RoamSwitch pour Linux
Livre blanc sur l'architecture et la sécurité

§1

RoamSwitch pour Linux est une application résidente de sécurité réseau et de diagnostic système qui apporte le modèle de défense réseau sans confiance de macOS RoamSwitch à Linux (environnements systemd + nftables).

Cette édition cible machines client (postes de travail, ordinateurs portables, ordinateurs monocarte) et suppose un comportement autonome qui suit la machine lorsqu'elle se déplace entre les réseaux. Une édition serveur/infrastructure sans tête renforcée (RoamSwitch Server Edition — refus par défaut permanent, intégrité FIM du chemin critique, webhooks à distance et application de politiques statiques) est fournie sous la forme d'une version de serveur dédiée.

Il identifie le réseau Wi-Fi/filaire connecté par son adresse MAC de passerelle et commute de manière autonome le profil de pare-feu nftables actif. En plus de cela, il fournit trois couches de défense de type « man-in-the-middle » sur les réseaux non fiables : un tunnel VPN + un kill-switch (WireGuard ou Tailscale, la défense principale), un verrouillage ARP/NDP préventif et Détection d'usurpation d'identité ARP — ainsi qu'une détection comportementale des ransomwares (fanotify + Shannon entropy + canaries), une protection de lien passive qui signale ou bloque les connexions de phishing (NFQUEUE + SNI), une protection contre les anomalies de port, une atténuation BadUSB, une préemption d'élévation de privilèges locaux (LPE) du noyau (atténuation Frag Gap CVE-2026-53362) , intégration du capteur de menace d'exécution eBPF (Falco / Tetragon) avec gel des processus en moins d'une seconde (SIGSTOP) et réseau Air-Gap isolation, une évaluation de l'état de sécurité en 24 éléments et un serveur MCP (Model Context Protocol) intégré.

Ce livre blanc décrit l'architecture, le modèle de menace et la conception de chaque mécanisme de défense – et, en particulier, comment le principe du « traitement entièrement local ; la seule chose envoyée depuis la machine est une demande de données de détection signées, ne contenant rien sur vous » est garanti au niveau du code. Cela évite le langage marketing ; les réclamations peuvent être vérifiées par rapport au comportement réel du package distribué (binaire) et à l'auto-vérification en annexe. RoamSwitch pour Linux est un logiciel gratuit propriétaire et son code source n'est pas publié (§11).

§2

RoamSwitch pour Linux cible principalement les ordinateurs portables/stations de travail mobiles qui se déplacent entre des réseaux non fiables.

Attaquants visés

• Un attaquant sur le même LAN — analyse de port sur le Wi-Fi partagé, usurpation d'identité ARP/NDP (y compris les publicités de routeur malveillantes) à la recherche d'un homme du milieu, DHCP malveillant, détection passive après une inondation MAC, accès non autorisé à un serveur de développement ou à une API LLM locale accidentellement liée à 0.0.0.0.
• Périphériques USB malveillants (BadUSB) — usurpant l'identité d'un clavier et injectant des frappes avant le verrouillage de l'écran ; stockage de masse USB non enregistré pour l'exfiltration de données ou pour transporter des logiciels malveillants.
• Ransomware / malware sans fichier — entrant via un fichier téléchargé et cryptant en masse les documents de l'utilisateur.
• C2 basé sur DNS et phishing — malware utilisant la résolution de nom pour atteindre un serveur C2 ou un site de phishing.

Hors de portée

• Un attaquant qui détient déjà racine ; rootkits au niveau du noyau ou du micrologiciel.
• Attaques qui suppriment physiquement le disque (le domaine du chiffrement complet du disque ; RoamSwitch diagnostique si le chiffrement est présent mais ne chiffre pas).
• Contrôle de partage sans fil de proximité de type AirDrop (pas de mécanisme natif du système d'exploitation sous Linux ; non pris en charge).

§3

RoamSwitch pour Linux est implémenté dans Rust sur sept caisses. Toutes les communications avec le démon passent par /run/roamswitch/roamswitch.sock (un socket de domaine Unix). Il n'y a pas de socket TCP/UDP d'écoute dans le démon, l'application ou le serveur MCP. La seule chose que l'application binds est un seul socket Unix pour empêcher une deuxième instance.

# Espace utilisateur (non privilégié)
roamswitch-app      Icône GTK3 + AppIndicator
roamswitch (CLI)    Frontend shell léger
roamswitch-mcp      stdio JSON-RPC (lancé par les clients IA)
      │
      │  AF_UNIX  /run/roamswitch/roamswitch.sock  (IPC local uniquement)
      ▼
roamswitch-daemon   root / systemd Type=notify + WatchdogSec=30
  · Contrôle des profils nftables (table inet roamswitch)
  · Boucle sentinelle (détection réseau et application des profils)
  · Tunnel VPN + coupe-circuit (WireGuard : wg-quick / roamswitch_vpn, Tailscale : roamswitch_ts)
  · Verrouillage préventif ARP/NDP (fixation de la table neigh) / détection
  · Garde d'anomalie de port (roamswitch_dev_guard)
  · Garde fanotify (ransomware / malware)
  · Garde de lien (NFQUEUE — inet roamswitch_linkguard)
  · Moteur de canari / Vault de quarantaine
  · Durcissement LPE du noyau (désactivation userns, Yama LSM)
  · Intégration runtime eBPF (/var/run/roamswitch/events.sock)
  · Gel SIGSTOP des processus attaquants à la milliseconde & couplage Air-Gap
  · Surveillance USB (evdev EVIOCGRAB — BadUSB) / file d'approbation
  · Vérification de licence Ed25519

roamswitch-updater  Un assistant de minuterie systemd autonome. Le seul crate
                    avec une pile HTTP/TLS (GET quotidien d'un manifeste signé)
roamswitch-core     Bibliothèque de logique pure (partagée par tous les crates)
roamswitchkit       SDK client MCP

Toutes les communications avec le démon passent par /run/roamswitch/roamswitch.sock (un répertoire avec des autorisations équivalentes à 0700). La configuration utilisateur est stockée sous forme de texte brut JSON à ~/.config/roamswitch/config.json. Le démon lit /home/*/.config/roamswitch/config.json avec les privilèges root (il s'exécute avec HOME=/root). La configuration ne quitte jamais la machine ; il n'y a pas d'enregistrement de compte ni de synchronisation cloud.

§4

La boucle sentinelle (cycle de 5 secondes par défaut) lit le MAC de la passerelle par défaut à partir de /proc/net/arp et ip neigh et le compare aux MAC enregistrés dans config.json. MAC est utilisé plutôt que SSID car un SSID est usurpé de manière triviale. La notification sur le bureau affichée lorsque le profil change indique la raison pour le changement (« un réseau non enregistré » / « votre paramètre pour le réseau X enregistré » / « aucune connexion réseau »).

Toutes les règles sont isolées dans une table nftables dédiée nommée inet roamswitch et n'entrent jamais en collision avec une autre configuration de pare-feu (ufw / pare-feu). L'expiration du remplacement manuel (1 heure/2 heures/4 heures/jusqu'à minuit/jusqu'à effacement/jusqu'à la prochaine déconnexion) est appliquée par le démon en tant qu'écrivain unique. L'interface graphique n'écrit jamais d'expiration ; il relit le config.json que le démon a réécrit au tick suivant et le reflète dans l'interface utilisateur (en évitant un conflit).

Air-Gap (isolation d'urgence du réseau)

Un mode d'isolation totale qui définit policy drop (priorité -100) sur les hooks d'entrée et de sortie de la table inet roamswitch, autorisant uniquement lo.

• Fail fermé — au redémarrage du démon, la détection du fichier marqueur (/run/roamswitch/airgap.active) réaffirme l'isolement.
• Auto-guérison — si un processus externe supprime les règles avec nft delete table, la boucle sentinelle s'applique à nouveau en quelques secondes.
• Expiration automatique — 600 secondes après l'activation (identique au macOS maxAirGapDuration), l'isolement se lève automatiquement, évitant ainsi une perte permanente de connectivité due à un mauvais clic.

table inet roamswitch {
    chain input {
        type filter hook input priority -100; policy <accept|drop>;
        iif "lo" accept
        ct state established,related accept
        # balanced/lockdown : tout le reste est droppé
    }
    chain output {
        type filter hook output priority -100; policy <accept|drop>;
        # policy drop uniquement pendant l'Air-Gap ; seuls lo et ct established sont autorisés
    }
}

Protection de lien passive (détection de connexion par phishing)

Le démon surveille où vont les connexions sortantes et signale – ou, pour le groupe restreint de « clairement phishing », bloque – les connexions vers des hôtes dangereux. Il remplace l'ancien vérificateur coller une URL, qui obligeait l'utilisateur à agir.

• Interception — une table nftables dédiée inet roamswitch_linkguard connecte le chemin output et met en file d'attente les questions DNS et les nouvelles/premières connexions Web à un travailleur de l'espace utilisateur via NFQUEUE. NFQUEUE est un canal de verdict noyau↔espace utilisateur sur AF_NETLINK ; le démon ne lie aucune socket et ne génère aucun paquet. Les règles de file d'attente portent bypass, donc si le travailleur ne court pas, le trafic passe sans entrave (Air-Gap reste l'arrêt dur séparé).
• Hostname sources — le nom de la question DNS, le TLS ClientHello SNI (donc un navigateur utilisant DoH est toujours couvert par le nom d'hôte) et l'en-tête HTTP Host en texte brut. Encrypted ClientHello (ECH), autrefois largement déployé, est un angle mort connu.
• Verdict (roamswitch-core, logique pure) — un hôte est comparé au flux local de phishing/menace et à un ensemble d'heuristiques hors ligne : IDN/homographe prêt à confusion d'une marque protégée, jeton de marque dans un domaine non officiel, hôte IP brut, TLD à haut risque.

Seul un accès à un flux ou un hôte d'homographe de marque est bloqué en dur ; tout ce que l'heuristique signale à elle seule est un avertissement. Le mode warn maintient la connexion à un hôte dangereux pendant 8 secondes maximum pendant qu'il le demande à l'utilisateur ; si la mise en attente expire sans réponse, c'est fail-closed (les paquets sont abandonnés et le verdict n'est pas mis en cache) — ne répond pas « ce site est-il OK ? » ne doit pas signifier « oui », et la prochaine tentative vous demandera à nouveau. Le mode block affiche une notification et une boîte de dialogue d'autorisation par hôte (un navigateur ouvrant de nombreuses connexions au même hôte bloqué n'inonde plus les notifications). Dans une boîte de dialogue d'approbation dangereuse, le bouton par défaut est « Continuer le blocage » et « Autoriser » est conçu comme le choix silencieux, autre que celui par défaut. Un hôte bloqué peut être autorisé de manière permanente ou pendant cinq minutes à compter de la notification (linkGuard.allowlist).

DNS est inspecté, jamais contrefait : une question DNS sur liste noire produit uniquement une notification ; l'application se produit lors de la connexion TCP suivante, donc RoamSwitch n'injecte jamais de réponse DNS synthétique. Le feed est une liste compilée de domaines de phishing/arnaque, livrée dans le package et actualisée par le programme de mise à jour quotidien (§11). En l’absence de flux, l’heuristique hors ligne s’exécute toujours. La signature Ed25519 du fichier de flux est vérifiée avant le chargement ; un flux défectueux ou manquant ne parvient pas à « uniquement heuristique », mais jamais à « tout autoriser ».

Tunnel VPN + kill-switch (la principale défense MITM)

Protection anti-MITM qui ne dépend pas de l'intégrité de la couche 2. Sur un réseau non fiable, un tunnel chiffré permanent vers un point de terminaison approuvé rend l'usurpation d'identité ARP/NDP locale, le DHCP malveillant et le reniflage passif inutiles : l'attaquant ne voit que le texte chiffré. Le verrouillage ARP/NDP et la détection ci-dessous sont secondaires à cette fonctionnalité.

Deux backends parmi lesquels choisir — « WireGuard (fichier de configuration) » ou « Tailscale (nœud de sortie) ». RoamSwitch n'implémente aucune cryptographie propre et n'est pas un fournisseur VPN. Les deux backends sont des dépendances facultatives ; en cas d'absence, l'interface graphique affiche la commande d'installation.

(A) Back-end WireGuard

• Aucun serveur VPN n'est fourni — utilise une configuration WireGuard fournie par l'utilisateur : un .conf d'un fournisseur tel que Mullvad, IVPN ou Proton VPN, ou le propre serveur WireGuard de l'utilisateur (un VPS ou un serveur domestique). Aucune configuration par défaut n'est livrée.
• Config — le démon valide le .conf et le stocke dans /etc/wireguard/roamswitch.conf (0600, interface roamswitch). Il ne peut pas vivre ailleurs : le profil AppArmor wg-quick sur Ubuntu 24.04+ / Debian 13 refuse à wg-quick de lire un .conf en dehors de /etc/wireguard/ — même en tant que root. Une configuration de tunnel divisé (AllowedIPs et non 0.0.0.0/0 / ::/0) est signalée comme « tout le trafic n'est pas protégé ».
• Kill-switch — une table nftables dédiée inet roamswitch_vpn (policy drop, les deux hooks) supprime tout sauf le bouclage, l'interface du tunnel (roamswitch, correspondant à oifname), UDP vers l'IP du point de terminaison épinglé, DHCP et ICMP. Il est installé avant que le tunnel soit activé (le point de terminaison est résolu en adresses IP fixes via getent ahosts en premier), il n'y a donc pas de fenêtre de fuite. Si wg-quick up échoue, le kill-switch reste actif.

(B) Backend Tailscale

• Pour les utilisateurs qui exécutent déjà Tailscale. RoamSwitch not exécute tailscale up / se connecte / installe tailscaled — il lit tailscale status --json et exécute tailscale set --exit-node=<node> / --exit-node= (clair).
• Un nœud de sortie est requis — la protection anti-MITM n'est valable qu'avec un nœud de sortie qui achemine tout le trafic. Si aucune n'est configurée, la protection n'est pas armée et l'interface utilisateur avertit « non protégé ». Si le nœud choisi se déconnecte, la protection est automatiquement désarmée et l'utilisateur averti (tout router via un nœud mort entraînerait un trou noir dans la connexion).
• Kill-switch (inet roamswitch_ts, policy drop) — Le transport de Tailscale ne peut pas être épinglé à une seule adresse IP de point final (relais DERP + homologues itinérants), il est donc plus lâche que celui de WireGuard. Il permet : le bouclage, l'interface tunnel (tailscale0), les gammes CGNAT 100.64.0.0/10 et fd7a:115c:a1e0::/48, STUN (udp/3478), DERP (tcp/443), udp/41641, DHCP, ICMP, MagicDNS (100.100.100.100:53), les connexions établies. Tout le reste (UDP arbitraire, DNS vers un résolveur local, SMB, mDNS, HTTP en texte brut, TCP arbitraire) est supprimé.
• Kill-switch mises en garde — (1) liste blanche plus large que le backend WireGuard (udp/3478, tcp/443, l'ensemble du CGNAT /10). (2) Un attaquant sur le chemin voit toujours les métadonnées (que Tailscale est utilisé, la région DERP, le timing) et peut les supprimer/retarder – mais ne peut pas lire la charge utile tunnelisée. (3) Lorsque l'UDP direct est bloqué, la confidentialité repose alors sur le DERP TLS à certificat épinglé de Tailscale. (4) Avec MagicDNS désactivé + un résolveur local, le DNS s'interrompt lorsqu'il est armé (avertissement de l'interface utilisateur). (5) Les portails captifs doivent être connectés avant d'être activés.

Common — armé uniquement lorsque vpn_on_untrusted_enabled et que le réseau n'est pas fiable (level != open). Sur un réseau de confiance, le nœud de sortie est effacé et le kill-switch supprimé (jamais tailscale down). Désactivé par défaut, inscrivez-vous. Le tunnel WireGuard / transport Tailscale va vers le propre point de terminaison VPN / tailnet de l'utilisateur et n'est pas lié à l'infrastructure de lafine (§9).

Verrouillage préventif ARP/NDP

Au moment où un réseau non fiable est rejoint, les adresses MAC de l'infrastructure de liaison qu'un attaquant MITM devrait usurper l'identité sont épinglées dans la table voisine du noyau sous la forme d'entrées PERMANENT (statiques). Une fois épinglé, le noyau ignore les réponses ARP/publicités voisines falsifiées.

• Qu'est-ce qui est épinglé — (1) la passerelle IPv4 par défaut, (2) le routeur IPv6 par défaut (souvent une adresse fe80:: de lien local), (3) tout résolveur DNS en liaison (un résolveur public est atteint via la passerelle et est ignoré). Les voisins IPv6 sont épinglés avec ip -6 neigh replace ... nud permanent.
• Les réseaux de confiance ne sont jamais épinglés — donc un redémarrage du routeur domestique ne peut pas mettre l'utilisateur dans un trou noir. Ré-épinglé sur chaque commutateur réseau (TOFU) ; un basculement légitime est détecté lors de la prochaine reconnexion. Les entrées épinglées sont enregistrées dans /var/lib/roamswitch/arp_lock.json.
• Activé par défaut (politique de l'édition communautaire ; même répartition que la version macOS Pro). Basculer : gateway_arp_lock_enabled.

Détection d'usurpation d'identité ARP (notifier d'abord)

Surveille /proc/net/arp pour un mappage IP vers plusieurs MAC et pour un changement soudain suspect du MAC de la passerelle. En confinement : couper tout trafic (Air-Gap) + notifier. Sur les réseaux équilibrés/de confiance : notifier sans couper ; l'utilisateur déclenche l'Air-Gap d'urgence depuis RoamSwitch. Cela (a) empêche un attaquant de transformer un seul paquet ARP usurpé en une panne auto-infligée, et (b) empêche le redémarrage d'un routeur ou l'itinérance d'un point d'accès de le déclencher par erreur. Basculer : arp_spoof_guard_enabled.

Garde d'anomalie de port

Contient automatiquement un port d'écoute nouvellement exposé au réseau local externe (une porte dérobée, C2 ou un serveur de développement/API LLM locale lié accidentellement à 0.0.0.0). Le verdict est baseline-relative, et non « numéro de port dangereux ». Lors de l'activation, les exécutables actuellement exposés sont appris comme « connus » ; par la suite, seul un exécutable exposé nouvellement apparu est signalé (identité = le chemin de l'exécutable, snaps normalisés en snap:<name>). Les démons système sont hors de portée. Le confinement s'effectue via la table inet roamswitch_dev_guard : déposez TCP sur ce port à partir de tout sauf de lo – la machine elle-même continue de l'utiliser. Lors du confinement automatique, une boîte de dialogue immédiate de notification et de confirmation sur le bureau (« Autoriser ce port » / « Garder bloqué ») s'affiche, permettant une mise sur liste blanche permanente en un clic. N'importe quel port peut également être autorisé individuellement et la ligne de base récupérée à partir de l'écran de diagnostic des ports. Activé par défaut. Basculer : port_anomaly_guard_enabled. Porté depuis macOS.

Détection des risques Docker & protection contre le contournement du pare-feu

Les ports publiés par Docker (-p) sont connus pour contourner le pare-feu standard de l'hôte ; des règles d'inspection sont donc insérées en permanence dans la chaîne DOCKER-USER, bloquant tout trafic externe non explicitement autorisé (aucune configuration requise, actif par défaut). De plus, docker events est surveillé en temps réel afin de détecter instantanément le démarrage d'un conteneur --privileged ou un montage /var/run/docker.sock — un risque d'évasion de conteneur — et de vous avertir immédiatement. Comme cela signale une configuration à risque et non une compromission confirmée, il s'agit uniquement d'une notification, sans blocage automatique.

Scanner de fuites de secrets et de clés API

Détecte les clés API (OpenAI, Anthropic, AWS, GitHub, Slack, Stripe, etc.) et les clés privées SSH grâce à l'entropie de Shannon combinée à une correspondance de motifs. roamswitch audit-secrets <text|fichier|répertoire> analyse du texte et des fichiers, ainsi qu'un répertoire entier de façon récursive (en ignorant .git, node_modules, etc. ; les fichiers de plus de 2 Mo ou ressemblant à du binaire sont ignorés). La même fonctionnalité est également disponible via l'outil MCP audit_secrets et la méthode audit_secrets_directory() du SDK Python. Le contenu n'est jamais transmis nulle part.

Assistant de configuration de première exécution et interface utilisateur de confirmation

Le package est livré /etc/xdg/autostart/roamswitch.desktop, donc l'assistant d'installation se lance lors de la première connexion après l'installation (il réside ensuite uniquement dans la barre d'état). L'activation/la désactivation d'un agent de sécurité affiche une boîte de dialogue de confirmation pour les mêmes gardes que la version macOS (anomalie de port, confinement automatique ARP, stockage USB, clavier BadUSB, Bluetooth). Les décisions au moment de l'événement (un clavier USB inconnu, une clé USB non enregistrée, un port inconnu bloqué automatiquement, un Air-Gap d'urgence) sont présentées sous forme de dialogues modaux.

§5

Détection de rafales d'entropie de Shannon · Balayage YARA

Les événements d'écriture sont suivis par PID. Si un seul processus crée 20 fichiers distinct ou plus avec une entropie ≥ 7,92 dans les 5 secondes, il est traité comme un cryptage groupé par ransomware : le processus est gelé avec SIGSTOP et Air-Gap est déclenché.

• Séparation complète de l'analyse YARA et du suivi de l'entropie — L'inspection des logiciels malveillants YARA est appliquée à tous les fichiers écrits sans exception (contournement du zéro, analyse ~/.cache/, node_modules/, /tmp/ et archives). Pendant ce temps, l’analyse des rafales d’entropie des ransomwares exclut les formats naturellement compressés (.zip, .tgz, .tar.gz, .gz, .png, .jpg, .mp4, .wasm) et les gestionnaires de paquets vérifiés (npm, npx, cargo, rustc, dpkg, apt, tar). fonctionnant dans les arbres de construction/cache pour éliminer les gels SIGSTOP faussement positifs.
• Les écrasements répétés du même fichier (par exemple les trois passes de shred) comptent comme un événement.
• Protection contre les processus critiques — Les PID sont vérifiés par rapport à une liste NEVER_FREEZE codée en dur (systemd, dockerd, NetworkManager, sshd, gnome-shell, …) et ne sont jamais gelés, évitant ainsi un blocage à l'échelle de la machine.

Canaris (fichiers leurres)

Les fichiers leurres sont placés dans les dossiers Documents, Bureau, Téléchargements et Images de l'utilisateur et dans un répertoire dédié, et comparés à une référence SHA-256 sur un cycle de 3 secondes. Tout changement de nom, suppression, troncature ou changement de contenu déclenche immédiatement Air-Gap. Étant donné que le démon s'exécute en tant que root, il énumère /home/* et déploie des canaris dans les répertoires de chaque utilisateur réel.

surveillance fanotify · Coffre-fort de quarantaine · ClamAV

• Le démon surveille /home, /var/tmp, /dev/shm au niveau du montage et / au niveau du système de fichiers via FAN_CLASS_CONTENT (repli FAN_CLASS_NOTIF).
• Notifier d'abord, pas de quarantaine silencieuse. Un simple hit YARA / ClamAV n'est jamais mis en quarantaine silencieusement ou FAN_DENY'd. Une vraie signature déclenche une requête modale dans /run/roamswitch/approvals.json (Quarantaine / Autoriser / Plus tard) ; rien n'entre dans le coffre-fort jusqu'à ce que l'utilisateur confirme. Seul un execve réel est FAN_DENY, et seulement lorsque pre_exec_blocking_enabled est activé. Le délai d’approbation expire en cas d’ouverture.
• Les signatures de test telles que EICAR sont uniquement journalisées — la chaîne de test standard de l'industrie ne déclenche aucune notification, seulement une entrée dans l'historique des notifications, et n'est jamais mise en quarantaine ou bloquée, à la fois dans la garde fanotify et dans la garde de téléchargement.
• Une liste de chemins scan_exclusions configurée par l'utilisateur (chemins absolus, appliqués de manière récursive ; elle englobe l'ancien clamav_exclusions) est honorée par les scanners YARA et ClamAV. « Autoriser » à l'invite et « Restaurer » dans l'onglet Quarantaine s'y ajoutent tous deux, de sorte que le même fichier n'est pas re-marqué.
• Les logiciels malveillants réels détectés et confirmés sont déplacés vers ~/.local/share/roamswitch/quarantine/. Le coffre-fort est 0700 ; chaque échantillon est 0400 (lecture seule, non exécutable). Lors de la restauration, le fichier revient à 0644 et est transmis au propriétaire du répertoire de destination.
• La boucle d'événement d'autorisation n'effectue aucune E/S sur le système de fichiers — la configuration est lue par un thread d'arrière-plan dédié dans un instantané Mutex<GuardConfig> ; les accesseurs hot-path se contentent de verrouiller et de copier. Il s'agit d'un invariant de conception : bloquer sur FAN_OPEN_PERM gèlerait la machine.
• Lorsque ClamAV est présent, les exécutables nouvellement téléchargés (.sh, .deb, .elf, …) et les modèles d'IA dangereux (.pkl, .pt) sont analysés par rapport à la base de données locale. ClamAV est une dépendance facultative  ; les autres défenses fonctionnent sans cela. Lorsqu'il est installé, le programme de mise à jour quotidien (§11) appelle freshclam pour que la base de données de signatures reste à jour.

Préemption et renforcement de l'élévation de privilèges locaux (LPE) du noyau

Lorsqu'un attaquant ou un logiciel malveillant prend pied sur un utilisateur non privilégié, la défense en profondeur empêche d'exploiter les vulnérabilités du noyau Linux pour obtenir les privilèges root.

• Désactivation des espaces de noms d'utilisateurs non privilégiés (atténuation Frag Gap CVE-2026-53362) — De nombreuses vulnérabilités LPE du noyau Linux moderne reposent sur des utilisateurs non privilégiés appelant unshare(CLONE_NEWUSER) pour créer des espaces de noms d'utilisateurs isolés, accédant ensuite à des structures de noyau non initialisées ou à des sous-systèmes réseau existants avec des capacités d'espace de noms élevées. RoamSwitch évalue et applique user.max_user_namespaces = 0 (ou kernel.unprivileged_userns_clone = 0) via un assistant de renforcement ou de configuration en un clic. Cela ferme la surface d'attaque des processus non privilégiés, même avec des noyaux zéro jour non corrigés.
• Yama LSM Memory Protection — L'application de kernel.yama.ptrace_scope = 1 (ou 2) empêche les processus non autorisés de se connecter via ptrace ou de lire la mémoire via /proc/$pid/mem, protégeant ainsi les sessions du navigateur et les clés privées GPG/SSH.
• Core Dump Suppression — Le paramètre fs.suid_dumpable = 0 empêche les processus sensibles de planter d'écrire des vidages de mémoire en texte brut sur le disque.
• /tmp & /dev/shm noexec Mount Defense — Pour empêcher les attaques par suppression et exécution de charge utile, RoamSwitch remonte /tmp et /dev/shm avec noexec,nosuid,nodev lors de la connexion à des réseaux non fiables.

Capteur de menace d'exécution eBPF et gel des processus autonomes (Desktop eBPF Guard)

Le démon client RoamSwitch inclut une intégration native avec les capteurs eBPF modernes du noyau (Falco / Tetragon / BTF).

# Détection des menaces runtime eBPF et flux d'interception autonome
[Processus malveillant (LPE/malware)]
    │ Exécution d'appel système illégal (tentative d'exploitation Frag Gap)
    ▼
[Noyau Linux (sonde eBPF)]
    │ Tampon circulaire eBPF (conception compacte de 2 Mo)
    ▼
[Falco (RoamSwitch Optimized)]
    │ Socket UNIX direct en mémoire (/var/run/roamswitch/events.sock)
    ▼
[roamswitch-daemon (root)]
    ├─► ① Gel du processus attaquant à la milliseconde : kill(pid, SIGSTOP) [état : Ts]
    ├─► ② Coupure réseau complète : nftables input/output drop [Air-Gap activé]
    └─► ③ Alerte d'urgence de bureau : modal GTK3 & notification libnotify

• Direct UNIX Domain Socket IPC (/var/run/roamswitch/events.sock) — Les alertes de Falco ou d'autres capteurs eBPF sont reçues directement sur un socket UNIX en mémoire sans écrire dans les journaux de disque, éliminant ainsi la latence d'E/S disque et permettant des transferts de réponse en moins d'une seconde.
• Atténuation multicouche autonome (gel du processus et espace d'air) — Lorsqu'un événement avec la priorité Critical ou Emergency (tel que le LPE du noyau, l'échappement d'un espace de noms ou l'exécution d'un ransomware) est reçu, le démon exécute SIGSTOP sur le PID incriminé pour suspendre immédiatement l'exécution du processus (état : Ts), déploie policy drop sur inet roamswitch (Air-Gap) et déclenche une notification immédiate sur le bureau.
• Réglage à faible surcharge pour ordinateurs de bureau et prévention de la croissance excessive des journaux (RoamSwitch Optimized) — pour limiter la consommation de batterie, la charge CPU et l'épuisement du disque sur les ordinateurs portables et les stations de travail, un profil optimisé (99-roamswitch-optimized.yaml) est fourni :
  • Severity Filtering (priority: warning) — Filtre 95 % des événements d'avis/informations de routine.
  • Kernel Early Drop (drop_failed_exit: true) — Supprime les sorties d'appel système ayant échoué directement dans le pilote du noyau, réduisant de moitié les changements de contexte et la charge du processeur.
  • Compact Ring Buffer (cpus_for_each_buffer: 2) — Réduit la taille du tampon en anneau à 2 Mo, en maintenant la RAM résidente entre 30 et 50 Mo et l'utilisation du processeur <1 %.
  • Capuchon obligatoire de rotation des journaux (/etc/logrotate.d/roamswitch-falco) — Applique un plafond strict de 50 Mo avec une rotation compressée sur 7 générations.
• Résilience hybride (mode autonome ou eBPF) — Sans Falco, RoamSwitch protège le système via le sysctl du noyau (user.max_user_namespaces = 0), les profils itinérants nftables, le suivi d'entropie fanotify et les canaris. Avec Falco, la télémétrie comportementale approfondie du noyau intercepte les exploits avancés du jour zéro et gèle les processus des attaquants en temps réel.

§6

Les événements USB sont surveillés ; Les appareils de classe clavier (HID) et le stockage de masse USB sont suivis. Désactivé par défaut (expédition isEnabled = false, correspondant au macOS USBKeyboardGuard / USBStorageGuard). Inscrivez-vous à partir de l'assistant de première exécution ou de l'onglet USB ; l'activation affiche une boîte de dialogue de confirmation.

Clavier USB malveillant (injection de frappe)

• Aucune désautorisation de port physique au niveau du noyau (important). L'ancienne implémentation (≤1.0.6) écrivait 0 en /sys/bus/usb/devices/*/authorized pour un clavier non enregistré, en le déconnectant physiquement. Sur un récepteur combiné clavier + souris (commun sur un Raspberry Pi ou un mini PC), cela déconnecte également la souris, verrouillant ainsi une machine sans entrée intégrée. RoamSwitch refuse désormais catégoriquement d'écrire authorized=0 sur tout périphérique exposant une interface HID (bInterfaceClass 03), et le démon réautorise tout périphérique HID authorized==0 au démarrage pour auto-réparer les machines dont la version précédente est maçonnée.
• Les frappes sont supprimées dans le logiciel. Lors de la détection d'un clavier non enregistré, un evdev exclusif EVIOCGRAB est pris sur le /dev/input/eventN de cet appareil (uniquement les nœuds avec un gestionnaire kbd dans /proc/bus/input/devices, correspondant à VID:PID). Le nœud de la souris est intact. Il s'agit de l'équivalent Linux de macOS CGEventTap ; l'appareil reste alimenté.
• Safety — la saisie n'est effectuée que s'il existe un autre clavier sur lequel taper (un clavier intégré ou un clavier USB approuvé et connecté), de sorte qu'une machine avec un seul nouveau clavier n'est jamais verrouillée.
• Boîte de dialogue d'approbation — à côté de la saisie, une demande d'approbation est mise en file d'attente dans /run/roamswitch/approvals.json et l'interface graphique affiche un modal (Autoriser/Refuser). Autoriser l'appareil sur la liste blanche et libérer la capture. Ouverture après 3 minutes.

Stockage de masse USB malveillant

Lorsqu'un périphérique de stockage de masse USB non enregistré (pas d'interface HID) est inséré, que la protection est activée et que le réseau n'est pas fiable/verrouillé, il est maintenu avec authorized=0 (sans danger pour un périphérique non HID) et une boîte de dialogue d'approbation s'affiche. Autoriser les réautorisations et les listes blanches ; Deny le maintient en place. La version macOS a été alignée sur ce modèle « conserver la lecture seule + invite d'approbation » dans la version 1.7.4.

Identification et droits acquis

HID est déterminé à partir de bInterfaceClass == "03" et de la ligne Handlers= dans /proc/bus/input/devices. Un récepteur combo (un VID:PID avec à la fois une section kbd et une section souris) est fusionné par VID:PID. Un clavier non enregistré présent au démarrage du démon bénéficie de droits acquis  ; seul un clavier branché à chaud est ensuite récupéré.

§7

Le LinuxHealthChecker dans roamswitch-core évalue 24 éléments et produit un score de 0 à 100, une note A à F et des conseils par élément. À partir du tableau de bord GTK, la CLI (roamswitch status) et le MCP (get_security_report), le titre, les détails et la recommandation des 24 éléments apparaissent dans la langue de l'utilisateur (10 langues).

Chaque vérification est basée sur la lecture des fichiers locaux et du résultat de la commande (getenforce, mokutil, resolvectl, ss,…). Il n'y a aucune requête externe d'aucune sorte.

Classement conforme à la confiance. Le renforcement que RoamSwitch n'applique délibérément pas sur un réseau (domestique) de confiance - en épinglant le MAC de la passerelle comme PERMANENT (ce qui perturberait le réseau local lors d'un redémarrage du routeur), en remontant /tmp et /dev/shm noexec (ce qui interrompt les builds de packages et certains installateurs) et le DNS de protection contre les menaces dans la portée par défaut - est affiché en vert avec une explication plutôt qu’un rouge « non durci », et note qu’il s’applique automatiquement sur un réseau non fiable. La vérité d'exécution vient de /run/roamswitch/state.json (active_level / network_trusted / fanotify_ready), écrite à chaque cycle par le démon. L'élément fanotify vérifie que le garde est réellement marqué et exécuté (/run/roamswitch/fanotify.ready), pas seulement que le noyau le prend en charge. L'élément de ports exposés lit le profil en direct du démon (le code dur MCP a disparu).

Renforcement par élément. Les éléments défaillants qui ont un correctif automatisé (noyau sysctl / Yama / core dumps, /tmp noexec, USB zero-trust, épinglage ARP de passerelle, DNS de protection contre les menaces, redémarrage du démon lorsque la garde fanotify est en panne) comportent un bouton « 🔧 Harden » dans le tableau de bord GTK. Le démon s'exécute en tant que root, donc aucun pkexec n'est nécessaire, sauf pour le redémarrage du démon.

§8

roamswitch-mcp parle JSON-RPC sur stdio et est généré par des clients IA tels que Claude Desktop, Cursor et Antigravity. Chaque outil est lecture seule et entièrement local.

Le serveur MCP n'ouvre lui-même aucune connexion réseau : il se connecte au socket Unix du démon via roamswitchkit ou appelle directement la logique de roamswitch-core. La seule exception est run_active_vuln_scan, désactivé par défaut, qui envoie des sondes non destructives vers 127.0.0.1, c'est-à-dire l'hôte lui-même.

Une erreur d'attribution découverte — et corrigée — lors d'un exercice avec un LLM local
En septembre 2026, lors d'un exercice (fire drill) où un LLM local (Qwen 3.8 27B) devait enquêter sur un incident via ce serveur MCP, nous avons découvert un cas où le modèle avait mal interprété les données renvoyées par get_port_anomaly_incidents et intégré à tort un ancien blocage de port, sans rapport avec l'incident, dans le récit d'un incident en cours. La cause : un instantané sans horodatage des ports actuellement bloqués était renvoyé dans la même réponse que l'historique réel et horodaté des incidents, sans que rien ne distingue les deux. Le correctif ajoute des champs de note explicites indiquant lequel des deux champs constitue une chronologie et lequel n'est qu'un instantané. En relançant le même scénario avec le même modèle après correction, celui-ci a cité le texte de la note et a explicitement refusé d'attribuer l'ancien port à l'incident en cours. L'efficacité du correctif a été vérifiée à la fois par un test de non-régression automatisé et par une nouvelle exécution avec le véritable LLM local.

§9

RoamSwitch pour Linux effectue exactement un type de requête sortante : le GET du programme de mise à jour quotidienne d'un manifeste signé (§11). Tout le reste (chaque évaluation, détection et audit) s'effectue localement. RoamSwitch pour Linux est un logiciel gratuit propriétaire et sa source n'est pas publiée, les inspections ci-dessous ont donc été effectuées par lafine ; les résultats sont en 9.2 et les étapes de l'annexe C sont reproductibles à partir du seul package distribué.

9.1 Méthode d'audit

1. Crate isolation — une pile HTTP/TLS est autorisée dans one crate only, roamswitch-updater, qui construit le binaire de mise à jour autonome piloté par minuterie. scripts/audit_no_network.sh (exécuté dans CI, gating) échoue la construction si roamswitch-core, roamswitch-daemon, roamswitch-app, roamswitch-mcp ou roamswitchkit extrait reqwest / hyper / ureq / rustls / native-tls / openssl, ou si un fichier .rs en dehors de roamswitch-updater utilise TcpStream / TcpListener / UdpSocket / to_socket_addrs / lookup_host.
2. Inspection de l'arborescence des dépendances — le Cargo.lock complet a été recherché pour les SDK de télémétrie/analyse/rapport de crash (sentry, opentelemetry, …).
3. roamswitch-updater review — sa cible de requête unique, l'absence de chaîne de requête/cookies/en-têtes d'identification et sa vérification Ed25519 de tout ce qu'il télécharge.
4. Énumération des sous-processus — chaque site d'appel Command::new(...) a été examiné.

9.2 Résultats

9.3 Liste complète des opérations orientées vers l'extérieur

Toute opération pouvant faire quitter la machine locale à un paquet, directement ou indirectement :

Toutes les autres fonctionnalités de RoamSwitch : contrôle nftables, épinglage ARP/NDP de la table voisine (ip neigh, pas de sortie de paquets), protection des liens (NFQUEUE, AF_NETLINK uniquement), analyse des ports (analyse de la sortie ss), surveillance ARP, évaluation de l'état, surveillance de l'entropie, canaris, fanotify, surveillance USB (prise en charge evdev), quarantaine, audit des journaux, audit des URL et des secrets - se termine en utilisant uniquement les lectures de fichiers locaux et analyse de la sortie du sous-processus. Le tunnel VPN §4 est la seule « communication sortante que l'utilisateur a explicitement configurée », et sa destination est le propre serveur VPN de l'utilisateur — aucun flux de données vers l'infrastructure de lafine.

§10

• Aucun compte — aucune inscription d'utilisateur, aucune connexion, aucune adresse e-mail jamais demandée.
• La configuration est locale uniquement — stockée en texte brut à ~/.config/roamswitch/config.json et ne quitte jamais la machine. Il n'y a pas de synchronisation cloud.
• Les résultats de l'évaluation sont locaux uniquement — les rapports de sécurité et les résultats d'audit des journaux sont uniquement affichés à l'écran et, si l'utilisateur le souhaite, exportés vers un fichier local.
• Les clés de licence sont vérifiées hors ligne — Les jetons de licence Pro/Business contiennent une signature Ed25519 et sont vérifiés avec une clé publique. Aucune requête n'est adressée à un serveur lafine.
• Aucun rapport de crash — en cas de panique, aucune trace de pile n'est envoyée nulle part.
• Le programme de mise à jour quotidien n'envoie rien à votre sujet — pas de chaîne de requête, pas de cookies, pas d'identifiant d'appareil ou d'installation, un User-Agent générique. Il s'agit d'un téléchargement, pas d'un rapport. Les verdicts Link-guard, les hôtes bloqués et les résultats d'analyse sont écrits uniquement dans la vue d'activité locale/journald, jamais transmis.

§11

Les acheteurs de macOS RoamSwitch Pro Lifetime bénéficient gratuitement des fonctionnalités Business sur leurs propres machines Linux.

Distribution et chaîne d'approvisionnement

• Épinglé glibc floor — les binaires de version sont construits dans un conteneur Debian 12 (bookworm, glibc 2.36). Cela évite les incompatibilités de versions de symboles sur Debian 12 / Ubuntu 22.04 et versions ultérieures. Une étape CI « vérifier le plancher de la glibc » fait échouer la construction si une dépendance nécessitant plus de 2,36 est introduite.
• Gestion des clés de signature — la clé privée pour la signature du référentiel apt/rpm existe uniquement dans un secret chiffré GitHub Actions ; seule la clé publique est validée dans le référentiel.

11.3 Le programme de mise à jour quotidien

roamswitch-updater est un binaire autonome exécuté par une minuterie systemd (roamswitch-update.timer, OnCalendar=daily avec un délai aléatoire de 3 heures et Persistent=true). C'est le seul composant qui atteint le réseau. Chaque course :

1. GET https://lafine.net/updates/v1/manifest et sa signature détachée.
2. Vérifiez la signature Ed25519 du manifeste avec une clé de signature de flux de menaces dédiée, distincte de la clé de mise à jour de l'application Sparkle. Le flux est re-signé quotidiennement par le CI côté serveur, de sorte que la clé privée réside dans un secret CI ; le limiter au flux signifie qu'une fuite permet uniquement à un attaquant de servir une mauvaise liste de blocage (gouffre / avertissement - pas de chemin de code, pas de chemin de mise à jour de l'application). La clé de signature de mise à jour de l'application ne quitte jamais le trousseau macOS. Un manifeste qui n’effectue pas de vérification est supprimé : le programme de mise à jour ne revient jamais aux données non signées.
3. Si la version du flux de menaces a changé, téléchargez le flux, vérifiez sa signature SHA-256 et Ed25519, et installez-le atomiquement pour le link guard (§4).
4. Si ClamAV est installé, invoquez freshclam.
5. Enregistrez la dernière version de l'application pour une notification (le programme de mise à jour never installe l'application ; sous Linux, l'utilisateur exécute apt upgrade).

L'échec de n'importe quelle étape - hors ligne, mauvaise signature, freshclam manquant - est enregistré comme updates.lastError et le processus quitte toujours 0, donc une exécution de minuterie ne génère jamais de notification d'échec système. L'ensemble du mécanisme est désactivé par updates.enabled = false en updates.json ou par systemctl disable --now roamswitch-update.timer ; le produit s'exécute ensuite sur les données regroupées dans le package. Le flux de menaces est également fourni à l'intérieur du package, de sorte qu'une nouvelle installation dispose d'un flux fonctionnel avant l'exécution du programme de mise à jour, et apt upgrade l'actualise même avec le programme de mise à jour désactivé.

§12

• OS : Ubuntu 22.04 / 24.04 et versions ultérieures, Debian 12 et versions ultérieures, Linux Mint / Pop!_OS / elementaire / Zorin, Raspberry Pi OS 64 bits (Bookworm), Ubuntu pour Raspberry Pi
• Architecture : x86_64 / aarch64
• Obligatoire : systemd, nftables, iproute2 (ip neigh — le verrou ARP/NDP) (extrait automatiquement par les dépendances .deb / .rpm)
• Facultatif : clamav (analyse des logiciels malveillants), nmcli (détection du cryptage Wi-Fi), libnotify (notifications du bureau), wireguard-tools (le backend WireGuard du tunnel VPN + kill-switch, §4), tailscale (son backend Tailscale, §4), polkit / pkexec (exécution d'une mise à niveau depuis l'interface graphique)
• Non pris en charge : distributions non-systemd (Alpine / Void / Devuan)
• Display : 1 280 × 720 ou plus (la fenêtre et la police s'adaptent automatiquement à la taille de l'écran, prenant en charge les petits écrans Raspberry Pi)

Annexe A

Annexe B

table inet roamswitch {                 # Pare-feu de profil (Air-Gap / balanced / lockdown)
    chain input {
        type filter hook input priority -100; policy <accept|drop>;
        iif "lo" accept
        ct state established,related accept
        # balanced/lockdown : tout le reste est droppé
    }
    chain output {
        type filter hook output priority -100; policy <accept|drop>;
        # policy drop uniquement pendant l'Air-Gap ; seuls lo et ct established sont autorisés
    }
}

table inet roamswitch_linkguard {        # §4.5 — indépendante de la table de profil
    chain output {
        type filter hook output priority 0; policy accept;
        udp dport 53                       queue num 92 bypass
        tcp dport 53                       queue num 92 bypass
        tcp dport { 80, 443 } ct state new,established queue num 92 bypass
    }
}

table inet roamswitch_dev_guard {        # §4 Garde d'anomalie de port / isolation manuelle de port, table séparée
    chain input {
        type filter hook input priority -10; policy accept;
        iif != "lo" tcp dport { … } drop
    }
}

table inet roamswitch_vpn {              # §4 Coupe-circuit du backend WireGuard
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "roamswitch" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP
        ip  daddr { <endpoint v4> } udp dport <port> accept
        ip6 daddr { <endpoint v6> } udp dport <port> accept
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # symétrique
}

table inet roamswitch_ts {               # §4 Coupe-circuit du backend Tailscale (plus permissif)
    chain output {
        type filter hook output priority -150; policy drop;
        oifname "lo" accept
        oifname "tailscale0" accept
        meta l4proto { icmp, ipv6-icmp } accept
        udp sport 68 udp dport 67 accept          # DHCP (le côté v6 est également symétrique)
        ip  daddr 100.64.0.0/10 accept            # tailnet CGNAT
        ip6 daddr fd7a:115c:a1e0::/48 accept
        ip  daddr 100.100.100.100 udp dport 53 accept   # MagicDNS
        ip  daddr 100.100.100.100 tcp dport 53 accept
        udp dport 3478 accept                     # STUN
        udp dport 41641 accept                    # Connexion directe WireGuard
        tcp dport 443 accept                      # Repli DERP
        ct state established,related accept
    }
    chain input  { type filter hook input priority -150; policy drop; … }  # symétrique
}

L'épinglage ARP/NDP de la passerelle / routeur IPv6 / résolveur DNS (§4) se fait dans la table voisine du noyau (ip neigh replace … nud permanent), pas dans les nftables. Les entrées épinglées sont enregistrées dans /var/lib/roamswitch/arp_lock.json.

Annexe C

Chaque affirmation contenue dans ce document peut être vérifiée sur votre propre machine. Les commandes ci-dessous s'exécutent sur un hôte sur lequel le package roamswitch est installé.

C.1 Vérification du trafic sortant

Les binaires démon/application/MCP ne lient pas de bibliothèque HTTP/TLS :

for b in roamswitch-daemon roamswitch-app roamswitch-mcp; do
  ldd "$(command -v $b)" | grep -iE 'ssl|crypto|nghttp|curl' && echo "  ^ in $b"
done
# → Aucune sortie. La pile HTTP/TLS n'est liée statiquement qu'à roamswitch-updater.

Le démon en cours d'exécution ne contient aucune socket Internet :

sudo lsof -p "$(pgrep -x roamswitch-daemon)" -a -i
# → Aucune sortie = zéro connexion Internet TCP/UDP
sudo lsof -p "$(pgrep -x roamswitch-daemon)" -a -U | grep roamswitch
# → Uniquement /run/roamswitch/roamswitch.sock (le link guard ajoute un socket AF_NETLINK,
#   mais il s'agit d'un canal noyau, pas d'un socket internet)

La seule sortie attribuable à RoamSwitch est la mise à jour quotidienne :

watch -n 5 'sudo ss -tupn | grep -E "roamswitch-(daemon|app|mcp)" || echo "(none)"'
# → Toujours « (none) ». Aucun de ces trois processus n'ouvre jamais de socket internet.
systemctl list-timers roamswitch-update.timer
sudo systemctl start roamswitch-update.service
journalctl -u roamswitch-update.service -n 20 --no-pager
# → Une seule requête HTTPS GET vers lafine.net/updates/v1, puis il se termine.

Désactivez-le et confirmez le silence total :

sudo systemctl disable --now roamswitch-update.timer
# ou modifier /var/lib/roamswitch/updates.json en mettant "enabled": false
sudo strace -f -e trace=network -p "$(pgrep -x roamswitch-daemon)" 2>&1 | grep -i 'connect('
# → Se connecte uniquement à AF_UNIX / AF_NETLINK. AF_INET / AF_INET6 n'apparaissent jamais.

C.2 Vérification reproductible de la défense (suite de tests Docker)

Tous les mécanismes de détection, de contrôle et de défense de RoamSwitch (application d'Air-Gap, auto-réparation après endommagement du pare-feu, falsification de ransomware canary, /tmp noexec, Yama LSM, interception de phishing homographe et détection de fuite d'informations d'identification - 17 éléments au total) peuvent être reproduits et vérifiés en toute sécurité à 100 % dans un conteneur isolé sans affecter les réseaux ou fichiers hôtes, en utilisant la suite de tests officielle Docker fournie dans le référentiel de support public. (roamswitch-support

# Récupérer et reproduire la suite de vérification (vérification automatisée dans un conteneur isolé, avec le paquet de distribution officiel)
git clone https://github.com/lafine1211/roamswitch-support.git
cd roamswitch-support/test/docker
docker build -t roamswitch-test .
docker run --rm --privileged roamswitch-test