Le miroir Tsinghua est configuré dans pyproject.toml :

2.2 Préparer la configuration des actifs

Mettez ensuite à jour fleet.env avec vos vrais hôtes et identifiants.

2.3 Exécution

3. Structure du projet

4. Référence de configuration fleet.env

Le format est CLÉ=VALEUR. Les lignes vides et les commentaires # sont ignorés.

4.1 Clés globales

MODE

• Mode d'exécution.
• Valeurs :
  • audit : détection uniquement, sans remédiation.
  • fix : détection puis exécution du flux de remédiation.
• Défaut : audit

AUTO_REBOOT

• Indique s'il faut redémarrer l'hôte automatiquement après une remédiation réussie.
• Valeurs : 0 ou 1
• Défaut : 0
• Effectif uniquement lorsque MODE=fix.

SSH_TIMEOUT

• Délai d'expiration de connexion/authentification SSH (secondes).
• Type : entier
• Défaut : 12

MAX_WORKERS

• Taille de concurrence de la flotte (workers du pool de threads).
• Type : entier
• Défaut : 8

REPORT_DIR

• Répertoire de sortie pour les rapports générés.
• Type : chemin relatif ou absolu
• Défaut : ./reports

PROGRESS_HEARTBEAT_SECONDS

• Intervalle de battement de cœur pour les journaux de progression en temps réel.
• Type : entier (secondes)
• Défaut : 5

DEVICE_MAX_DURATION_SECONDS

• Durée d'exécution totale maximale par appareil avant avertissements de délai d'expiration/blocage.
• Type : entier (secondes)
• Défaut : 1800

PROGRESS_LOG_TO_FILE

• Indique s'il faut consigner les journaux de progression dans REPORT_DIR.
• Valeurs : 0 ou 1
• Défaut : 1

FLEET_COUNT

• Nombre d'emplacements d'appareils. Le chargeur analyse 1..FLEET_COUNT.
• Type : entier
• Si DEVICE_n_HOST est vide, cet emplacement est ignoré.

4.2 Clés par appareil

Chaque hôte utilise le préfixe DEVICE_{n}_, par exemple DEVICE_1_*, DEVICE_2_*.

DEVICE_n_NAME

• Nom d'affichage dans les rapports.
• Facultatif. Si vide, repli automatique sur device_n.

DEVICE_n_HOST

• IP ou nom DNS de l'hôte cible.
• Requis pour cet emplacement.

DEVICE_n_PORT

• Port SSH.
• Défaut : 22

DEVICE_n_USER

• Nom d'utilisateur SSH.
• Défaut : root

DEVICE_n_PASSWORD

• Authentification par mot de passe SSH.
• À utiliser avec ou à la place de DEVICE_n_KEY.
• Le script n'utilise que les identifiants explicitement définis dans fleet.env.

DEVICE_n_KEY

• Chemin de la clé privée SSH.
• Exemple : ./keys/node-1_ed25519
• Si DEVICE_n_PASSWORD et DEVICE_n_KEY sont tous deux vides, la connexion échoue rapidement.

DEVICE_n_SUDO_PASSWORD

• Mot de passe sudo pour les utilisateurs non-root.
• Utilisé pour les commandes de remédiation.

4.3 Exemple complet

5. Modes d'exécution

5.1 Mode audit (premier passage recommandé)

Comportement :

• Connexion aux hôtes
• Collecte des indices noyau/module/correctif
• Classification de l'état de risque
• Génération des rapports

5.2 Mode correctif

Comportement :

• Appliquer d'abord l'atténuation temporaire :
  • écrire /etc/modprobe.d/disable-cve-2026-31431-algif-aead.conf
  • tenter de décharger algif_aead
• Exécuter la mise à jour du noyau spécifique à la distribution
• Redémarrage facultatif selon AUTO_REBOOT

6. Définitions des états

SAFE

• Indices de correctif trouvés et algif_aead n'est pas chargé.

MITIGATED

• Indices d'atténuation trouvés alors que les indices de correctif restent peu clairs.

NEEDS_PATCH

• algif_aead est disponible/chargé et les indices de correctif sont absents.

UNKNOWN

• Preuves insuffisantes pour classifier.

FAILED

• Échec de la connexion SSH ou de l'exécution des commandes.

7. Sorties de rapport

Chaque exécution génère 3 fichiers dans REPORT_DIR :

• cve_2026_31431_<timestamp>.json
• cve_2026_31431_<timestamp>.csv
• cve_2026_31431_<timestamp>.md
• progress_<timestamp>.log (journaux de progression en temps réel et de battement de cœur)

Champs principaux :

• name, host
• status
• kernel, os
• algif_loaded, algif_available
• patch_hint
• fixed, rebooted
• error

8. Notes de sécurité

• Ne committez pas fleet.env ni les clés privées.
• Utilisez des comptes opérationnels à privilèges minimaux lorsque c'est possible.
• Prenez des instantanés/sauvegardes avant toute remédiation en production.
• Déploiement recommandé : audit -> fix -> ré-audit.

9. Dépannage

ModuleNotFoundError: No module named 'paramiko'

• Exécutez uv sync.

De nombreux hôtes sont en FAILED

• Vérifiez la connectivité, les identifiants SSH, les permissions sudo et l'état de la clé d'hôte.

BadHostKeyException

• L'empreinte de l'hôte entre en conflit avec l'enregistrement actuel de known_hosts.
• Ce n'est pas un repli d'authentification par clé système ; l'authentification n'utilise toujours que les identifiants de fleet.env.
• Vérifiez l'identité de l'hôte hors bande, puis mettez à jour known_hosts :
  • ssh-keygen -R <host>
  • ssh-keyscan -H <host> >> $env:USERPROFILE\.ssh\known_hosts

Server ... not found in known_hosts

• Le mode strict de clé d'hôte est activé et l'empreinte de l'hôte est absente.
• Ajoutez la clé d'hôte à known_hosts, puis relancez.

Le noyau a été mis à jour mais l'état reste risqué

• Un redémarrage peut être nécessaire pour démarrer sur le noyau corrigé.