurations.

Limites et précautions

• Testez vos restaurations. Une sauvegarde réussie n'est pas une preuve de restauration. Voir Tester ses restaurations.
• Un jeton d'enrôlement est un secret. Ne l'écrivez pas dans un ticket, un message ou un dépôt de code. Voir Créer un jeton d'enrôlement.
• Gardez les clés de récupération BitLocker de vos VM hors de l'hôte. Une restauration sur un autre hôte peut donner un TPM vide. Voir Sauvegarder les VM d'un hôte Hyper-V.
• Une révocation coupe l'agent de la plateforme. La machine n'est plus sauvegardée tant qu'elle n'est pas rattachée. Voir Rattacher un agent.
• Le journal d'audit ne porte pas le déroulement des sauvegardes. Lisez l'activité de la machine pour cela.
• Une image complète d'un volume BitLocker porte les données déchiffrées. L'agent les chiffre de nouveau avant leur envoi dans le dépôt. Voir Image complète d'une machine Windows.

Référence

• API : Monitoring, route GET /audit-log pour le journal d'audit.
• API : Backups, routes GET /pending-actions et POST /pending-actions/{id}/cancel pour les actions différées.
• API : Accounts pour les comptes et les rôles.
• CLI de l'agent : baastide agent scripts pour l'interrupteur des scripts.