12. Les détournements : ce que Warda empêche, et ses limites

Ce que Warda empêche#

• Servir contre les autres. Warda ne répond qu'aux appareils de votre réseau. Une requête venue d'Internet n'a pas de réponse, même à travers un port redirigé sur votre box. À partir de Warda 0.8.0, une requête qui vient d'Internet à travers un reverse proxy ou un tunnel (Traefik, nginx, Caddy, Cloudflare Tunnel…) est refusée aussi.
• Ses outils utilisés comme une arme. Le ping, le traceroute, le test de port et les tests d'un SIEM ou d'un annuaire sont réservés aux administrateurs, un à la fois et 30 par minute au plus, et chacun est inscrit dans le journal.
• Un mot de passe enregistré envoyé ailleurs. Avec Warda Business, le mot de passe de l'annuaire de l'entreprise est redemandé quand son serveur ou son chiffrement change.
• Un membre qui veut plus de droits, ou un enfant qui veut contourner les règles. Un membre ne peut pas se donner de droits ; Quelque chose ne marche plus n'ouvre jamais le contenu pour adultes ni les horaires d'un enfant ; les VPN, proxys et DNS chiffrés sont bloqués pour les mineurs et signalés.
• Un adulte qui lit la navigation d'un autre adulte. Les noms qu'un adulte visite ne sont montrés à personne d'autre sans son accord.
• Un port DNS ouvert sur votre box sans que vous le sachiez. À partir de Warda 0.8.0, le contrôle de l'exposition sur Internet (chapitre 5) essaie aussi les ports 53 et 853, et les signale comme critiques (en TCP : une redirection du seul UDP 53 n'est pas vue).
• Les mots de passe devinés. Les essais sont ralentis, un second facteur est disponible, les sessions se terminent d'elles-mêmes.

Ce qu'il n'empêche pas#

• La première heure. Tant que le boîtier n'est pas installé, n'importe qui sur votre réseau qui connaît le mot de passe par défaut (il est public : c'est le mois de la version) peut l'installer à votre place, pendant l'heure qui suit chaque démarrage.
• Un administrateur qui abuse du boîtier. Un administrateur peut envoyer tous les noms demandés à un SIEM, donner les appareils d'un adulte à un enfant, relier son propre compte à un adulte qui n'en a pas et voir alors l'historique de cette personne, ou réinitialiser un mot de passe. Tout est inscrit dans le journal, que les autres administrateurs lisent, mais l'adulte concerné n'est pas toujours prévenu.
• Un téléphone avec une nouvelle adresse Wi-Fi privée est un nouvel appareil : tant que vous ne l'avez pas placé, il a les règles d'un adulte, sauf si la page Protections protège les appareils inconnus comme un enfant ou un adolescent.
• Une adresse de protection hors de la maison (chapitre 11) qu'un autre a obtenue : qui l'a reçoit les règles de cet appareil. Gardez ces adresses comme des mots de passe ; Nouvelle adresse en annule une aussitôt.
• Des réseaux autorisés élargis à la main. Si quelqu'un règle WARDA_ALLOWED_CLIENTS avec des adresses publiques, Warda répond à Internet : il écrit seulement un avertissement dans son journal au démarrage.
• Un programme modifié. Qui modifie le programme de Warda sur son propre boîtier peut tout y débloquer.

Ce que vous pouvez faire#

1. Installez Warda dès son premier démarrage, depuis un ordinateur de votre propre réseau. Sur un réseau partagé (un bureau, un immeuble), branchez-le sur un réseau à lui jusqu'à ce qu'il soit installé.
2. Ne redirigez jamais les ports 53, 853 ou 443 de votre box vers Warda, et ne publiez jamais son interface sur Internet : pour vos appareils hors de la maison, utilisez la protection hors de la maison (chapitre 11).
3. Ne donnez le rôle d'administrateur qu'à des personnes de confiance, et lisez le journal de temps en temps.
4. Gardez vos sauvegardes et leur mot de passe en lieu sûr : une sauvegarde contient tous les comptes et la clé du boîtier.