🛠 Mise en route sécurisée du PlugMate : premier branchement

Objectifs

Ce tutoriel vise à initialiser correctement le PlugMate, un ordinateur miniature sécurisé, en maîtrisant les aspects critiques de la sécurité. Contrairement à un périphérique de stockage standard, le PlugMate exécute un système d'exploitation isolé (PlugOS) qui nécessite une configuration rigoureuse pour activer le chiffrement matériel et l'isolation des processus. L'objectif est d'établir un canal de communication chiffré avec l'hôte tout en configurant les mécanismes de défense anti-effraction, notamment le code de contrainte (duress PIN) et les politiques d'auto-reset. Cette procédure s'adresse aux utilisateurs avancés souhaitant comprendre la couche de sécurité sous-jacente plutôt que de suivre une installation simplifiée.

Matériel nécessaire

• Un PlugMate (TrustKernel) avec firmware à jour.
• Un hôte compatible : PC Windows (x86/x64), Linux, macOS (Apple Silicon uniquement) ou Android. Attention : les Mac Intel et Windows ARM ne sont pas supportés.
• Un câble USB-C de données de haute qualité (certifié USB 3.1 ou supérieur recommandé pour la bande passante).
• Le client hôte spécifique fourni par TrustKernel (téléchargé depuis le portail sécurisé).
• Un environnement physique sécurisé pour la configuration initiale.

Étapes

1. Préparation de l'hôte : Téléchargez et installez le client hôte officiel. Ne branchez pas encore le PlugMate. Vérifiez que les pilotes USB-C sont correctement chargés sur votre système d'exploitation.
2. Insertion physique : Insérez le PlugMate dans un port USB-C alimenté. Le démarrage prend environ 24 secondes. Les LED indiquent l'état du chiffrement du bus.
3. Appairage sécurisé : Lancez le client hôte. Une clé de session éphémère est générée. Scannez le QR code affiché sur l'écran de l'hôte avec l'application d'appairage si disponible, ou validez la clé manuellement pour prévenir les attaques de type Man-in-the-Middle.
4. Initialisation du stockage : Le système détectera le stockage eMMC chiffré. Vous devez définir un mot de passe principal fort. Ce mot de passe dérive les clés AES-256 utilisées pour chiffrer les données au repos.
5. Configuration de la sécurité : Définissez le code de contrainte (duress PIN). En cas de coercition, saisir ce code effacera immédiatement les clés de chiffrement, rendant les données irrécupérables. Configurez également le seuil d'auto-reset (5 à 15 tentatives échouées).
6. Validation de l'isolation : Vérifiez que les périphériques virtuels (GPS, Caméra) sont désactivés par défaut si non requis, pour minimiser la surface d'attaque.

Vérification

Accédez au menu des paramètres de sécurité dans PlugOS. Vérifiez que le statut du chiffrement est « Actif » et que le journal d'audit ne montre aucune tentative d'accès non autorisée. Testez la connexion réseau pour confirmer que le pare-feu système filtre correctement le trafic. Assurez-vous que l'hôte ne peut pas lire directement le système de fichiers du PlugMate via l'explorateur de fichiers standard.

Pour aller plus loin

Explorez la configuration des règles du pare-feu système pour restreindre les ports sortants. Consultez la documentation sur la gestion des clés de récupération pour éviter la perte de données en cas d'oubli du mot de passe principal.