Sécurité

Omarchy prend la sécurité extrêmement au sérieux. Il s’agit d’un système d’exploitation que vous pouvez utiliser pour effectuer un véritable travail dans le monde réel. Un système avec lequel la perte d’un ordinateur portable ne peut pas provoquer une urgence de sécurité. Voici donc ce que nous faisons :

1. Le chiffrement intégral du disque est obligatoire : c’est l’étape la plus importante pour assurer la protection physique de vos données. Si votre ordinateur est perdu ou volé, les données sont entièrement chiffrées à l’aide du standard LUKS (Linux Unified Key Setup).
2. Le pare-feu est activé par défaut : tout le trafic entrant est bloqué par défaut, à l’exception du port 53317 pour LocalSend. Même SSH est désactivé jusqu’à ce que vous l’activiez via Configuration > Sécurité > SSHD, ce qui ouvre le port 22 (avec limitation du débit pour contrer les attaques par force brute) dans le cadre de la configuration. Nous verrouillons même l’accès à Docker à l’aide de la configuration ufw-docker afin d’éviter que vos conteneurs ne soient accidentellement exposés au monde entier.
3. Arch dispose toujours des dernières mises à jour : Arch, la distribution sous-jacente sur laquelle Omarchy est construit, est une distribution en publication continue. Cela signifie que, lorsqu’une vulnérabilité de sécurité est découverte et corrigée dans un paquet, le correctif devient rapidement disponible à l’installation avec omarchy-update. Vous utilisez ainsi toujours les versions les plus récentes et les plus sûres de tous les logiciels.
4. Omarchy gère ses propres paquets et son propre miroir : par défaut, Omarchy utilise uniquement les paquets provenant des dépôts core/extra/multilib d’Arch et de son propre dépôt de paquets Omarchy. Vous pouvez installer des logiciels directement depuis l’AUR, mais l’installation de base ne le fait pas ; seules quelques installations facultatives, comme celles des navigateurs tiers, utilisent l’AUR.
5. Cloudflare nous protège contre les attaques DDoS : toute l’infrastructure de distribution d’Omarchy — les images ISO, les paquets Omarchy et le miroir Arch — est protégée par le puissant bouclier anti-DDoS de Cloudflare et hébergée sur son CDN. Cela garantit une excellente disponibilité.

Modifier vos mots de passe #

Une installation chiffrée comporte deux mots de passe : celui qui déverrouille le disque au démarrage et celui que vous utilisez pour vous connecter et exécuter sudo. Tous deux peuvent être modifiés sous Mise à jour > Mot de passe dans le menu Omarchy : Chiffrement du disque pour le premier et Utilisateur pour le second. Pour modifier le mot de passe du disque, vous devez d’abord saisir le mot de passe actuel ; veillez donc à l’avoir à portée de main.

Céder une machine que vous avez déjà utilisée #

Si vous cédez votre machine à quelqu’un d’autre, vous n’avez pas besoin de la réinstaller. Exécutez Configuration > Réinitialiser l’ordinateur dans le menu Omarchy, saisissez reset pour confirmer, puis redémarrez. Cette opération efface tous les comptes utilisateur et tout le contenu de /home, supprime tous les paquets et toutes les modifications système effectuées depuis l’installation, et réinitialise l’identité de la machine, notamment les connexions réseau et les clés d’hôte. Au redémarrage, l’assistant de configuration initiale s’affiche, prêt à permettre au nouveau propriétaire de saisir son nom, son mot de passe et son mot de passe de chiffrement.

Cette opération restaure l’instantané de référence créé par le programme d’installation ; elle n’est donc disponible que sur les machines installées à partir de l’image ISO d’Omarchy. De plus, sur un disque non chiffré, une réinitialisation constitue une simple suppression et non un effacement sécurisé. Si les données étaient sensibles, effectuez plutôt une nouvelle installation.

sudo sans mot de passe #

Vous pouvez parfois souhaiter que sudo cesse de demander votre mot de passe, le plus souvent lorsqu’un agent d’IA effectue pour vous une longue série d’opérations système. Configuration > Sécurité > Sudo sans mot de passe désactive cette demande pendant 15 minutes, puis la rétablit automatiquement. Exécutez de nouveau cette commande avant la fin du délai pour rétablir la demande plus tôt, ou indiquez votre propre durée en minutes avec omarchy-sudo-passwordless 30 si 15 minutes ne suffisent pas.

Soyez pleinement conscient des implications : tant que cette option est activée, tout ce qui s’exécute sous votre compte utilisateur peut effectuer n’importe quelle action en tant que root sans qu’aucune confirmation ne soit demandée. C’est précisément l’objectif, mais aussi tout le risque.

Clés de signature #

La clé publique utilisée pour toutes les signatures des images ISO et des paquets du dépôt Omarchy est 40DFB630FF42BCFFB047046CF0134EE680CAC571 (vérifier sur openpgp.org). Le paquet omarchy/omarchy-keyring la contient également et permettra de déployer de façon transparente toute éventuelle mise à jour.

Vous pouvez trouver la signature de n’importe quelle version ISO en ajoutant .sig à l’URL. Par exemple : https://iso.omarchy.org/omarchy-x.x.x.iso.sig.