LFSi

Linux From SourcITEC — la distribution Linux durcie, construite intégralement depuis les sources.

Qu'est-ce que LFSi ?

LFSi est une distribution GNU/Linux d'entreprise conçue par SourcITEC, orientée serveur et appliance. Contrairement aux distributions classiques, LFSi n'assemble pas de paquets binaires venus d'ailleurs : chaque composant du système est compilé depuis son code source, vérifié, signé et tracé par notre chaîne de fabrication.

Le résultat : un système minimal, maîtrisé de bout en bout et durci dès l'installation selon les référentiels de sécurité reconnus CIS et DISA STIG.

LFSi est pensée pour être exploitable par un administrateur non spécialiste : installation guidée, interface web claire, console d'administration par menus, documentation pas à pas.

Pourquoi LFSi ?

La maîtrise totale de ce qui tourne sur votre serveur

Chaque binaire présent sur un système LFSi provient d'une source vérifiée (somme de contrôle, signature), patchée de façon tracée et compilée par notre chaîne. Chaque artefact est accompagné de sa nomenclature logicielle (SBOM) et d'un manifeste d'empreintes signé : vous savez exactement ce qui est installé, d'où cela vient, et comment cela a été construit.

La sécurité par défaut, pas en option

• Système durci dès le premier démarrage : socle CIS niveau 1 et STIG catégorie I appliqué par l'installeur, avec rapport de conformité initial.
• Les niveaux supérieurs (CIS L2, STIG CAT II/III) s'activent ensuite, progressivement, depuis l'interface d'administration.
• SELinux en mode enforcing, pare-feu nftables fermé par défaut, audit système complet, intégrité des fichiers surveillée (AIDE).
• Tout est fermé par défaut ; chaque ouverture est explicite, déclarée et journalisée.

Un cloisonnement réseau natif

LFSi gère de 1 à N cartes réseau et organise le trafic en zones de confiance :

À l'installation, vous choisissez votre mode de zonage, quel que soit le nombre de cartes détectées : tout sur une carte (avec séparation par VLAN et pare-feu), ou une répartition sur plusieurs cartes — l'administration étant toujours isolée en priorité. Les cartes restantes peuvent ensuite être affectées depuis l'interface web : complément de zone, agrégation (teaming), ou création d'une zone personnalisée (une DMZ par exemple). Par défaut, seule la zone admin peut initier des connexions vers les autres ; tout le reste est cloisonné.

Les fonctionnalités clés

Une installation simple, de l'ISO au système durci

• Image ISO amorçable en UEFI et BIOS.
• Installeur guidé (menus) ou entièrement automatisé par fichier de réponses, pour industrialiser vos déploiements.
• Partitionnement durci par défaut, chiffrement des disques (LUKS) proposé.
• Sélection des applications dès l'installation, ou plus tard.

Des applications gérées proprement, à part du système

Les applications (serveur web, bases de données, etc.) vivent dans une couche séparée : le système de base n'est jamais modifié. Le gestionnaire app est volontairement simple :

app install <nom>     # installer
app remove <nom>      # désinstaller proprement
app list              # lister
app search <motif>    # chercher
app upgrade           # mettre à jour
app verify <nom>      # vérifier l'intégrité

Chaque application est compilée depuis ses sources par notre chaîne, signée, et son installation est transactionnelle : en cas de problème, retour automatique à l'état précédent. Si une application doit ouvrir un port réseau, elle le déclare — jamais d'ouverture silencieuse.

Deux façons d'administrer, un seul moteur

• Interface web (zone admin uniquement, HTTPS) : tableau de bord, réseau et zones, applications, services, utilisateurs, mises à jour, journaux, conformité.
• Console : l'administrateur LFSi (compte que vous nommez à l'installation) se connecte et arrive directement dans un menu d'administration sécurisé — toute l'administration s'y fait, et on en sort uniquement par l'option « Quit ». Pas de shell libre, pas de fausse manœuvre possible.
• Le compte root existe, mais il est réservé au « brise-glace » : un dernier recours, sur console physique uniquement, tracé et encadré.

Une administration déléguée par application

Vos applications (Apache, MariaDB, PostgreSQL, nginx…) peuvent être confiées à des administrateurs applicatifs : des comptes web dédiés qui ne voient que leurs applications (configuration, redémarrage, journaux) — jamais l'administration du système. L'administrateur LFSi, lui, garde la main sur tout.

Des mises à jour signées, avec ou sans Internet

• Les mises à jour (système et applications) arrivent sous forme de paquets signés, vérifiés avant toute application, réversibles (rollback).
• En ligne : via votre abonnement (jeton sécurisé géré dans l'interface web).
• Hors ligne : par import d'un paquet signé — idéal pour les environnements isolés (air-gap). Sans abonnement actif, votre système reste pleinement opérationnel.

Multi-architecture

LFSi se construit pour x86-64, ARM64, ARMv7 et RISC-V : du serveur de datacenter à l'appliance embarquée, le même système, le même niveau d'exigence.

En résumé

Pour aller plus loin

• Démarrage rapide — installer LFSi en 30 minutes
• Concepts — comprendre les zones, les paquets, la conformité
• Guide de construction — compiler LFSi depuis les sources (intégrateurs)
• Guide d'installation — pas à pas, écran par écran
• Guide d'administration — interface web et console
• Gestion des paquets — le gestionnaire app
• Réseau & zones — configurer son zonage
• Matériel pris en charge — ce qui fonctionne, ce qui n'est pas supporté, et pourquoi
• Conformité CIS/STIG — comprendre et piloter son niveau de durcissement
• Dépannage — diagnostics et procédure « brise-glace »
• Glossaire — tous les termes, expliqués simplement

Ressources du projet - Dépôt Git : git.sourcitec.com - Dépôt des sources : sources.lfsi.sourcitec.com

LFSi — Linux From SourcITEC. © SourcITEC — LFSi team.