امنیت ایجنت و به‌روزرسانی
ایجنت طوری ساخته شده که حتی هک شدن wardex به معنای هک شدن سرور شما نباشد؛ از جمله امضای دیجیتال نسخه‌ها.
پاسخ سؤالتان را پیدا نکردید؟ تیم پشتیبانی wardex در ساعات کاری کمکتان می‌کند.تماس با پشتیبانی
ایجنتی که روی سرورهای زیادی نصب است، اگر درست طراحی نشود، نقطه‌ی شکست مشترک همه‌ی آن سرورهاست: نفوذ به سرور سازنده‌ی ایجنت یعنی نفوذ به همه‌ی مشتری‌ها. ایجنت wardex از اول با این فرض ساخته شده که روزی خود wardex هک می‌شود. هدف این است که در آن روز، مهاجم نتواند از ایجنت برای نفوذ به سرور شما استفاده کند.
اتصال و هویت#
- بدون رمز حساب: ایجنت با توکن یک‌بارمصرف وصل می‌شود و کلید اختصاصی (Ed25519) خودش را روی همان سرور می‌سازد. کلید خصوصی هیچ‌وقت از سرور خارج نمی‌شود و رمز wardex هیچ‌وقت روی سرور نیست.
- فقط خروجی: ایجنت به wardex وصل می‌شود، نه برعکس. هیچ پورتی روی سرور باز نمی‌شود.
- هر گزارش امضاشده: هر گزارش با کلید ایجنت امضا می‌شود و زمان دارد. گزارش جعلی پذیرفته نمی‌شود و گزارش ضبط‌شده را نمی‌شود دوباره فرستاد. برای همین ساعت سرور باید درست باشد.
- ابطال فوری: با حذف سرور در داشبورد، wardex دیگر گزارش این ایجنت را نمی‌پذیرد و ایجنت خودش متوقف می‌شود.
کمترین دسترسی روی سرور#
ایجنتwardex-agent
- کاربر wardex، نه root
- فقط اجازه‌ی خواندن فایل‌ها
- به wardex وصل می‌شود
- کلید Authenticator را نمی‌بیند
درخواست، از سوکت محلی
سرویس اقدام‌هاwardex-actuator
- root، ولی بدون هیچ دسترسی شبکه
- فقط چند کار ثابت
- هر درخواست را خودش بررسی می‌کند
- کد Authenticator را خودش می‌سنجد
سرویس اقدام‌ها فقط وقتی اجرا می‌شود که اقدامی را روشن کرده باشید.
- ایجنت با root اجرا نمی‌شود. با کاربر
wardexاجرا می‌شود و فقط یک اجازه‌ی اضافه دارد: خواندن فایل‌ها، برای اثر انگشت فایل‌های حساس و خواندن لاگ‌ها. داخل محیط محدود systemd اجرا می‌شود و جز پوشه‌ی خودش جایی را نمی‌تواند تغییر دهد. سقف مصرف پردازنده و حافظه هم دارد. - اقدام‌ها در پردازه‌ی جدا. اگر اقدامی را روشن کنید، کارهایی که دسترسی root می‌خواهند را سرویس جدای
wardex-actuatorانجام می‌دهد. این سرویس هیچ دسترسی شبکه‌ای ندارد، فقط چند کار ثابت را می‌شناسد و هر درخواست را خودش دوباره بررسی می‌کند. فقط کاربرwardexو root می‌توانند با آن حرف بزنند، و این را خود هسته‌ی لینوکس تأیید می‌کند. - کلید Authenticator از ایجنت پنهان است. کلید تأیید اقدام‌ها و فایل‌های قرنطینه در پوشه‌ای هستند که حتی ایجنت، با همان اجازه‌ی خواندن، به آن دسترسی ندارد.
- اجرای دستور دلخواه وجود ندارد. نه در ایجنت و نه در wardex، هیچ راهی برای فرستادن «این دستور را اجرا کن» نیست. این یک تنظیم خاموش نیست؛ در کد وجود ندارد.
- ۱فقط دیدن و گزارشپیش‌فرض هر نصب
- ۲اقدام خودکار کم‌خطربستن IP مهاجم با انقضا، ری‌استارت سرویس خراب
- ۳اقدام با تأیید شماقرنطینه‌ی فایل، باز و بستن دستی IP؛ با کد Authenticator
- ✕اجرای دستور دلخواهوجود ندارد؛ نه در ایجنت، نه در wardex
تصمیم نهایی با شماست#
- هر بخش پایش یا اقدامی که در
/etc/wardex/agent.jsonروی خود سرور خاموش کنید، از داشبورد روشن نمی‌شود. - اقدام‌ها فقط با دستور روی سرور و با root روشن می‌شوند؛ داشبورد فقط نشان می‌دهد چه چیزی روشن است.
- اقدامی که از داشبورد درخواست شود، کد اپ Authenticator گوشی شما را لازم دارد. کلیدش روی سرور ساخته می‌شود و wardex آن را ندارد، پس بدون گوشی شما هیچ اقدامی از داشبورد انجام نمی‌شود.
sudo wardex-agent deny allهر اقدامی را فوراً خاموش می‌کند.
به‌روزرسانی امن#
مسیر به‌روزرسانی خطرناک‌ترین راه حمله به همه‌ی سرورهاست: کسی که بتواند یک نسخه‌ی آلوده منتشر کند، به همه‌ی سرورها دسترسی پیدا می‌کند. برای همین:
کلید امضا
آفلاین، روی هیچ سرور wardex نیست
امضای هر نسخه
سرور wardex
فقط فایل‌ها را پخش می‌کند
دانلود
ایجنت روی سرور شما
امضا، اثر انگشت و جدیدتر بودن را بررسی می‌کند
اگر سرور wardex هک شود، مهاجم کلید امضا را ندارد؛ پس نمی‌تواند نسخه‌ی آلوده یا قدیمی را روی سرورها نصب کند.
- هر نسخه امضای دیجیتال دارد. کلید امضا روی هیچ سرور wardex نیست و کلید عمومی‌اش داخل خود ایجنت است.
- ایجنت فقط نسخه‌ای را نصب می‌کند که امضای معتبر داشته باشد، اثر انگشت و اندازه‌ی فایلش با نسخه‌ی امضاشده یکی باشد، و خودش همان نسخه را گزارش کند.
- هیچ‌وقت به نسخه‌ی قدیمی‌تر برنمی‌گردد، حتی اگر درست امضا شده باشد. پس نمی‌شود یک نسخه‌ی قدیمی آسیب‌پذیر را دوباره نصب کرد.
- به‌روزرسانی خودکار اختیاری است (
sudo wardex-agent auto-update on) و مرحله‌ای پخش می‌شود: هر نسخه‌ی تازه اول روی بخشی از سرورها نصب می‌شود. - نسخه‌ی قبلی کنار نسخه‌ی تازه نگه داشته می‌شود (
/usr/local/bin/wardex-agent.prev).
نصب اول ایجنت به سروری اعتماد می‌کند که اسکریپت نصب را از آن دانلود می‌کنید؛ اسکریپت اثر انگشت فایل را بررسی می‌کند. امضا از همه‌ی ایجنت‌هایی محافظت می‌کند که از قبل نصب شده‌اند.
بررسی امضا#
اگر می‌خواهید امضای یک نسخه را خودتان بررسی کنید، این کلید عمومی امضای wardex را در فایل wardex-release.pem ذخیره کنید:
text
-----BEGIN PUBLIC KEY-----
MCowBQYDK2VwAyEAYSpcMhLFrorBMAt873aSYESOtoQQJKsvYtOdRV0EOqA=
-----END PUBLIC KEY-----
و با OpenSSL نسخه‌ی ۳ به بعد:
خط فرمان
curl -fsSLO https://api.wardex.ir/api/agent/download/manifest.json
curl -fsSL https://api.wardex.ir/api/agent/download/manifest.sig | base64 -d > manifest.sig.bin
openssl pkeyutl -verify -pubin -inkey wardex-release.pem -rawin -in manifest.json -sigfile manifest.sig.bin
sha256sum wardex-agent # باید با اثر انگشت همان فایل در manifest.json یکی باشد
در طرف wardex#
- کلید قطع اضطراری: اگر تعداد غیرعادی‌ای فرمان از داشبورد ساخته شود، ارسال همه‌ی فرمان‌ها به همه‌ی سرورها خودکار متوقف می‌شود.
- عرضه‌ی مرحله‌ای تأیید از داشبورد: تا پایان یک بررسی امنیتی مستقل، تأیید اقدام‌ها از داشبورد فقط برای بعضی حساب‌ها روشن است. اقدام‌های خودکار و دستورهای روی سرور برای همه کار می‌کنند.
- ثبت همه‌چیز در دو طرف: هر اقدام هم در رویدادهای داشبورد و گزارش فعالیت فضای کاری ثبت می‌شود و هم روی خود سرور (
sudo wardex-agent actions). - دسترسی فقط برای مالک و مدیر: افزودن و حذف سرور و درخواست اقدام فقط برای مالک و مدیر فضای کاری ممکن است.