Kodetis · Station de décontamination USB
Entre une clé USB inconnue et votre réseau, il n'y a que la confiance.
SAINE reçoit le support hostile, l'isole, analyse son contenu, et ne restitue que des fichiers assainis et tracés. Votre réseau n'est jamais exposé.
Le problème
Trois gestes de deux secondes.
- 01
Le prestataire arrive pour une intervention et branche sa clé sur le poste d'accueil pour lancer sa démonstration.
- 02
Le stagiaire veut imprimer son rapport et passe par le poste le plus proche, qui se trouve être en zone de production.
- 03
L'agent récupère les photos d'un chantier sur la carte mémoire qu'on vient de lui tendre.
Aucun de ces trois gestes n'est une faute. Ils font partie du travail, ils se répètent chaque semaine, et ils ne passent par aucun contrôle. Entre le support et le réseau, il n'y a que la confiance accordée à la personne qui le tend.
L'angle mort
Ce que vous avez déjà ne regarde pas là.
Ces trois dispositifs sont en place presque partout, et ils font leur travail. Ils répondent tous à la même question — qui a le droit de brancher ? — et aucun ne répond à celle qui vient après :qu'est-ce qui vient d'entrer ?
Le blocage des ports par stratégie
ce qu'il traite
Qui a le droit de brancher un support, et sur quels postes.
ce qui lui échappe
Il ne dit rien du contenu. Sur les postes autorisés — et il en faut, sinon le travail s'arrête — le support entre tel quel. Ailleurs, le fichier arrive par une autre voie et le transfert n'a pas disparu, il s'est déplacé.
L'antivirus du poste de travail
ce qu'il traite
Les menaces connues, une fois le support monté par le système.
ce qui lui échappe
Il analyse après que le noyau a monté le volume et interprété son système de fichiers. Ce qui vise cette étape-là a déjà été exécuté quand l'analyse commence.
La charte et la sensibilisation
ce qu'il traite
Ce que chacun sait qu’il doit faire.
ce qui lui échappe
Elle repose sur un jugement porté au cas par cas, par une personne pressée, devant un support qui a l'air normal. Elle ne laisse aucune trace : rien ne distingue, après coup, un transfert prudent d'un transfert qui ne l'a pas été.
La traversée
Ce qui se passe entre les deux ports.
Temps 01Insertion
Le support est inséré dans le port d'entrée, physiquement séparé du reste de la station. Aucun montage automatique, aucun pilote du système hôte : le noyau ne parle jamais directement au périphérique.
usbsas-usbdev · usbsas-dev2scsi
Temps 02Isolation
Chaque tâche de lecture tourne dans son propre processus, confiné par une politique seccomp qui lui est propre. Un processus ouvre tous les fichiers dont il aura besoin, puis entre dans son bac à sable avant de lire le moindre octet du support.
usbsas-sandbox · seccomp + landlock
Temps 03Analyse et neutralisation
Le contenu est extrait vers une archive intermédiaire, puis soumis à l'analyse antivirale. Ce qui n'est pas reconnu comme sain ne franchit pas cette étape. Les formats de système de fichiers ne sont jamais réinterprétés côté sortie.
usbsas-files2tar · analyzer
Temps 04Restitution tracée
Un système de fichiers neuf est reconstruit de zéro sur le support de sortie. Rien du support d'origine n'est recopié tel quel : ni table de partitions, ni secteur de démarrage, ni métadonnée de système de fichiers.
usbsas-files2fs · usbsas-fs2dev
Ce qui sort
Ce que votre organisation récupère.
- Un support de sortie reconstruit
- Un support prêt à l'emploi, qui ne contient que les fichiers retenus et rien d'autre. Il s'ouvre sur n'importe quel poste, sans outil ni procédure particulière.
- Un journal de ce qui est entré et de ce qui est sorti
- Chaque transfert laisse le relevé de ce qui a été présenté, de ce qui a été retenu et de ce qui a été écarté, avec le motif du refus. Le journal est exploitable sans avoir à rejouer le transfert.
- De quoi répondre à un auditeur
- Le relevé permet de démontrer qu'un contrôle a eu lieu, quand, sur quel support, et ce qu'il a produit. C'est ce qui distingue une mesure appliquée d'une mesure déclarée.
Les fichiers
La trace
La preuve
L'écart
Ce qui change, ligne à ligne.
| Aujourd'hui | Avec SAINE |
|---|---|
| Aujourd'huiLe support est branché sur un poste du réseau de production. | Avec SAINELe support n'est branché que sur la station, qui n'est reliée à aucun réseau de confiance. |
| Aujourd'huiLe noyau du poste monte le support et interprète son système de fichiers. | Avec SAINELe noyau de la station ne touche jamais au contenu du support. |
| Aujourd'huiLe contrôle repose sur le jugement de la personne qui apporte le support. | Avec SAINELe contrôle est le même à chaque transfert, quelle que soit la personne. |
| Aujourd'huiRien ne distingue, après coup, un transfert contrôlé d'un transfert qui ne l'a pas été. | Avec SAINEUn transfert contrôlé est identifiable, daté et rattachable à son support. |
| Aujourd'huiUn fichier indésirable se découvre une fois qu'il est déjà sur le réseau. | Avec SAINEUn fichier écarté l'est avant d'atteindre le support de sortie. |
Sur quoi ça repose
Ce que vous pouvez vérifier.
- Un noyau logiciel issu de la recherche publique
- SAINE est construite sur usbsas, développé et publié en logiciel libre par le CEA. Le code du socle est public : il peut être lu, audité et vérifié sans passer par nous.github.com/cea-sec/usbsas
- Construite selon les recommandations de l'ANSSI
- La conception de la station suit les recommandations publiées par l'ANSSI sur la construction des stations blanches, ainsi que celles relatives au durcissement des systèmes GNU/Linux.
- Le contrôle ne dépend d'aucun service extérieur
- L'extraction, l'analyse et la reconstruction se font sur la station. Aucun fichier n'est transmis ailleurs pour être examiné, et la station n'est reliée à aucun réseau de confiance. Seule la base de signatures antivirales est actualisée depuis l'extérieur.
- Conçue et assemblée à La Réunion
- La conception, l'intégration et l'assemblage sont réalisés par Kodetis à La Réunion. L'interlocuteur technique est sur le territoire, dans votre fuseau horaire.
- Programme pilote 2026
- SAINE n'est pas un produit sur étagère. Les premières stations sont déployées dans le cadre d'un programme pilote, avec un accompagnement direct par l'équipe qui l'a construite.
Parlons-en
Il reste à le voir fonctionner.
Une démonstration se fait sur vos propres supports, avec vos propres fichiers. C'est le seul moyen de juger d'une station de décontamination, et c'est le plus court.
« ZimaBoard 2 3D Model » par ZimaSpaceCC BY-NC 4.0Rendu web adapté