L’engagement de l’ANSSI pour l’open source


L’investissement de l’ANSSI – l’un des plus grands contributeurs de l’Etat dans le logiciel libre - se veut pragmatique. Il répond à un réel enjeu de sécurité et de souveraineté, pour protéger les biens communs et investir dans des technologies et des solutions d’avenir. Cette démarche se fonde sur les possibilités inédites qu’offre l’open source en terme d’adaptation, de maîtrise, d’évaluation et de diffusion, à la condition d’y consacrer les ressources nécessaires.

Pour l’ANSSI, l’open source permet de développer les compétences indispensables à la maîtrise de technologies clés et de les partager autour de cas d’usage spécifiques.

Le logiciel libre est, de manière générale, un moyen pragmatique d’accroître le niveau de maîtrise de technologies clés. Il facilite le partage des connaissances et des solutions, ainsi que leur évaluation par les pairs, et permet de bénéficier des contributions de la communauté et des acteurs du numérique.

L’ANSSI s’investit ainsi dans le logiciel libre pour répondre à de multiples objectifs : élaborer des solutions adaptées à de nouveaux cas d’usage, sécuriser les composants de base les plus utilisés, mais également développer, entretenir et partager sa compétence et sa maîtrise des technologies clés du numérique.

Partager et soutenir des projets toujours plus ouverts

L’ANSSI et ses agents sont impliqués dans de nombreux projets partagés par l’agence et contribuent également à des projets tiers. Ces contributions portent notamment sur le noyau Linux, la distribution Debian et le logiciel Suricata de l’Open Infosec Foundation, en participant à la gouvernance et en contribuant techniquement, financièrement et humainement pour soutenir les communautés qui les animent.

Grands projets de l’ANSSI

L’ANSSI a fait un usage privilégié du logiciel libre pour ses travaux et les publie au profit des développeurs et des utilisateurs, afin d’en accroître les usages.

  • CLIP OS

Logo CLIP OS

CLIP OS est un système d’exploitation durci sur base Linux visant des environnements multiniveaux (cohabitation d’environnement de différents niveaux de sensibilité).

https://github.com/clipos

  • DFIR ORC

DFIR ORC est un outil modulaire de collecte de données présentes sur un système Microsoft Windows, fonctionnant de façon décentralisée et à grande échelle.

https://github.com/dfir-orc

  • OpenCTI

Le projet OpenCTI (Open Cyber Threat Intelligence), développé par l’ANSSI en partenariat avec le CERT-EU, est un outil de gestion pour structurer, traiter et partager les connaissances en matière d’analyse de la cybermenace (Threat Intelligence)

https://github.com/OpenCTI-Platform/opencti

  • WooKey

Le projet WooKey est un disque dur USB chiffrant sécurisé, dont les nombreux mécanismes matériels et logiciels implémentés lui permettent de résister à tout type d’attaques sophistiquées.

https://github.com/wookey-project

L’organisation ANSSI-FR

Pour mener à bien leurs missions ou leurs travaux de recherches, les agents de l’ANSSI développent des outils ou des projets, qui sont par défaut partagés en open source.

ANSSI-FR est l’organisation de référence de l’agence, qui héberge des projets autonomes avec un seul dépôt. L’ensemble de ces ressources sont mises à disposition de la communauté pour en développer les usages ou les contributions avec les équipes de l’ANSSI.

Autres projets et contributions

  • StemJail : outils de création et de mise à jour dynamique de conteneurs Linux non-privilégiés
  • Caml PKCS#11 : outils PKCS#11 en OCaml (Caml Crush et opkcs11-tool), notamment utilisés dans CLIP OS 4
  • Rusticata : parseurs sûrs écrits en Rust
  • Landlock : fork de Linux contenant les différentes versions du module de sécurité Landlock
  • Caradoc : parseur et validateur PDF
  • CW-LEIA : dépôts du projet LEIA (Lab Embedded ISO7816 Analyzer A Custom Smartcard Reader for the ChipWhisperer)
  • Parsifal : moteur de parsing en OCaml
  • Concerto : outils d’analyse de données TLS
  • GPO Check, GPO2SQL et GPOlist : outils de vérification de GPO Windows
Les organisations sont référencées sur Github comme organisations gouvernementales ainsi que dans l’inventaire DINSIC des dépôts de code sources des organismes publics.

Guides

L’ANSSI propose des guides de recommandations pour accompagner utilisateurs et développeurs dans leurs usages sécurisés de logiciels open source, dont les Recommandations de sécurité relatives à un système GNU/Linux ou encore le Guide pour développer des applications sécurisées en Rust.