Protocole d'action d'urgence

Objectif

Donnez au agent une capacité spécifique et temporairement accrue, isoler le réseau, tuer le processus, prendre la dump de mémoire, sans lui donner les droits root permanents.

Niveaux

Niveau	TTL	Auto?	Actions
1	2 min	Auto si confiance > 0,95	Isoler le réseau · Tuer le processus · Dump de mémoire
2	5 min	Auto après 3 min si pas d’ack	Arrêter le service · Quarantiner un fichier
3	15 min	Toujours avec validation humaine	Installer un package · Redémarrer · Exécuter une playbook

Chaîne de vérification (agent)

1. TTL : now ≤ expires_at et (expires_at - issued_at) ≤ 900.
2. Adressage : agent_id = ID propre.
3. Anti-replay : nonce ne doit pas être dans la table used_nonces.
4. Signature : Ed25519, vérifié contre la clé publique boulonnée dans l’exécutable.
5. Marquage : Ajouter nonce à used_nonces avant exécution.

Gestion des clés

• Génération unique : bash scripts/gen-emergency-keypair.sh.
• La clé privée est uniquement disponible dans $HUB_EMERGENCY_PRIVATE_KEY sur le hub.
• La clé publique est boulonnée dans l’agent via build.rs à la compilation.
• Rotation annuelle avec 24 heures d’overlap.