Ce que fait chaque accès, et qui l’a autorisé.
Cette page décrit les mécanismes en place et leurs limites, pour une évaluation factuelle par votre équipe de sécurité.
Les mécanismes
Connexions
Les sondes ouvrent une connexion chiffrée (TLS) vers le hub : aucun port entrant à ouvrir sur le site. Le hub est le point de contrôle : il voit les échanges pour appliquer les droits et tenir le journal. Il n’y a donc pas de chiffrement de bout en bout entre l’opérateur et la sonde.
Droits
Une nouvelle clé d’accès démarre sans aucun droit. Chaque action et chaque outil se cochent machine par machine ; les nouveaux outils arrivent décochés.
Approbation
Selon la politique configurée, certaines écritures d’équipement nécessitent une approbation dans la console, avec code à usage unique (TOTP). Les commandes système, les fichiers et les gestes à l’écran relèvent de droits distincts, cochés machine par machine.
Journal d’audit
Le hub tient un journal en ajout seul : comptes, connexions réussies ou échouées, droits, approbations. Chaque appel y laisse une ligne indiquant son type et sa cible, sans arguments ni résultats.
Journal des commandes
Activable : qui, quel outil, quelle machine, statut et empreinte, et en mode complet les arguments et la sortie masqués. Export CSV ou NDJSON depuis la console ; l’export est lui-même tracé.
Secrets
Le moteur de connecteurs résout les mots de passe d’équipements sur la sonde ; leurs valeurs sont remplacées par *** dans ses résultats et son journal.
Comptes
Administrateurs, opérateurs, comptes clients limités à leur site, observateurs en lecture seule.
Mises à jour
Les versions de la sonde sont signées et vérifiées avant installation.
Ce qui n’existe pas encore.
- Pas encore d’authentification unique (SSO) ni de clés matérielles (WebAuthn) pour la console.
- Pas de haute disponibilité livrée clés en main pour le hub.
- Le journal d’audit est un historique transactionnel en base ; ce n’est pas une preuve cryptographique opposable à un administrateur de la base.
- La conservation du journal d’audit se décide avec l’exploitant : il n’y a pas de purge automatique.
Ces points sont décrits dans la documentation technique et dans chaque revue d’architecture que nous menons avec un client.
Une revue technique avec votre équipe ?
Nous parcourons l’architecture, les flux et le journal, sur une instance de démonstration.