Test & Avis Expert
secureblue est un jeu d’images durcies fondées sur les Fedora Atomic Desktops, distribuées comme images conteneur amorçables et construites avec BlueBuild. Licence Apache-2.0, dépôt actif (version v4.9.3 publiée le 3 septembre 2026, commits quotidiens). Projet communautaire, gratuit. Il vise, selon ses auteurs, « un système Linux le plus sûr possible » sur les postes de bureau et les serveurs, en s’appuyant sur le fait que Fedora est l’une des rares distributions à livrer SELinux actif par défaut.
Comment ça marche
Le durcissement porte sur plusieurs couches. Noyau personnalisé avec réglages d’exécution et atténuations contre les attaques exploitant le multithreading simultané. Politiques SELinux renforcées : espaces de noms utilisateur confinés, ptrace restreint, accès à l’API cryptographique du noyau bloqué. Liste noire de modules noyau pour réduire la surface. Système de fichiers /usr en lecture seule, mises à jour appliquées par étapes. Enfin, plusieurs mécanismes visent la chaîne d’approvisionnement, contre un mainteneur malveillant ou un vol de clé de signature.
Le projet est transparent sur son positionnement : il déclare s’adresser à qui veut d’abord utiliser Linux, puis de la sécurité — et précise que si la sécurité passe absolument avant tout, secureblue n’est probablement pas le bon choix. C’est une honnêteté rare et elle vaut d’être relevée.
Ce que ça ne protège pas
La documentation du projet liste les régressions, et elles sont lourdes. Le multithreading simultané est désactivé, ce qui divise de fait le nombre de cœurs visibles et coûte jusqu’à 40 % de performance. Le Bluetooth est désactivé, en raison de son historique de vulnérabilités. Xwayland est désactivé, ce qui casse les applications X11 anciennes ; le réactiver est explicitement décrit comme une dégradation de sécurité. Les AppImages ne fonctionnent pas, faute de fuse2 qui n’est plus maintenu. VeraCrypt et iwd sont inutilisables tant que le blocage de l’API cryptographique reste en place. mDNS et Avahi sont coupés, ce qui casse la découverte d’imprimantes et d’appareils sur le réseau local. L’installation de thèmes KDE depuis le magasin communautaire est désactivée. Certains clients VPN entrent en conflit avec les réglages par défaut.
Autrement dit : secureblue casse volontairement des usages courants. Ce n’est pas un défaut caché, c’est le contrat. Il faut aussi noter que secureblue ne fournit aucune isolation par virtualisation, et que le projet renvoie lui-même vers Qubes OS pour qui a besoin de compartimenter.
Face aux alternatives
Fedora Atomic Desktops est la base non durcie : même modèle de mise à jour, aucune de ces régressions, aucune de ces protections. Kicksecure durcit une Debian avec une perte de confort nettement moindre, mais sans aller aussi loin sur le noyau et SELinux. Qubes OS résout un autre problème, l’isolation entre activités. secureblue s’adresse à qui accepte de perdre le Bluetooth, la moitié de sa puissance CPU et les AppImages en échange d’atténuations d’exploitation.
