Cas 5. Hydra : l'architecture souveraine, jusqu'à ses pièges
Contexte¶
La Régie Hydra exploite un réseau de distribution d'eau pour une agglomération. Sa politique de sécurité interdit que les clés protégeant ses systèmes soient détenues par un tiers hors juridiction : aucun service de clés d'un fournisseur cloud n'est envisageable. Deux centres de données lui appartiennent, exploités par ses propres équipes. Le système d'information industriel est séparé du système de gestion, et Vault sert le second.
Ce cas prolonge le chapitre 23 et va jusqu'aux pièges que le fil rouge n'a pas rencontrés.
Contraintes¶
Souveraineté stricte, donc descellement par un gardien interne ou cérémonie humaine, sans troisième voie. Une exploitation continue avec des équipes en poste, ce qui rend une cérémonie occasionnelle acceptable mais pas quotidienne. Des exigences de traçabilité issues du secteur. Et une culture d'ingénierie prudente, qui demandera à comprendre chaque dépendance avant de l'accepter.
Risques principaux¶
Le risque propre au montage est la paire fatale du chapitre 23 : la réunion d'une copie du stockage principal et d'un accès de déchiffrement à la clé d'enveloppe. À deux centres et avec des équipes communes, cette réunion est plus facile que chez Astrea, et l'architecture doit l'empêcher par construction.
Le second risque est plus subtil, et il faut le nommer car il séduit régulièrement les équipes qui découvrent le Transit Seal : le scellement croisé. Deux clusters, chacun descellant l'autre. L'idée paraît élégante et symétrique ; elle produit un verrou mortel. Après une coupure générale, chacun attend l'autre pour se desceller, aucun ne démarre, et aucune procédure ne les débloque, sauf à disposer de recovery keys permettant de reconfigurer un seal, ce qui suppose de l'avoir prévu, écrit et exercé.
La règle à retenir dépasse le cas : la récursion du scellement doit se terminer sur un quorum humain, jamais sur une boucle.
Architecture proposée¶
Un cluster principal de cinq nœuds répartis entre les deux centres et un troisième point de vote, selon la logique du cas 4.
Deux gardiens, un par centre, chacun sous Shamir avec des porteurs et des coffres propres. Ils hébergent la même clé d'enveloppe logique mais pas la même instance : chaque nœud du cluster principal est configuré avec le gardien de son centre, et l'enveloppe de la clé racine est produite par les deux, de sorte que la perte d'un centre laisse l'autre capable de desceller ses nœuds. La configuration se vérifie par un exercice explicite, centre par centre.
Les gardiens sont minimaux : aucune autre clé, aucun autre montage, aucun consommateur. Leur sobriété est leur défense, et elle se vérifie à chaque revue.
L'amorçage suit un ordre écrit, celui du chapitre 23 étendu à deux centres : les gardiens d'abord, chacun descellé par sa cérémonie, puis les nœuds du cluster principal, qui se descellent seuls. La procédure de reprise générale figure en une page, plastifiée, dans les deux salles.
Les sauvegardes sont croisées, et c'est le point délicat. Le snapshot du cluster principal est chiffré par une clé hors ligne et déposé dans les deux centres ; la sauvegarde de chaque gardien suit le même chemin, avec une clé distincte et des détenteurs distincts. La règle qui gouverne l'ensemble : aucun lieu, aucun coffre et aucune équipe ne doit détenir à la fois une copie du stockage principal et de quoi ouvrir une clé d'enveloppe.
Choix techniques argumentés¶
Deux gardiens indépendants plutôt qu'un seul redondé : la simplicité prime sur l'élégance quand il s'agit du composant dont dépend la capacité à redémarrer. Deux machines sobres, deux cérémonies distinctes, deux registres, et aucun mécanisme de réplication à comprendre en pleine crise.
Le refus du scellement croisé se documente explicitement dans le dossier, avec l'explication du verrou mortel, parce que l'idée reviendra à chaque changement d'équipe. Un dossier qui ne dit pas pourquoi une solution séduisante a été écartée finit par la voir réapparaître.
La dispersion des matériels entre centres et équipes est traitée comme une contrainte d'architecture, pas comme une consigne : les procédures d'accès aux coffres sont écrites de façon qu'aucune personne seule ne puisse réunir une paire suffisante, ce qui se démontre à l'auditeur en listant les paires et leurs séparations.
Alternatives écartées¶
Un service de clés externe : interdit par la politique, et l'exercice consiste précisément à faire sans. Un module matériel dédié : la réponse la plus solide, disponible avec l'édition Enterprise, écartée pour des raisons de coût et de délai, avec recommandation de réexamen au prochain cycle d'investissement. Le scellement croisé : écarté pour le verrou mortel. Une cérémonie humaine à chaque redémarrage : écartée parce que cinq nœuds redémarrant plusieurs fois par an mobiliseraient les porteurs bien trop souvent, avec la certitude qu'une procédure de contournement finirait par apparaître.
Compromis assumés¶
Deux gardiens signifient deux quorums humains à maintenir, deux registres de porteurs et deux jeux de vérifications annuelles : la charge de gouvernance double, et c'est accepté comme le prix de la souveraineté.
La disponibilité de la capacité à redémarrer dépend de machines internes, sans le niveau de service d'un fournisseur spécialisé : la supervision dédiée et les exercices trimestriels compensent partiellement.
Enfin, les gardiens sont des cibles de grande valeur dans une infrastructure interne dont le niveau de durcissement, quoique bon, n'atteint pas celui d'un module certifié.
Stratégie de récupération¶
| Perte | Effet | Traitement |
|---|---|---|
| Un nœud | aucun | automatique |
| Un centre | aucun, grâce au troisième point de vote | automatique, descellement par le gardien local |
| Un gardien | service intact, redémarrages de ce centre bloqués | alerte de capacité à redémarrer |
| Les deux gardiens | service intact tant qu'il tourne, aucun redémarrage possible | reconstruction urgente depuis sauvegarde |
| Le stockage principal | service interrompu | restauration avec le gardien adéquat |
| Une clé d'enveloppe et sa sauvegarde | snapshots correspondants illisibles | sans reprise : prévention par double sauvegarde |
| Les parts d'un gardien | ce gardien irréparable | l'autre centre prend le relais |
La rédaction de cette matrice est l'exercice principal proposé aux étudiants sur ce cas.
Questions de discussion¶
- Rédigez, pour le dossier d'Hydra, l'encadré expliquant pourquoi le scellement croisé est refusé. Adressez-le à un ingénieur compétent qui trouve l'idée élégante.
- La double instance oblige à produire l'enveloppe de la clé racine par deux clés distinctes. Décrivez la manœuvre, ses vérifications, et ce qui se passe si l'une des deux tourne sans l'autre.
- Un auditeur demande la démonstration qu'aucune personne seule ne peut réunir une paire suffisante. Rédigez la réponse en listant les paires, leurs séparations, et la preuve que vous pouvez apporter pour chacune.