Connexion
Tailsnitch - L'expert qui surveille votre réseau Tailscale
Vous utilisez Tailscale pour créer votre petit réseau privé virtuel sans vous prendre la tête ? Moi aussi, j'adore ce truc. Mais entre nous, est-ce que vous avez déjà vérifié si votre config était vraiment sécurisée ? Genre, vraiment ?
Hé bien c'est exactement pour ça qu'un développeur a créé Tailsnitch . L'idée est simple puisqu'il s'agit de faire passer votre réseau Tailscale au peigne fin pour détecter les failles de sécurité potentielles. Et y'a de quoi faire puisque l'outil embarque 52 vérifications réparties dans 7 catégories (accès, authentification, réseau, SSH, logs, appareils et DNS).
Du coup, comment ça marche ? Vous installez le bazar avec Go :
go install github.com/Adversis/tailsnitch@latest
Ensuite, vous configurez vos credentials Tailscale (soit via OAuth avec TS_OAUTH_CLIENT_ID et TS_OAUTH_CLIENT_SECRET, soit avec une simple clé API TSKEY), et hop, vous lancez tailsnitch. En quelques secondes, l'outil analyse votre configuration et vous sort un rapport avec des niveaux de sévérité : critique, élevé, moyen, faible ou informatif.
Et là, le truc vraiment cool c'est que si vous êtes flemmard (comme moi), y'a un mode --fix interactif. L'outil vous propose de corriger les problèmes un par un. Vous validez, il corrige. Et si vraiment vous n'avez pas envie de réfléchir, y'a même un mode --auto (combiné avec --fix) qui corrige tout ce qu'il peut sans rien demander. Perso, je vous conseille quand même de lancer un --dry-run avant pour voir ce qu'il compte faire, histoire de pas avoir de mauvaises surprises.
Pour les entreprises qui doivent prouver leur conformité, Tailsnitch peut aussi exporter ses résultats au format SOC 2. De quoi rassurer vos auditeurs sans vous galérer à compiler des preuves à la main.
Parmi les trucs vérifiés, on trouve : les clés d'authentification qui n'expirent jamais (mauvais plan), les ACL trop permissives, le MagicDNS désactivé, les appareils non mis à jour, ou encore les nœuds avec le transfert SSH activé alors qu'ils ne devraient pas. Bref, tout ce qu'on oublie de vérifier quand on configure son réseau mesh à l'arrache.
L'outil est open source (licence MIT), codé en Go, et tourne sur n'importe quel OS. C'est donc un truc à lancer de temps en temps pour s'assurer que personne n'a ouvert une brèche dans votre joli tunnel chiffré.
