Protection contre la prise d’otage des données (rançongiciel)

6 min · 7 rubriques

Une prise d’otage des données, ce n’est pas un disque qui tombe en panne. C’est un programme qui entre —presque toujours par un PC de la maison, pas par le NAS—, chiffre tout ce sur quoi il peut écrire et laisse un mot réclamant de l’argent. Et la première chose que fait n’importe lequel de ceux qui circulent aujourd’hui, c’est chercher et supprimer les sauvegardes, parce qu’ils savent que c’est la seule chose qui leur coupe l’herbe sous le pied.

C’est pourquoi ce guide ne parle pas de « faire des sauvegardes ». Il parle de faire en sorte que les sauvegardes soient toujours là quand ça arrive.

Ce qui protège et ce qui ne protège pas

Mesure	Ça sauve d’un chiffrement ?	Pourquoi
RAID (mirror, RAID-Z)	Non	Le RAID copie ce que tu lui envoies, y compris les fichiers déjà chiffrés. Il protège contre la panne d’un disque, de rien d’autre.
Corbeille du dossier de la maison	Non	Elle vit dans le même dossier, avec les mêmes droits d’accès : celui qui chiffre la vide aussi.
Instantané normal	À moitié	Son contenu ne peut pas être modifié, mais l’instantané peut être supprimé par quiconque obtient les droits root.
Instantané verrouillé	Oui	ZFS refuse de le détruire tant que le verrou est en place. C’est ce qu’il faut utiliser.
Sauvegarde sur un disque USB débranché	Oui	Ce qui n’est pas branché ne se chiffre pas. Ça reste la meilleure sauvegarde qui existe.
Sauvegarde vers le cloud ou un autre serveur	À moitié	Si le NAS peut écrire et supprimer sur la destination, l’attaquant aussi. Voir plus bas.

1. Instantanés verrouillés (la première chose à faire)

Stockage → Protection → Instantanés. Chaque instantané d’un pool ZFS a un bouton Protéger. Quand tu appuies dessus, il reçoit un « hold » ZFS, et à partir de ce moment :

Le bouton Supprimer du panneau ne le supprime pas (il apparaît désactivé).
Le nettoyage automatique par ancienneté des tâches planifiées ne le supprime pas.
zfs destroy depuis la console ne le supprime pas, même en root : le système de fichiers refuse tant que le verrou reste en place.

Pour l’enlever, il faut entrer dans le panneau, appuyer sur Protégé et confirmer. C’est volontairement une étape manuelle : si un programme pouvait l’enlever tout seul, ça ne servirait à rien.

Btrfs n’a pas d’équivalent. Ses instantanés sont en lecture seule, mais n’importe qui avec les droits root les supprime d’une commande. Si tu prends ça au sérieux, le pool va en ZFS.

Combien en protéger. Un verrou pour chaque moment où tu voudrais pouvoir revenir : celui du dernier jour tranquille, et un par mois. Les quotidiens peuvent continuer à tourner sans verrou. Garde en tête qu’un instantané protégé occupe de la place pour toujours —il garde tout ce qui a changé après lui—, donc vérifie de temps en temps sa taille dans la liste et retire ceux qui sont en trop.

2. Instantanés automatiques, et avant la sauvegarde

Panneau de configuration → Tâches planifiées → tâche de type instantané, avec sa rétention. Recommandation pour une maison : un par jour à 3 h 00 avec une rétention de 14.

Un instantané est immédiat et n’occupe rien quand il est créé (il ne grossit qu’au fur et à mesure que les données changent) : être généreux ne coûte pas cher.

3. Que la sauvegarde externe ne puisse pas être supprimée depuis le NAS

Voici le défaut que presque tout le monde a : le NAS garde le mot de passe de la destination, donc qui contrôle le NAS contrôle aussi la sauvegarde. Les options, de la meilleure à la moins bonne :

Un disque USB qu’on branche, sur lequel on copie, et qu’on débranche. Ça paraît démodé et c’est ce qu’il y a de plus efficace. Une fois par semaine suffit.
Un cloud avec sa propre corbeille ou ses propres versions. Google Drive et OneDrive gardent ce qui a été supprimé dans leur propre corbeille pendant 30 jours, et cette corbeille n’est pas accessible depuis le NAS : si tes fichiers sont chiffrés et que la sauvegarde envoie la version chiffrée, tu peux encore récupérer la version précédente depuis le site du fournisseur. C’est pour ça qu’une destination dans le cloud n’est pas un luxe.
Un serveur en SSH chez un proche, avec un compte qui peut seulement écrire, jamais supprimer. Ça se configure sur la destination, pas d’ici.

Dans les trois cas, la sauvegarde du NAS conserve les versions précédentes : voir Sauvegardes.

4. Réduire ce qu’un PC infecté peut toucher

Un dossier de la maison par usage, et des droits d’accès par utilisateur. Si le portable du salon ne monte que Documents, un chiffrement lancé depuis là n’atteint pas Photos. Panneau de configuration → Dossiers de la maison → droits d’accès.
Les invités, en lecture seule. Il n’y a rien à cocher : un dossier « pour les invités » laisse lire tout le monde et ne laisse écrire personne.
Ne laisse pas SMB ouvert sur Internet. Le port 445 sur le routeur est la porte d’entrée la plus utilisée qui soit. Pour entrer depuis l’extérieur, il y a le VPN.
Des mots de passe différents pour le panneau, pour SMB et pour l’utilisateur Windows.

5. Si c’est déjà arrivé

Débranche le câble réseau du NAS. Avant toute chose : tant qu’il est connecté, le chiffrement continue d’avancer par le réseau.
Ne paie pas et ne redémarre pas le PC infecté ; éteins-le.
Entre dans le panneau par l’écran branché sur le NAS lui-même (mode kiosque) ou avec le câble réseau branché directement sur un portable.
Stockage → Protection → Instantanés : repère le dernier antérieur au désastre —la date des fichiers chiffrés te dit quand ça a commencé— et utilise Restaurer.

En ZFS, restaurer fait un rollback : le dataset revient à ce moment et **les instantanés postérieurs sont supprimés**. Protège d’abord celui que tu vas utiliser, au cas où tu te tromperais de date.
En Btrfs, restaurer crée une copie modifiable à part que tu vérifies avant de remplacer quoi que ce soit.

Nettoie le PC d’origine avant de reconnecter le NAS au réseau. Sinon, ça recommence.

La procédure complète, avec les variantes disque en panne et réinstallation, se trouve dans Reprise après sinistre.

Vérification annuelle (5 minutes)

Le dernier instantané verrouillé date-t-il de ce mois-ci ? → Stockage → Protection → Instantanés.
La dernière sauvegarde s’est-elle bien terminée ? → Sauvegardes → historique.
Sais-tu restaurer ? → restaure un fichier quelconque depuis un instantané et ouvre-le. Une sauvegarde que tu n’as jamais restaurée n’est pas une sauvegarde.