Sécurité

Dans mon article sur les gestionnaires de mots de passe, je t’ai dit lequel j’avais choisi : Proton Pass. Et je t’ai promis d’y revenir, parce qu’un choix balancé en une phrase, ça ne vaut rien tant que tu ne sais pas ce que tu signes vraiment. Alors on y est. Pas pour te vendre Proton Pass : tu as déjà le cadre pour décider si c’est le bon outil pour toi, et si ta réponse est Bitwarden, tu as fait un très bon choix aussi. Cet article part de l’étape d’après : tu as tranché pour Proton Pass, tu ouvres la page d’inscription, et là une série de questions se posent que personne ne t’explique. Faut-il payer ? Qu’est-ce que le gratuit te donne vraiment ? Et surtout, ce fameux filet de récupération dont je t’ai parlé sans le détailler : c’est quoi, concrètement, et qu’est-ce qui se passe le jour où tu oublies ton mot de passe maître ? ...

Pourquoi je te montre mon réseau Depuis le début de ce blog, on a installé Proxmox, monté un Pi-hole, durci l’hyperviseur. À chaque fois, je t’ai dit quoi faire et pourquoi le faire. Mais il y a un sujet que j’ai gardé en arrière-plan jusqu’ici : le terrain sur lequel tout ça repose. Le réseau lui-même. Cet article ouvre une nouvelle série consacrée à la sécurité et à l’observabilité du homelab. Et elle commence par une visite guidée de mon propre réseau : son architecture, ses zones, et surtout la logique derrière chaque cloisonnement. ...

Le problème : ton mot de passe peut tomber quand même Si tu as suivi l’article précédent, tu as fait le plus dur. Un mot de passe unique et solide pour chaque compte, généré et stocké par ton gestionnaire. Tu as fermé la porte la plus béante. Et pourtant, cette porte peut encore s’ouvrir. Parce que la force d’un mot de passe ne te protège que contre une seule chose : qu’on le devine. Quarante caractères aléatoires sont impossibles à deviner, c’est vrai. Mais ils ne te protègent pas contre le fait qu’on te le prenne. Et il y a deux façons de te le prendre : ...

Le vrai problème (ce n’est pas toi) Tu réutilises le même mot de passe, ou trois-quatre variantes, sur des dizaines de sites. Pas par négligence : parce qu’aucun cerveau humain ne retient 200 mots de passe uniques. Le système te demande quelque chose d’impossible, et tu fais ce que tout le monde fait. Le problème, c’est ce qui se passe ensuite. Les sites se font pirater en permanence — pas seulement ta banque, surtout le petit forum sur lequel tu t’es inscrit en 2015 et que tu as oublié depuis. Le jour où l’un d’eux fuite, ton adresse mail et ton mot de passe se retrouvent dans une base de données qui circule. Et là, des outils automatisés essaient ce couple identifiant/mot de passe sur des centaines d’autres services : ta boîte mail, tes comptes marchands, tes réseaux. Ça s’appelle le credential stuffing, et c’est entièrement industrialisé. ...

Le 19 octobre 2025, en plein jour et en quelques minutes, quatre individus repartent du Louvre avec des bijoux de la Couronne. Le casse fait le tour du monde. Mais le détail qui sidère vraiment arrive quelques jours plus tard, quand CheckNews, le service de fact-checking de Libération, met la main sur les audits de sécurité du musée. Le mot de passe qui protégeait le serveur de vidéosurveillance du plus grand musée du monde, c’était : LOUVRE. Et pour accéder à un logiciel de Thales, c’était THALES. ...

Tu as verrouillé l’interface web de Proxmox dans la partie 1 : compte dédié, double authentification, pare-feu. La porte de devant est solide. Mais il reste une entrée dont on n’a pas parlé : l’accès SSH au système Debian qui fait tourner Proxmox. Durcir SSH, c’est désactiver le login root, passer à l’authentification par clé et bloquer les tentatives répétées avec fail2ban. On va voir comment mettre tout ça en place. ...

Tu viens d’installer Proxmox VE 9, et si tu as suivi l’article précédent, tu as maintenant une interface d’administration qui tourne, accessible dans ton navigateur sur le port 8006. Tu t’y connectes avec root et le mot de passe choisi à l’installation. Ça marche, c’est satisfaisant, et c’est exactement là que la plupart des gens s’arrêtent. Problème : root, c’est le passe-partout de tout le bâtiment. Il ouvre absolument toutes les portes — créer, détruire, reconfigurer, effacer. Or tu ne te balades pas avec le passe dans la poche du matin au soir juste pour ouvrir ton propre bureau. Tu prends ta clé perso pour le quotidien, et tu gardes le passe-partout au coffre, pour les urgences. Travailler en root toute la journée sur ton hyperviseur, c’est exactement l’inverse : se promener avec le passe en permanence. Et le jour où ce mot de passe fuite, est deviné, ou se retrouve dans une fuite de données quelconque, ce n’est pas une porte qui s’ouvre, c’est tout le bâtiment qui s’écroule — l’intégralité de tes machines virtuelles. ...