Restriction des droits d'accès au dossier de données
Le dossier de données de MyQ Print Server contient des données hautement sensibles, notamment la base de données des utilisateurs et la clé privée du certificat TLS. Son emplacement actuel est affiché dans l’application MyQ Easy Config :
Tous les utilisateurs (locaux/du domaine) disposent par défaut d’un accès en lecture :
Seuls les administrateurs, le compte SYSTEM et le compte de service MyQ doivent avoir accès à ce répertoire. Voici un exemple de script batch pouvant être utilisé pour renforcer les autorisations :
@ECHO OFF
REM Add the virtual account SIDs to all MyQ Print Server services:
sc sidtype Apache unrestricted
sc sidtype FirebirdServerDefaultInstance unrestricted
sc sidtype KNM_PM unrestricted
sc sidtype MyQ unrestricted
sc sidtype traefik unrestricted
REM Grant rights to the virtual service accounts:
icacls "%ProgramData%\MyQ" ^
/grant:r "NT AUTHORITY\SYSTEM:(OI)(CI)F" ^
/grant "BUILTIN\Administrators:(OI)(CI)F" ^
/grant "NT SERVICE\MyQ:(OI)(CI)M" ^
/grant "NT SERVICE\Apache:(OI)(CI)M" ^
/grant "NT SERVICE\FirebirdServerDefaultInstance:(OI)(CI)M" ^
/grant "NT SERVICE\KNM_PM:(OI)(CI)M" ^
/grant "NT SERVICE\traefik:(OI)(CI)M" ^
/inheritance:r ^
/Q
Activer le chiffrement de la base de données
Chiffrez systématiquement la base de données à l’aide d’un certificat personnalisé afin de réduire le risque de fuites de données :
Le certificat doit disposer de l'utilisation de clé étendue (EKU) « Encrypting File System » et doit se trouver dans l'un des magasins de certificats suivants de l'ordinateur :
-
Personnel
-
Éditeurs de confiance
-
Autorités de certification racines tierces
-
Autres personnes
Le magasin « Personnel » est celui qui est recommandé.
Chiffrer les sauvegardes
Les sauvegardes de bases de données doivent être protégées par des mots de passe sécurisés, générés de manière aléatoire :
Activer le chiffrement du disque
Si possible, une technologie de chiffrement complet du disque, telle que Microsoft BitLocker, doit être activée sur le Print Server MyQ afin de protéger les données au repos :
