Présentation de Citadel : l'informatique sécurisée pour un Internet hostile

La plupart des systèmes d’exploitation reposent sur une hypothèse silencieuse : votre ordinateur est votre allié. Le noyau fait confiance aux applications qu’il exécute, le micrologiciel fait confiance au noyau, et chaque composant suppose que rien n’a été modifié à son insu. Pour la plupart des gens, cette hypothèse tient, la plupart du temps. Pour un groupe bien précis de personnes, elle ne tient jamais.

Les journalistes, les militants, les défenseurs des droits humains, les chercheurs en sécurité et les employés d’organisations soumises à des attaques ciblées vivent avec un modèle de menace différent. Leurs adversaires sont patients, bien financés et techniquement compétents. Pour eux, un système qui se contente de « réduire la surface d’attaque » ne suffit pas. La base du système doit être structurée pour rendre la compromission persistante structurellement difficile.

Ce que Citadel change

Le système d’exploitation de base est monté en lecture seule et protégé par dm-verity. Si un seul octet change, le système refuse de démarrer. Chaque redémarrage renvoie à un état cryptographiquement certifié.

Entre votre travail et le monde extérieur se trouvent les realms. Chaque realm est un environnement de calcul isolé, avec ses propres applications, réseau et données, créé pour un projet, un client ou un contexte de sécurité. La compromission d’un realm n’atteint pas les autres.

Tout est vérifiable. Le système se met à jour comme un seul blob binaire signé, et chaque binaire est produit de manière reproductible à partir des sources publiques. Si vous ne voulez pas nous faire confiance, vous n’avez pas à le faire. Vérifiez par vous-même, ou attendez qu’un chercheur indépendant le fasse et publie le résultat.

Un héritage, pas une réécriture

Citadel n’est pas un système séparé. C’est la base de calcul en lecture seule au cœur de Subgraph OS, la couche immuable sur laquelle s’exécutent les realms. La filiation demeure, le même type de système de bureau utilisable pour des personnes confrontées à de réels adversaires, mais reconstruit autour d’un cœur immuable et de primitives d’isolation modernes.

Le premier Subgraph OS était l’un des premiers systèmes de bureau à traiter le bureau Linux comme une surface d’attaque pouvant être contenue. Citadel va plus loin : la contenance devient le sol sur lequel le système d’exploitation entier est bâti.

Les prochains articles aborderont les couches d’architecture, la conception de l’hyperviseur et ce que les « builds reproductibles » achètent réellement. Pour l’instant, retenez ceci : si l’expression « dette de sécurité » vous agace, c’est précisément le problème que Citadel attaque.