R8 (mitigations CPU) coupe le SMT via mds=full,nosmt. Désactivé via
security.anssi.exceptions.R8 (mécanisme prévu par le module), puis
boot.kernelParams réaffirme le reste de R8 à l'identique du texte
source (modules/anssi/kernel-options.nix), sauf mds=full,nosmt ->
mds=full (valeur alternative documentée du même paramètre, mitige MDS
sans couper l'hyperthreading).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- vendor modules/anssi/ depuis SécurixOS (DINUM), copy-paste explicitement
supporté par son propre README, licence MIT
- hosts/common/base.nix: security.anssi.enable, level=intermediary,
category=client -- remplace le bloc sysctl qui n'existait que sur le
profil oreo (nixos_users), même valeurs, rien de plus fort
- garde systemd.coredump.enable=false + apparmor (pas couvert par le
module ANSSI, exception R45 explicite côté Sécurix)
- ip_forward=0 (R12) n'affecte pas pxe-server, qui n'importe pas ce fichier
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- install.sh: copie le repo (clone substitué) vers /mnt/etc/nixos après
nixos-install, sinon la machine installée n'a aucun fichier à éditer
- base.nix: hardware.enableRedistributableFirmware pour les cartes wifi
nécessitant un firmware non-libre
- desktop.nix: fond d'écran NixOS par défaut via dconf (n'existait pas)
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
DamienandClaude Sonnet 5