Sécurité avancée

La sécurité de MyQ est structurée en couches distinctes, dont l’application est gérée par des composants système séparés. Cette séparation protège les données et les services critiques pour l’entreprise, et les administrateurs doivent la comprendre afin de configurer les paramètres avancés de manière sûre et responsable.

Cette section traite des options de configuration de sécurité avancées. Pour les options générales de configuration avancée, reportez-vous à la section Configuration avancée.

Présentation de l’architecture de sécurité

Configuration Web TLS (routeur HTTP – Traefik)

Le routeur HTTP (Traefik) est chargé de mettre fin aux connexions HTTPS et de gérer les versions du protocole TLS ainsi que les suites de chiffrement.

Configurer la version TLS minimale

Pour définir la version TLS minimale autorisée, configurez le protocole SSL dans le fichier `config.ini`.

Ouvrez le fichier config.ini dans un éditeur de texte, puis ajoutez ou modifiez :

[Security]
sslProtocol=TLS1.3

Valeurs prises en charge :

• TLS1

• TLS1.1

• TLS1.2 (par défaut à partir de Print Server 10.2)

• TLS1.3

Ce paramètre s’applique à :

• Routeur HTTP (Web HTTPS)

• SMTP

• IPP

• LPR

• Messages (WebSockets)

Redémarrez tous les services après modification.

Configurer les suites de chiffrement

Utilisez les préréglages sécurisés (recommandé)

Ouvrez le fichier config.ini dans un éditeur de texte et ajoutez ou modifiez :

[Security]
sslCipherSuites=strict

Modes disponibles :

• compatible (par défaut)
  : autorise l’utilisation de chiffrements plus faibles sélectionnés pour assurer la compatibilité avec les périphériques hérités.

• strict
  Désactive les algorithmes de chiffrement faibles.

Les algorithmes de chiffrement suivants ne sont autorisés qu’en mode compatible :

• TLS_RSA_WITH_AES_128_CBC_SHA

• TLS_RSA_WITH_AES_256_CBC_SHA

• TLS_RSA_WITH_AES_128_GCM_SHA256

• TLS_RSA_WITH_AES_256_GCM_SHA384

• TLS_RSA_WITH_3DES_EDE_CBC_SHA

• TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA

Le mode strict est recommandé, mais le mode compatible reste le mode par défaut en raison des contraintes liées aux périphériques hérités.

Autoriser certaines suites de chiffrement

Pour autoriser certaines suites de chiffrement, modifiez le fichier traefik.custom.rules.yaml. Enregistrez ensuite le fichier et redémarrez tous les services pour que la modification prenne effet.

Exemple :

tls:
  options:
    default:
      cipherSuites:
        - TLS_RSA_WITH_AES_256_GCM_SHA384
        - TLS_RSA_WITH_3DES_EDE_CBC_SHA

Si l’option sslProtocol=TLS1.3 est imposée, la sélection des suites de chiffrement n’est pas configurable et les paramètres par défaut sécurisés de Traefik sont utilisés.

Assurez-vous que les périphériques connectés prennent en charge les suites de chiffrement sélectionnées.

En-têtes de sécurité HTTP (Apache)

Apache s’exécute derrière le routeur HTTP et ne met pas fin à la connexion TLS. Apache n’écoute que sur localhost et ne gère ni les versions du protocole TLS ni les suites de chiffrement.

Apache est chargé des en-têtes de sécurité des réponses HTTP.

Celles-ci comprennent :

• Politique de sécurité du contenu (CSP)

• Strict-Transport-Security (HSTS)

• X-Frame-Options

• X-Content-Type-Options

• Referrer-Policy

• Politique d’autorisations

• Autres protections au niveau des en-têtes

Emplacement de la configuration

Pour modifier la configuration des en-têtes de sécurité HTTP, modifiez ces deux fichiers. Redémarrez ensuite les services MyQ. Si le fichier httpd.template.conf n’est pas modifié, vos modifications seront écrasées lors des mises à jour du service.

• {install}\Apache\conf\httpd.conf

• {install}\Apache\conf\httpd.template.conf

Communication sécurisée hors Web

Certains composants de MyQ utilisent une communication sécurisée indépendante du protocole HTTPS Web.

Il s’agit notamment de :

• SMTP

• IPP

• LPR

• Composants C++ internes

Le comportement TLS de ces composants est contrôlé par le paramètre sslProtocol dans le fichier config.ini. Ce paramètre ne modifie pas les en-têtes HTTP et n’influe pas directement sur le comportement TLS d’Apache.

Forcer l’authentification Kerberos uniquement

Pour les environnements nécessitant une authentification stricte, ajoutez ce qui suit au fichier config.ini :

[Security]
KerberosOnly=true

Cela désactive le repli sur NTLM et impose une authentification exclusivement via Kerberos.

Assurez-vous que :

• L’enregistrement correct des SPN.

• La configuration de l’infrastructure Kerberos est correcte.

Une mauvaise configuration peut empêcher l’authentification.