42 lines
2.1 KiB
Markdown
42 lines
2.1 KiB
Markdown
# 03 - Hebra: Seguridad y Red
|
|
|
|
> Referencia canónica: [`adn/00_indice.md`](00_indice.md)
|
|
|
|
Esta hebra gobierna los protocolos de seguridad de red, gestión de secretos y contingencia ante fallos críticos de conectividad.
|
|
|
|
## 1. Protocolo de Seguridad de Red (Hombre Muerto)
|
|
|
|
- **Problemática**: La administración remota del servidor implica el riesgo de desconexión total ante cambios erróneos en la configuración de red.
|
|
- **Directiva**: **Toda modificación de red debe incluir un mecanismo de reversión automática.**
|
|
- **Implementación**:
|
|
- Usar scripts con temporizador ("Dead Man's Switch").
|
|
- **Flujo**:
|
|
1. Aplicar cambios temporalmente.
|
|
2. Esperar confirmación explícita del usuario durante un tiempo prudencial (5 minutos).
|
|
3. **Si no hay confirmación**: Revertir cambios inmediatamente y restaurar estado anterior.
|
|
4. **Si hay confirmación**: Hacer cambios persistentes.
|
|
|
|
## 2. Gestión de Secretos (Bóveda Operativa)
|
|
|
|
### 2.1 Prohibición de Texto Plano
|
|
La Inteligencia Artificial operante tiene **expresamente prohibido** solicitar contraseñas administrativas, tokens o claves privadas al operador, así como también plasmarlas en logs, comandos literales temporales o en la bitácora.
|
|
|
|
### 2.2 Consumo Efímero de Bóveda
|
|
Ante requerimientos de escalada de privilegios (`sudo`, `root`, `sshpass`), la IA accederá de forma autónoma a la bóveda encriptada:
|
|
|
|
- **Ubicación**: `scripts/.agent_secrets.json`
|
|
- **Interfaz**: `ruby scripts/secret_box.rb decrypt <payload>`
|
|
- **Cifrado**: AES-256-GCM con `.master.key` local (ignorada en Git).
|
|
- **Ejecución**: Exclusivamente inyectando subshells para enmascarar la variable en los árboles de procesos:
|
|
```bash
|
|
CMD_PASS=$(ruby scripts/secret_box.rb decrypt "$PAYLOAD")
|
|
sshpass -p "$CMD_PASS" ssh ...
|
|
```
|
|
|
|
### 2.3 Archivos Protegidos (`.gitignore`)
|
|
Los siguientes artefactos **nunca** deben ser rastreados por Git:
|
|
- `.master.key` (clave maestra de la bóveda)
|
|
- `scripts/.agent_secrets.json` (payloads cifrados)
|
|
- `*.key` (claves privadas)
|
|
- `tmp/` (artefactos transitorios de la IA)
|