Modèle de menace

Statut : implémenté en grande partie, revu le 2026-11-07 (compte rendu, décisions ouvertes et risques restants). Ce document fixe les exigences ; là où il décrit autre chose que le code, le compte rendu fait foi.

Dernière révision : 2026-11-05. Grille de référence : OWASP API Security Top 10 (édition 2023).

1. Périmètre#

ProtoFlix est un serveur multimédia auto-hébergé, installé par un administrateur pour son foyer et ses proches, souvent exposé à Internet derrière un reverse proxy. Le modèle couvre :

• le binaire protoflix : le coordinateur (rôle api, seul à ouvrir la base) et les rôles worker et scanner, locaux ou distants (ADR 0020) ;
• la base SQLite embarquée protoflix.db (ADR 0019) ;
• l'API interne coordinateur ↔ workers (/internal/v1, désactivée par défaut) ;
• les processus enfants FFmpeg/ffprobe ;
• les stockages montés (disques locaux, SMB/NFS montés par l'OS) ;
• les fournisseurs de métadonnées externes ;
• les clients (web, puis natifs) via l'API REST /api/v1 et les flux SSE.
• le module Téléchargements (HTTP, BitTorrent via démon externe) et les bibliothèques privées par compte.

Hors périmètre : la sécurité du système d'exploitation hôte, du reverse proxy lui-même, du NAS et du réseau domestique, au-delà des recommandations de configuration.

2. Actifs#

3. Acteurs#

4. Frontières de confiance#

flowchart LR
  subgraph Internet["Internet / réseau non fiable"]
    C[Clients web et natifs]
    A[Attaquant]
    MP[Fournisseurs de métadonnées]
  end

  subgraph Edge["Hôte : périmètre exposé"]
    RP[Reverse proxy TLS]
  end

  subgraph Host["Hôte : utilisateur système protoflix"]
    API[protoflix rôle api]
    WK[protoflix rôles worker / scanner]
    FF[Processus FFmpeg / ffprobe<br/>non privilégiés, isolés]
    TMP[(Segments temporaires<br/>cache artwork)]
    DL[Démon BitTorrent isolé<br/>désactivé par défaut]
    Q[(Zone de quarantaine<br/>des téléchargements)]
  end

  subgraph Data["Données"]
    DB[(SQLite protoflix.db<br/>fichier 0600, disque local)]
    LIB[(Bibliothèques partagées<br/>montées en lecture seule)]
    PRIV[(Bibliothèques privées<br/>par compte, quota)]
  end

  C -- HTTPS --> RP
  A -- HTTPS --> RP
  RP -- HTTP local + X-Forwarded-* --> API
  API --> DB
  RW[Worker distant<br/>autre machine, optionnel] -- "API interne TLS + jeton de worker" --> API
  RW -- chemins validés, correspondance source_id --> LIB
  API -- chemins validés --> LIB
  WK -- chemins validés --> LIB
  WK -- arguments typés --> FF
  API -- arguments typés --> FF
  FF -- lecture seule --> LIB
  FF -- écriture --> TMP
  API -- lecture --> TMP
  WK -- HTTPS sortant filtré --> MP
  WK -- HTTP sortant filtré --> SRC[Sources de téléchargement]
  DL -- pairs BitTorrent --> PEERS[Pairs BitTorrent]
  DL --> Q
  WK -- import vérifié --> PRIV
  WK -- import vérifié --> LIB
  API -- envoi de fichiers --> PRIV

Frontières à défendre explicitement :

1. Internet → reverse proxy → API : toute requête est non fiable ; les en-têtes X-Forwarded-* ne sont acceptés que depuis PROTOFLIX_TRUSTED_PROXIES.
2. API → stockage : un identifiant opaque est résolu côté serveur en chemin ; aucun chemin fourni par un client n'est jamais ouvert.
3. Orchestrateur Go → FFmpeg : FFmpeg traite des données hostiles ; il reçoit des arguments construits depuis un plan typé, jamais une chaîne shell.
4. Worker → fournisseurs externes : les réponses sont des données non fiables ; les destinations sortantes sont contrôlées (SSRF). Fait pour les métadonnées (lot 2e, internal/platform/outbound) :
   • hôtes déclarés uniquement, adresses privées refusées après résolution DNS, aucun proxy d'environnement ;
   • redirections vérifiées, HTTPS seul, réponses limitées en taille ;
   • images servies uniquement en JPEG, PNG ou WebP (pas de SVG), avec Content-Security-Policy: default-src 'none'.
5. Démon BitTorrent → serveur : le démon et ses fichiers sont non fiables ; le serveur ne fait qu'importer depuis la quarantaine après contrôle.
6. Coordinateur ↔ worker distant (ADR 0020) : le worker n'est jamais une source de vérité. Il n'accède jamais à la base ; il reçoit des payloads autonomes et renvoie des résultats que le coordinateur valide avant de les appliquer.
7. Compte ↔ compte : les données privées et la bibliothèque privée d'un compte sont inaccessibles aux autres comptes, admin compris.
8. Contenu stocké → clients : les métadonnées externes ou manuelles sont rendues comme du texte, jamais comme du HTML.

5. Menaces STRIDE par composant#

Légende des colonnes : S = usurpation, T = altération, R = répudiation, I = divulgation, D = déni de service, E = élévation de privilèges.

5.1 API HTTP (rôle api)#

5.2 Livraison média (Direct Play, HLS, sous-titres, artwork)#

5.3 Moteur de transcodage (FFmpeg)#

Détail : transcoder-hardening.md.

5.4 Worker et scanner#

5.5 Base SQLite (ADR 0019)#

5.5 bis API interne et workers distants (ADR 0020)#

5.6 Flux temps réel (SSE)#

5.7 Module Téléchargements (ADR 0017)#

Désactivé par défaut ; activé par l'admin, autorisé compte par compte, destinations limitées (bibliothèque partagée avec droit d'écriture explicite, ou bibliothèque privée du compte). Import et analyse automatiques après téléchargement.

Responsabilité légale : le produit ne vérifie pas la licéité des contenus téléchargés. L'activation du module indique que l'administrateur en porte la responsabilité, en cohérence avec l'usage personnel non commercial (PRODUCT.md).

5.7 bis Modules externes (ADR 0024)#

Du code venu d'ailleurs tourne sur le serveur, sur décision de l'administrateur. Ce qui le borne :

5.8 Bibliothèque privée et envoi de fichiers (ADR 0018)#

6. Revue OWASP API Security Top 10 (2023)#

7. Risques résiduels connus#

• Failles FFmpeg : le parsing de médias hostiles est une surface d'attaque large. Le confinement réduit l'impact mais ne l'annule pas ; la réactivité aux mises à jour FFmpeg est une obligation d'exploitation.
• Serveur exposé par l'administrateur sans reverse proxy ni TLS : le produit peut avertir (diagnostic de configuration) mais pas l'empêcher entièrement.
• Compromission d'un compte administrateur : accès complet par conception. Atténuation : MFA (phase 6), audit, sessions admin plus courtes.
• Jetons de lecture dans les URL : ils peuvent apparaître dans les journaux du reverse proxy ou l'historique. Atténuation : courte durée, liaison à la session, révocation à l'arrêt.
• Montages SMB/NFS : les permissions effectives dépendent du système hôte ; ProtoFlix ne peut garantir la lecture seule que si l'administrateur monte en lecture seule.
• Code rapide à 4 chiffres : 10 000 combinaisons ; une personne qui connaît ou a observé le code ouvre le compte sur cet appareil. Accepté comme commodité locale, limité à l'appareil et à 5 essais, désactivable à distance.
• Accès de l'administrateur système aux données privées : la confidentialité entre comptes est appliquée par l'application ; quiconque contrôle l'hôte, la base, le stockage ou les sauvegardes peut lire ces données (pas de chiffrement de bout en bout).
• Téléchargements : le produit ne peut ni vérifier la licéité des contenus ni garantir l'absence de fichiers piégés ; le module reste désactivé par défaut.
• Worker distant compromis : la validation des résultats limite l'empoisonnement du catalogue, mais un worker compromis lit les fichiers des sources qu'il voit et le contenu des jobs qu'il réclame. Atténuation : n'enrôler que des machines de confiance, jetons révocables, correspondance des sources minimale.
• Accès au fichier de base : toute personne qui peut lire protoflix.db ou ses sauvegardes (root, compte protoflix, copie de sauvegarde) lit toutes les données, y compris les données privées des comptes. La base n'est pas chiffrée au repos en V1.
• Pas d'audit externe : aucun test d'intrusion n'a encore été réalisé.

8. Révision#

Ce modèle est revu à chaque nouvelle famille d'API, avant l'activation du BitTorrent, à l'arrivée de la musique, de la TV en direct (sources IPTV = nouvelle surface SSRF), et avant chaque version publique (phase 6).

Source : docs/security/threat-model.md, dans le dépôt de ProtoFlix.