Плагін Pocket Agent

Pocket Agent — гэта інструментарый кароткатэрміновага выдаленага доступу па TTL-тыкетах. Ён дазваляе аператару дабрацца да мэтавай машыны для выканання абмежаванай задачы, з мадэллю бяспекі, спраектаванай так, што мэце ніколі не трэба адкрываць порт ці давяраць уваходнаму злучэнню.

[!WARNING] Pocket Agent — гэта не мабільны дадатак-спадарожнік. Назва адсылае да невялікага выдаленага агента доступу па запыце, а не да кліента на тэлефоне. Для кліенцкага дадатка гл. плагін Мабільны і настольны дадатак.

Ён працуе host-native і размаўляе са шлюзам праз кантракт .

Факты

Field	Value
Версія	0.1.0
Порт	8814
Асяроддзе выканання	host-native

Што гэта

Спосаб запусціць абмежаванае дзеянне на выдаленай мэце без пастаяннай інфраструктуры на гэтай мэце. Замест дэмана, які слухае ўваходныя каманды, мадэль з’яўляецца кіраванай тыкетамі і толькі выходнай:

Аператар выдае тыкет — кароткатэрміновы (абмежаваны TTL) дазвол на канкрэтную задачу.
Мэта запускае падпісаны bootstrap, які правярае тыкет.
Затым мэта ўваходзіць у цыкл выходнага апытвання, звяртаючыся вонкі, каб атрымаць працу і паведаміць вынікі.

Калі TTL тыкета сканчаецца, доступ знікае. Не застаецца нічога пастаяннага, што слухае.

Мадэль бяспекі

[!NOTE] Уся сутнасць Pocket Agent — у пастуры бяспекі, а не ў зручнасці. Зразумейце яе перад разгортваннем:

Кароткатэрміновыя тыкеты (TTL). Доступ абмежаваны ў часе; пратэрмінаваны тыкет нічога не дае.

Падпісаны bootstrap. Мэта працягвае толькі пасля праверкі падпісанага bootstrap, прывязанага да тыкета.

Толькі цыкл выходнага апытвання. Мэта ініцыюе ўсе злучэнні. Няма ўваходнага сокета для атакі і няма push-канала.

Allowlist. Мэты і дзеянні абмежаваны allowlist’ам.

Аўдыт. Актыўнасць запісваецца для праверкі.

Паколькі няма ўваходнага слухача і няма push, паверхня атакі на мэту мінімальная: зламыснік не можа падключыцца да мэты праз Pocket Agent, і доступ аўтаматычна анулюецца, калі тыкет сканчаецца.

Як гэта выкарыстоўваецца

Аператар выдае тыкет для канкрэтнай задачы; мэта падхоплівае яго праз падпісаны bootstrap і цыкл выходнага апытвання, выконвае дазволеную allowlist’ам працу і паведамляе назад. Кожны крок абмежаваны TTL тыкета і запісваецца ў аўдыт-след.

operator issues TTL ticket ─▶ target verifies signed bootstrap ─▶ target polls outbound ─▶ allowlisted work ─▶ audit

Усталяванне

Усталюйце Pocket Agent у адзін клік з маркетплэйса ў адмін-інтэрфейсе. Host-native дэплоер спампоўвае плагін, выконвае яго крок усталявання, рэндэрыць ізаляваны systemd-юніт і чакае стану здароўя, перш чым пазначыць яго гатовым — гл. Усталяванне і абнаўленні. Кантэйнеры не задзейнічаны.

Бяспека і абмежаванні

Толькі доступ па TTL-тыкетах — абмежаваны ў часе, не пастаянная выдаленая сесія.
Толькі выходны — няма ўваходнага сокета, няма push-канала на мэце.
Allowlist + падпісаны bootstrap + аўдыт прымушаюць выконваць, хто што можа рабіць, і запісваюць гэта.
Не дадатак-спадарожнік — гэта выдалены доступ, кіраваны аператарам, а не кліент на тэлефоне.
Host-native — працуе пад systemd, а не ў кантэйнеры.