Fonctionnalités · 06 / 06

Sécurité

Garder la donnée chez vous et décider de ce qui sort : réseau, mises à jour, accès, licence.

« Qu'est-ce qui sort de chez moi, et qui peut y entrer ? »

Ce que ça change

Vous produisez sans réseau
DMEOS® tourne dans votre atelier et continue de produire quand la connexion tombe.
Vos données restent chez vous
Rien ne sort sans votre décision, et Farm-3D n'a pas accès à votre production.
Seuls vos postes entrent
DMEOS® ne s'ouvre que sur les postes que vous avez listés, et les gestes sensibles demandent un nom et un code personnel (PIN).

Fonctionne déconnecté
Aucune dépendance réseau permanente.
Posture réseau par canal
Scellé, supervisé ou connecté : chaque sortie est décidée et prouvable.
Postes autorisés
Seuls les postes de votre réseau que vous listez ouvrent DMEOS®.
Extranet chiffré
Hébergé en France, pour superviser à distance.

Mises à jour hors ligne
Hash vérifié, clé USB, nom et PIN exigés. Rien ne se relance seul.
Licence qui ne coupe pas
Jamais une unité en service n'est arrêtée par un contrôle de licence.

Sécurité, en détail

Chaque ligne décrit ce que le produit fait aujourd'hui et se vérifie sur l'unité livrée.

Disque chiffré sur toute unité livrée
Unités Linux : LUKS2, clé scellée dans la puce TPM 2.0. Unités Windows : BitLocker avec protecteur TPM.
Contrôle avant livraison
Une unité au disque non chiffré ou sans clé de secours est refusée. Sur PC, aussi une clé non liée à la puce ou un démarrage sécurisé (Secure Boot) coupé.
Fichiers de pièce sous double enveloppe
En plus du disque, une enveloppe AES-256-GCM sous une clé générée sur l'unité, scellée par sa puce sur PC. Cette clé n'existe nulle part ailleurs.
Clé de secours
Affichée une seule fois, recopiée sur papier et ressaisie avant la fin de l'installation. Jamais écrite sur le disque, dans un journal ni sur le réseau.
État mesuré et affiché
Le chiffrement est mesuré par l'unité elle-même ; un disque en clair allume une alerte rouge sur tous les écrans.
Édition Mini
Volume de données chiffré ; clé scellée dans un module TPM.

Trois profils, fixés à la livraison
Scellée : rien ne sort. Supervisée : présence seule. Connectée : présence et mises à jour. Le profil vient d'un document signé par Farm-3D, lié au numéro de série de l'unité.
Imposé par le système, pas seulement par l'application
Le profil pilote un pare-feu sortant à refus par défaut (nftables sous Linux (AlmaLinux), Pare-feu Windows). Seul le réseau local du site reste joignable.
Services du système coupés
Hors profil Connectée : Windows Update, télémétrie, SmartScreen, consultations cloud de Defender (Defender reste actif), mises à jour d'Edge et de WebView2, minuteurs dnf et apt.
Preuve à l'écran
Réglages montre si le pare-feu est en vigueur, le nombre de sorties refusées et les dernières destinations bloquées.
Seul Farm-3D peut assouplir le profil
L'opérateur peut toujours le rendre plus strict. L'assouplir exige une autorisation signée par Farm-3D, liée à l'unité et déposée hors ligne.
Aucun accès entrant de Farm-3D
Ni clé SSH ni prise en main à distance. Le support passe par un dossier de diagnostic, sur une fenêtre de 24 h au plus ouverte par l'opérateur.
Télémétrie bornée par le profil
Aucune en Scellée. Quel que soit le profil, jamais de donnée de production dans le signal de présence.

Chaque paquet est signé
Signature OpenPGP Ed25519, vérifiée contre une clé publique compilée dans le logiciel, avant que le contenu du paquet soit ouvert.
Signature obligatoire
Paquet non signé, signé par une clé inconnue ou d'empreinte SHA-256 discordante : refusé. Aucun réglage ne le contourne.
Jamais de retour arrière
Une version antérieure ou égale à celle installée est refusée, jusque dans l'installateur privilégié.
Clé USB pour les unités hors réseau
FAT32 uniquement. Rien de la clé n'est exécuté : elle n'apporte que des données, vérifiées avant tout usage.
Nom et PIN à chaque installation par clé
Toujours exigés, quel que soit le réglage de l'unité ; l'auteur est inscrit au journal avant le début de l'installation.
Clé étrangère : alarme
Une clé de stockage inconnue ou un paquet altéré déclenche une alarme sonore et une bannière à l'écran.
Correctifs du système par la même clé
Unités Linux : les correctifs de sécurité du système arrivent hors ligne, sous la signature de Farm-3D et celle de l'éditeur.
Unités livrées : clé de production seulebientôt
Confiance limitée à la clé de production Farm-3D, qui signe sur une station hors ligne, jamais dans le cloud ni dans l'intégration continue.
Clé de signature de secours et révocationbientôt
Remplacer une clé de signature par clé USB, sans déplacement sur site.

Licence liée au matériel
Signée par Farm-3D, vérifiée hors ligne sur l'unité, liée à son empreinte matérielle, puce TPM comprise sur PC.
Copie inutilisable
Un disque copié ou une unité clonée sur un autre matériel ne s'installe pas.
Ne coupe jamais une unité en marche
Aucun contrôle de licence n'arrête une unité en service ni une impression en cours ; un défaut s'affiche et se répare sur place.
Deux clés, deux usages
La clé qui signe les licences ne signe pas les paquets : émettre une licence ne permet pas de fabriquer une mise à jour.

Journal en ajout seul
Imposé par la base de données : le compte de l'application ne peut ni modifier ni supprimer un événement.
Nom et PIN, toujours, pour les gestes sensibles
Changer le profil réseau, autoriser un poste, ouvrir une fenêtre de diagnostic, installer par clé, relancer une impression.
Accès par code PIN, selon le rôle
Trois rôles : opérateur, manager, référent. Chacun s'identifie par son code personnel ; l'administration de l'unité est réservée au référent.
Niveaux d'habilitation au-delà des rôlesbientôt
Des niveaux d'opérateur, acquis par la formation, en plus des trois rôles.
Un geste non signé est dit tel quel
Fait sans PIN, il est enregistré au nom du poste et marqué non signé, jamais attribué à une personne.
Une mesure manquante est signalée
Si un capteur ou une machine ne répond pas, l'écran affiche « non disponible » au lieu d'un chiffre.
Empreinte du rapport d'impression
L'empreinte SHA-256 du document est calculée et conservée à sa génération.
Diagnostic tracé
Chaque ouverture ou fermeture de fenêtre de diagnostic est inscrite au journal : qui, quand, jusqu'à quand.