Daniel Allaire
dcbb57db69
Some checks are pending
verifier / verifier (push) Waiting to run
Le jour ou l on s en sert, le poste est mort — et cloner le depot demande la cle SSH qui est dans l archive qu on essaie d ouvrir. Une procedure rangee dans le depot serait inaccessible exactement quand elle sert. L export depose donc restaurer_cles.py et un LISEZ-MOI a cote de l archive. La cle ne demande plus que gpg, python3 et la phrase de passe. Le script remet chaque fichier a sa place selon son NOM (machine neuve, parfois autre compte), repose les droits a 0600 — ssh refuse une cle privee lisible par d autres, et son message ne dit pas qu il s agit d un droit — et refuse d ecraser une cle presente, en regardant AVANT d ecrire. Le LISEZ-MOI porte les trois commandes manuelles. Un outil peut avoir un defaut ; gpg et tar seront la. EPROUVE : export vers une cle, poste neuf vide, restauration depuis la cle SEULE, empreintes comparees — identiques 4 sur 4, droits 700/600, et le refus d ecraser tire. Le filet manuel passe au meme test separement, identiques 4 sur 4. make cles-restaurer refusera puisque les cles sont en place — et ce refus est la preuve que l archive s ouvre et que la phrase de passe est la bonne. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on
106 lines
4.8 KiB
Markdown
106 lines
4.8 KiB
Markdown
> **Pour qui :** l'exploitant, le jour où il réalise que 1 644 octets valent toute
|
|
> l'installation. À faire une fois, puis à refaire quand une clé change.
|
|
|
|
# Sortir les clés du poste
|
|
|
|
## Ce qui est en jeu
|
|
|
|
Le **code** de Set-OPS est répliqué trois fois : `eregion`, la forge du site, patient 0.
|
|
Les **voûtes chiffrées** y sont aussi. Le coffre est solide.
|
|
|
|
Les **clés** qui l'ouvrent vivent dans neuf fichiers de ce poste — 1 644 octets — sans
|
|
aucune copie ailleurs. S'y ajoutent les clés SSH par lesquelles on entre sur les
|
|
hyperviseurs, la frontière et chaque machine.
|
|
|
|
Ce qu'on perd avec le poste, par ordre de gravité :
|
|
|
|
| Ce qui disparaît | Conséquence |
|
|
|---|---|
|
|
| Le poste seul | Les mots de passe restic restent lisibles sur les machines vivantes (`/etc/setops/restic.pass`) — récupérable, mais douloureux, et plus aucun déploiement possible entre-temps |
|
|
| Le poste **et** une machine | L'état de cette machine devient illisible |
|
|
| Le poste **et** le site | Terminal |
|
|
|
|
## La manœuvre
|
|
|
|
```bash
|
|
make cles-recenser # voir ce qui sortirait, sans rien écrire
|
|
make cles-exporter VERS=/media/…/CLE # sortir, chiffrer, RELIRE
|
|
```
|
|
|
|
**Lance-la toi-même**, dans ton terminal. `gpg` demande une phrase de passe : elle ne doit
|
|
passer ni par un journal, ni par le contexte d'un assistant. C'est la seule façon de
|
|
s'en assurer.
|
|
|
|
L'outil refuse trois choses, et chacune a été éprouvée en la faisant échouer :
|
|
|
|
- une destination **dans** l'infrastructure — ces clés ouvrent les sauvegardes ; les y
|
|
ranger ferait un coffre dont la clé est à l'intérieur ;
|
|
- **écraser** une archive existante — elle est peut-être la seule ;
|
|
- une archive qu'il **n'arrive pas à rouvrir** — elle est alors supprimée. Une sauvegarde
|
|
de clés qu'on ne sait pas ouvrir est pire que rien : elle donne le sentiment d'être
|
|
protégé.
|
|
|
|
Il ne montre jamais le contenu des clés — seulement leur nom, leur taille et leur
|
|
empreinte. De quoi vérifier sans divulguer.
|
|
|
|
## Les deux gestes qui restent, et qui ne sont pas facultatifs
|
|
|
|
**1. La phrase de passe va ailleurs que le support.** Séparés, ils ne valent rien l'un
|
|
sans l'autre ; ensemble, ils valent l'installation. Un papier dans un autre lieu, ou un
|
|
gestionnaire de mots de passe qui n'est pas sur ce poste.
|
|
|
|
**2. Une seconde copie, dans un autre lieu physique.** Un support unique dans un tiroir
|
|
unique, c'est le problème qu'on vient de fermer, déplacé de quelques mètres.
|
|
|
|
## Les rouvrir — la moitié qui compte
|
|
|
|
Le jour où l'on s'en sert, **le poste est mort**. Le dépôt Set-OPS est répliqué trois
|
|
fois, mais le *cloner* demande la clé SSH… qui est dans l'archive qu'on essaie d'ouvrir.
|
|
Une procédure rangée dans le dépôt serait donc inaccessible exactement quand elle sert.
|
|
|
|
La clé se suffit donc à elle-même. À côté de l'archive :
|
|
|
|
```
|
|
setops-cles-<poste>.tar.gpg les clés, chiffrées
|
|
restaurer_cles.py le script, autonome
|
|
LISEZ-MOI-RESTAURATION.txt le mode d'emploi, et les commandes manuelles
|
|
```
|
|
|
|
Sur la machine neuve, il ne faut que `gpg`, `python3` et la phrase de passe :
|
|
|
|
```bash
|
|
python3 restaurer_cles.py setops-cles-*.tar.gpg --lister # voir sans rien écrire
|
|
python3 restaurer_cles.py setops-cles-*.tar.gpg # remettre en place
|
|
```
|
|
|
|
Le script remet chaque fichier à sa place selon son nom, et **repose les droits à 0600**.
|
|
Ce n'est pas cosmétique : `ssh` refuse une clé privée que d'autres peuvent lire, et son
|
|
message ne dit pas qu'il s'agit d'un droit — une archive extraite depuis un support FAT
|
|
arrive systématiquement dans cet état. Il **refuse** aussi d'écraser une clé déjà là :
|
|
lancé par erreur sur un poste qui fonctionne, il ne détruit rien.
|
|
|
|
Si même ce script refuse de tourner, le LISEZ-MOI porte les commandes manuelles — `gpg`,
|
|
`tar`, `chmod`. **Les deux chemins ont été éprouvés** le 2026-09-05 : export, poste vidé,
|
|
restauration depuis la clé seule, empreintes comparées — identiques, 4 sur 4, droits
|
|
700/600.
|
|
|
|
## L'éprouver pendant qu'on a encore le choix
|
|
|
|
```bash
|
|
make cles-restaurer ARCHIVE=/media/…/setops-cles-*.tar.gpg
|
|
```
|
|
|
|
Il refusera, puisque les clés sont déjà en place — et ce refus est en soi la preuve que
|
|
l'archive s'ouvre et que la phrase de passe est la bonne. C'est le test le moins cher
|
|
qui existe, et il vaut d'être refait après chaque changement de clé.
|
|
|
|
## Quand recommencer
|
|
|
|
Quand une voûte est créée ou sa clé changée (`voutes.py`), quand une paire SSH de runner
|
|
est refaite, et à l'arrivée d'un écosystème. `make cles-recenser` dit en une seconde si
|
|
l'archive rangée est encore complète : compare le nombre de fichiers et les empreintes.
|
|
|
|
## Ce que ça ne couvre pas
|
|
|
|
La **phrase de passe** elle-même : si elle est perdue, l'archive est du bruit. C'est le
|
|
prix du chiffrement, et c'est pour ça que le geste 1 n'est pas décoratif.
|