Il mirror Tsinghua è configurato in pyproject.toml:

2.2 Preparare la configurazione degli asset

Poi aggiorna fleet.env con i tuoi host e le tue credenziali reali.

2.3 Esecuzione

3. Struttura del Progetto

4. Riferimento Configurazione fleet.env

Il formato è CHIAVE=VALORE. Le righe vuote e i commenti # vengono ignorati.

4.1 Chiavi globali

MODE

• Modalità di esecuzione.
• Valori:
  • audit: solo rilevamento, nessuna remediation.
  • fix: rilevamento ed esecuzione del flusso di remediation.
• Predefinito: audit

AUTO_REBOOT

• Se riavviare automaticamente l'host dopo una remediation riuscita.
• Valori: 0 o 1
• Predefinito: 0
• Efficace solo quando MODE=fix.

SSH_TIMEOUT

• Timeout di connessione/autenticazione SSH (secondi).
• Tipo: intero
• Predefinito: 12

MAX_WORKERS

• Dimensione della concorrenza della flotta (worker del thread pool).
• Tipo: intero
• Predefinito: 8

REPORT_DIR

• Directory di output per i report generati.
• Tipo: percorso relativo o assoluto
• Predefinito: ./reports

PROGRESS_HEARTBEAT_SECONDS

• Intervallo del heartbeat per i log di avanzamento in tempo reale.
• Tipo: intero (secondi)
• Predefinito: 5

DEVICE_MAX_DURATION_SECONDS

• Tempo massimo totale di esecuzione per dispositivo prima degli avvisi di timeout/stallo.
• Tipo: intero (secondi)
• Predefinito: 1800

PROGRESS_LOG_TO_FILE

• Se salvare i log di avanzamento in REPORT_DIR.
• Valori: 0 o 1
• Predefinito: 1

FLEET_COUNT

• Numero di slot dispositivo. Il loader analizza 1..FLEET_COUNT.
• Tipo: intero
• Se DEVICE_n_HOST è vuoto, quello slot viene saltato.

4.2 Chiavi per dispositivo

Ogni host usa il prefisso DEVICE_{n}_, come DEVICE_1_*, DEVICE_2_*.

DEVICE_n_NAME

• Nome visualizzato nei report.
• Opzionale. Se vuoto, fallback automatico a device_n.

DEVICE_n_HOST

• IP dell'host target o nome DNS.
• Obbligatorio per quello slot.

DEVICE_n_PORT

• Porta SSH.
• Predefinito: 22

DEVICE_n_USER

• Nome utente SSH.
• Predefinito: root

DEVICE_n_PASSWORD

• Autenticazione con password SSH.
• Da usare con o al posto di DEVICE_n_KEY.
• Lo script usa solo le credenziali esplicitamente impostate in fleet.env.

DEVICE_n_KEY

• Percorso della chiave privata SSH.
• Esempio: ./keys/node-1_ed25519
• Se sia DEVICE_n_PASSWORD che DEVICE_n_KEY sono vuoti, la connessione fallisce rapidamente.

DEVICE_n_SUDO_PASSWORD

• Password sudo per utenti non root.
• Usata per i comandi di remediation.

4.3 Esempio completo

5. Modalità di Esecuzione

5.1 Modalità audit (primo passaggio consigliato)

Comportamento:

• Connessione agli host
• Raccolta di indizi su kernel/modulo/patch
• Classificazione dello stato di rischio
• Generazione dei report

5.2 Modalità fix

Comportamento:

• Applica prima la mitigazione temporanea:
  • scrive /etc/modprobe.d/disable-cve-2026-31431-algif-aead.conf
  • tenta di scaricare algif_aead
• Esegue l'aggiornamento del kernel specifico per distribuzione
• Riavvio opzionale in base a AUTO_REBOOT

6. Definizioni degli Stati

SAFE

• Indizi di patch trovati e algif_aead non è caricato.

MITIGATED

• Indizi di mitigazione trovati mentre gli indizi di patch sono ancora poco chiari.

NEEDS_PATCH

• algif_aead è disponibile/caricato e gli indizi di patch mancano.

UNKNOWN

• Prove insufficienti per classificare.

FAILED

• Accesso SSH/esecuzione comandi fallita.

7. Output dei Report

Ogni esecuzione genera 3 file in REPORT_DIR:

• cve_2026_31431_<timestamp>.json
• cve_2026_31431_<timestamp>.csv
• cve_2026_31431_<timestamp>.md
• progress_<timestamp>.log (log di avanzamento in tempo reale e heartbeat)

Campi principali:

• name, host
• status
• kernel, os
• algif_loaded, algif_available
• patch_hint
• fixed, rebooted
• error

8. Note di Sicurezza

• Non committare fleet.env o chiavi private.
• Usa account operativi con privilegi minimi quando possibile.
• Fai snapshot/backup prima della remediation in produzione.
• Rollout consigliato: audit -> fix -> ri-audit.

9. Risoluzione dei Problemi

ModuleNotFoundError: No module named 'paramiko'

• Esegui uv sync.

Molti host sono FAILED

• Controlla connettività, credenziali SSH, permessi sudo e stato delle chiavi host.

BadHostKeyException

• L'impronta dell'host è in conflitto con il record corrente in known_hosts.
• Questo non è un fallback di autenticazione con chiave di sistema; l'autenticazione usa comunque solo le credenziali di fleet.env.
• Verifica l'identità dell'host fuori banda, poi aggiorna known_hosts:
  • ssh-keygen -R <host>
  • ssh-keyscan -H <host> >> $env:USERPROFILE\.ssh\known_hosts

Server ... not found in known_hosts

• La modalità rigorosa per le chiavi host è attiva e l'impronta dell'host manca.
• Aggiungi la chiave host a known_hosts, poi riesegui.

Kernel aggiornato ma lo stato è ancora a rischio

• Potrebbe essere necessario un riavvio per avviarsi con il kernel patchato.