23 lines
1.3 KiB
Markdown
23 lines
1.3 KiB
Markdown
# Propuesta: claves por agente y por host (dejar de usar la clave maestra)
|
|
|
|
Problema: la clave ED25519 gustavo@blinkbtc.com (~/.ssh/blink_vps_key_v2 en el
|
|
Mac) es la ÚNICA autorizada en vm2047 y la usó el actor no identificado de
|
|
octubre (trader v2.4, burbujas, sfeed, respondedor). Un solo secreto, todo el
|
|
poder, cero trazabilidad por agente.
|
|
|
|
Propuesta (por orden de adopción):
|
|
1. Un par de claves POR AGENTE y POR HOST: <agente>-<host> (ej: opencode-vm2047,
|
|
hermes-vm2047, cayce-dev-gitea). ed25519, sin passphrase, en ~/.ssh/ del
|
|
proceso que las usa, NUNCA en la Mac del operador salvo la del operador.
|
|
2. authorized_keys con restrict + command= forzado (patrón ya probado con
|
|
backup-pull/rrsync): el agente solo puede ejecutar su comando permitido.
|
|
3. Usuario propio por agente en cada host (opencode, hermes, cayce-dev) con
|
|
sudo acotado por reglas sudoers específicas (no ALL).
|
|
4. Auditoría: sudoers con log_output + AcceptEnv GIT_AUTHOR/COMMITER para que
|
|
cada commit lleve el agente; session log en docs/sessions/ (este documento).
|
|
5. Rotación de salida: retirar gustavo@blinkbtc.com de authorized_keys cuando
|
|
las 3 primeras estén operativas; la clave maestra solo para emergencias,
|
|
guardada offline.
|
|
6. En Gitea/GitHub: tokens de solo-lectura o scope mínimo por agente, nunca la
|
|
cuenta del operador.
|