feat: release 2.1.8-SAC — security phase 1 and SAC-first update hardening

Updater applies chmod/chown on config, spool and state paths on every run. SAC is the primary update path; optional cron uses the same behavior. Co-authored-by: Cursor <cursoragent@cursor.com>
2026-07-08 09:44:24 +10:00
parent ec0857b8f2
commit 2048162057
11 changed files with 618 additions and 243 deletions
@@ -3,7 +3,7 @@
 # === Конфигурация скрипта ===
 UPDATE_DIR="/opt/scripts/update"
 SCRIPT_NAME="ssh-monitor"
-REPO_URL="${REPO_URL:-https://git.kalinamall.ru/PapaTramp/ssh-monitor.git}"
+REPO_URL="${REPO_URL:-}"
 GIT_BRANCH="${GIT_BRANCH:-main}"
 LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
 LOG_FILE="/var/log/update_script.log"
@@ -23,6 +23,7 @@ SUMMARY_GIT="—"
 SUMMARY_SERVICE_RESTART="—"
 SUMMARY_UPDATER="—"
 SUMMARY_WATCHDOG="—"
+SUMMARY_HARDENING="—"

 CONFIG_FILE="/etc/ssh-monitor.conf"
 DEPLOY_INSTALL_PATH="/opt/scripts/update_ssh_monitor.sh"
@@ -76,10 +77,34 @@ update_ssh_monitor.sh — обновление или первичная уст

 При первой установке создаётся /etc/ssh-monitor.conf из example.
 При обновлении в существующий конфиг дописываются отсутствующие SAC-переменные
-и выставляется UseSAC=fallback (Telegram/SMTP не перезаписываются).
+и обязательные ключи безопасности (CONFIG_STRICT_PERMS, SAC_TLS_INSECURE и т.д.);
+выставляется UseSAC=fallback (Telegram/SMTP не перезаписываются).
+На каждом прогоне автоматически выставляются chmod/chown на конфиг, spool и state-файлы
+(основной сценарий — кнопка «Обновить» в SAC; cron/timer — опционально).
+
+Переменная REPO_URL обязательна (export, SAC или Environment= в systemd/cron).
 EOF
 }

+require_repo_url() {
+    if [ -n "${REPO_URL:-}" ]; then
+        return 0
+    fi
+    local msg="ERROR: REPO_URL не задан. Задайте export REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git или Environment=REPO_URL=... в systemd unit / cron."
+    echo "$msg" >&2
+    mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null || true
+    echo "$(date '+%Y-%m-%d %H:%M:%S') ERROR: REPO_URL не задан" >>"$LOG_FILE" 2>/dev/null || true
+    exit 1
+}
+
+default_required_config_value() {
+    case "$1" in
+        CONFIG_STRICT_PERMS) printf '0' ;;
+        SAC_TLS_INSECURE) printf '0' ;;
+        *) printf '' ;;
+    esac
+}
+
 # Ключи SAC: дописываются из ssh-monitor.conf.example, если отсутствуют в /etc.
 SAC_CONFIG_KEYS=(
    UseSAC
@@ -94,6 +119,12 @@ SAC_CONFIG_KEYS=(
 )
 SAC_USE_MODE_DEFAULT="fallback"

+# Обязательные ключи конфига (добавляются updater'ом, если отсутствуют).
+REQUIRED_CONFIG_KEYS=(
+    CONFIG_STRICT_PERMS
+    SAC_TLS_INSECURE
+)
+
 find_ssh_monitor_conf_example() {
    local example="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor.conf.example"
    if [ -f "$example" ]; then
@@ -155,6 +186,7 @@ ensure_ssh_monitor_config_file() {
        return 1
    fi
    chmod 600 "$CONFIG_FILE" 2>/dev/null || true
+    chown root:root "$CONFIG_FILE" 2>/dev/null || true
    CONFIG_CHANGED=1
    return 0
 }
@@ -235,6 +267,139 @@ sync_sac_config_keys() {
    return 0
 }

+sync_required_config_keys() {
+    local file="$CONFIG_FILE"
+    local example backed_up=0
+    local key val changed=0
+
+    [ -f "$file" ] || return 1
+    example=$(find_ssh_monitor_conf_example) || example=""
+
+    for key in "${REQUIRED_CONFIG_KEYS[@]}"; do
+        if config_key_exists "$key" "$file"; then
+            continue
+        fi
+        val="$(config_example_value "$key" "$example")"
+        if [ -z "$val" ]; then
+            val="$(default_required_config_value "$key")"
+        fi
+        backup_config_if_needed "$file" backed_up
+        if ! grep -qE '^[[:space:]]*# --- Security / updater ---' "$file" 2>/dev/null; then
+            printf '\n# --- Security / updater (добавлено update_ssh_monitor.sh) ---\n' >>"$file"
+        fi
+        set_config_kv "$key" "$val" "$file"
+        log_message "INFO" "Config $file: добавлен обязательный ${key}=${val}"
+        changed=1
+    done
+
+    if [ "$changed" -eq 0 ]; then
+        return 1
+    fi
+    CONFIG_CHANGED=1
+    return 0
+}
+
+harden_ssh_monitor_config_perms() {
+    [ -f "$CONFIG_FILE" ] || return 0
+    chmod 600 "$CONFIG_FILE" 2>/dev/null || true
+    chown root:root "$CONFIG_FILE" 2>/dev/null || true
+}
+
+load_ssh_monitor_perms_lib() {
+    local p candidates=()
+    candidates+=("${LOCAL_SCRIPT_PATH%/*}/ssh-monitor-perms.sh")
+    candidates+=("$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor-perms.sh")
+    for p in "${candidates[@]}"; do
+        if [ -f "$p" ]; then
+            # shellcheck source=/dev/null
+            source "$p"
+            return 0
+        fi
+    done
+    return 1
+}
+
+# SAC-first: при каждом обновлении (SAC, cron или вручную) выставляет chmod/chown на конфиг,
+# spool, счётчики SAC и state-файлы из /etc/ssh-monitor.conf — без участия админа.
+apply_runtime_security_hardening() {
+    local spool fail_count agent_id path key
+    local -a state_keys defaults
+    local i=0
+
+    log_action "security: применение прав (конфиг, spool, state) — основной путь через SAC/update"
+    harden_ssh_monitor_config_perms
+    chmod 750 "$DEPLOY_INSTALL_PATH" 2>/dev/null || true
+    chown root:root "$DEPLOY_INSTALL_PATH" 2>/dev/null || true
+
+    if ! load_ssh_monitor_perms_lib; then
+        log_action "WARNING: ssh-monitor-perms.sh недоступен — только chmod конфига и базовых каталогов"
+        mkdir -p /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
+        chmod 700 /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
+        chown root:root /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
+        SUMMARY_HARDENING="частично (нет perms lib)"
+        return 0
+    fi
+
+    ssh_monitor_secure_dir "/var/lib/ssh-monitor"
+
+    spool="$(config_conf_value SAC_SPOOL_DIR "$CONFIG_FILE" 2>/dev/null || echo "$SAC_SPOOL_DIR_DEFAULT")"
+    fail_count="$(config_conf_value SAC_FAIL_COUNT_FILE "$CONFIG_FILE" 2>/dev/null || echo "/var/lib/ssh-monitor/sac-fail.count")"
+    agent_id="$(config_conf_value SAC_AGENT_ID_FILE "$CONFIG_FILE" 2>/dev/null || echo "/var/lib/ssh-monitor/agent_instance_id")"
+
+    ssh_monitor_harden_path "$spool"
+    ssh_monitor_harden_path "$fail_count"
+    ssh_monitor_harden_path "$agent_id"
+
+    state_keys=(
+        LAST_HEARTBEAT_FILE
+        LAST_REPORT_FILE
+        LAST_SSH_CHECK_FILE
+        LAST_SUDO_CHECK_FILE
+        LAST_SECURITY_EVENTS_FILE
+        LAST_LOGIND_CHECK_FILE
+        BAN_LIST_FILE
+        HEALTHCHECK_STATUS_FILE
+    )
+    defaults=(
+        /var/log/last_heartbeat.txt
+        /var/log/last_daily_report.txt
+        /var/log/last_ssh_check
+        /var/log/last_sudo_check
+        /var/log/last_security_events_check
+        /var/log/last_logind_check
+        /var/log/ssh_bans.txt
+        ""
+    )
+    for key in "${state_keys[@]}"; do
+        path="$(config_conf_value "$key" "$CONFIG_FILE" 2>/dev/null || true)"
+        if [ -z "$path" ]; then
+            path="${defaults[$i]}"
+        fi
+        if [ -n "$path" ]; then
+            ssh_monitor_harden_path "$path"
+        fi
+        i=$((i + 1))
+    done
+
+    if [ -f /etc/ssh_monitor_whitelist.txt ]; then
+        ssh_monitor_harden_path /etc/ssh_monitor_whitelist.txt
+    fi
+
+    SUMMARY_HARDENING="права применены"
+    log_action "security: runtime paths hardened (spool, state, config)"
+}
+
+maybe_enable_deploy_for_missing_install() {
+    if [ "$DEPLOY_MODE" -eq 1 ]; then
+        return 0
+    fi
+    if [ -f "$LOCAL_SCRIPT_PATH" ]; then
+        return 0
+    fi
+    log_action "ssh-monitor не найден в $LOCAL_SCRIPT_PATH — автоматический режим --deploy"
+    DEPLOY_MODE=1
+}
+
 set_config_kv() {
    local key="$1" val="$2" file="$3"
    if grep -qE "^[[:space:]]*${key}=" "$file" 2>/dev/null; then
@@ -539,6 +704,7 @@ log_update_summary() {
    log_action "git: $SUMMARY_GIT"
    log_action "updater ($DEPLOY_INSTALL_PATH): $SUMMARY_UPDATER"
    log_action "watchdog: $SUMMARY_WATCHDOG"
+    log_action "security hardening: $SUMMARY_HARDENING"
    log_action "перезапуск ssh-monitor.service: $SUMMARY_SERVICE_RESTART"
    log_action "полный лог: $LOG_FILE"
    log_action "==========================="
@@ -776,6 +942,38 @@ sync_sac_client() {
    return 0
 }

+find_ssh_monitor_perms_remote() {
+    local p="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor-perms.sh"
+    if [ -f "$p" ]; then
+        printf '%s\n' "$p"
+        return 0
+    fi
+    return 1
+}
+
+sync_ssh_monitor_perms_lib() {
+    local remote local_dst remote_sum local_sum=""
+    remote=$(find_ssh_monitor_perms_remote) || {
+        log_action "WARNING: ssh-monitor-perms.sh не найден в клоне git"
+        return 0
+    }
+    local_dst="${LOCAL_SCRIPT_PATH%/*}/ssh-monitor-perms.sh"
+    remote_sum=$(file_sha256 "$remote")
+    if [ -f "$local_dst" ]; then
+        local_sum=$(file_sha256 "$local_dst")
+        if [ "$local_sum" = "$remote_sum" ]; then
+            return 0
+        fi
+    fi
+    if ! cp "$remote" "$local_dst"; then
+        log_action "ERROR: не удалось скопировать ssh-monitor-perms.sh"
+        return 1
+    fi
+    chmod 644 "$local_dst"
+    log_action "ssh-monitor-perms.sh обновлён → $local_dst"
+    return 0
+}
+
 find_remote_ssh_monitor_path() {
    local repo="$UPDATE_DIR/$SCRIPT_NAME"
    local candidates=() git_path="" found="" p
@@ -854,7 +1052,10 @@ install_ssh_monitor_from() {

 deploy_prepare_dirs() {
    say_step "Каталоги"
-    mkdir -p "$UPDATE_DIR" /opt/scripts /var/log "$SAC_SPOOL_DIR_DEFAULT" /var/lib/ssh-monitor 2>/dev/null || true
+    mkdir -p "$UPDATE_DIR" /opt/scripts /var/log /var/lib/ssh-monitor 2>/dev/null || true
+    mkdir -p "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
+    chmod 700 "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
+    chown root:root "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
    say_ok "UPDATE_DIR=$UPDATE_DIR, spool=$SAC_SPOOL_DIR_DEFAULT"
 }

@@ -862,9 +1063,11 @@ deploy_install_config() {
    say_step "Конфигурация"
    ensure_ssh_monitor_config_file || return 1
    sync_sac_config_keys || true
+    sync_required_config_keys || true
    sync_heartbeat_interval_config || true
    sync_server_ipv4_hint_config || true
    sync_daily_report_enabled_config || true
+    apply_runtime_security_hardening
 }

 deploy_install_systemd() {
@@ -1140,6 +1343,7 @@ update_script() {
    SUMMARY_SAC_REASON="—"
    SUMMARY_CONFIG="—"
    SUMMARY_GIT="—"
+    SUMMARY_HARDENING="—"
    SUMMARY_SERVICE_RESTART="не требовался"

    log_action "Старт обновления (deploy=$DEPLOY_MODE, debug=$DEBUG)"
@@ -1201,6 +1405,7 @@ update_script() {
        log_update_summary
        return 1
    fi
+    sync_ssh_monitor_perms_lib || true

    WATCHDOG_CHANGED=0
    if ! ensure_watchdog_installed; then
@@ -1217,9 +1422,11 @@ update_script() {
    else
        SUMMARY_CONFIG="SAC без изменений"
    fi
+    sync_required_config_keys && SUMMARY_CONFIG="${SUMMARY_CONFIG}; security keys"
    sync_heartbeat_interval_config || true
    sync_server_ipv4_hint_config || true
    sync_daily_report_enabled_config || true
+    harden_ssh_monitor_config_perms
    if [ "${CONFIG_CHANGED:-0}" -eq 1 ] && [ "$SUMMARY_CONFIG" = "SAC без изменений" ]; then
        SUMMARY_CONFIG="heartbeat/watchdog выровнены"
    elif [ "${CONFIG_CHANGED:-0}" -eq 1 ] && [ "$SUMMARY_CONFIG" != "SAC без изменений" ]; then
@@ -1288,6 +1495,8 @@ update_script() {
        script_changed=1
    fi

+    apply_runtime_security_hardening
+
    if [ "$script_changed" -eq 1 ] || [ "${SAC_CLIENT_CHANGED:-0}" -eq 1 ] || [ "${CONFIG_CHANGED:-0}" -eq 1 ]; then
        restart_ssh_monitor_service
    else
@@ -1303,6 +1512,7 @@ update_script() {

 parse_command_line "$@"
 deploy_require_root
+require_repo_url

 if [ "$DEPLOY_MODE" -eq 1 ]; then
    printf '\n=== ssh-monitor: первичная установка (--deploy) ===\n'
@@ -1322,11 +1532,15 @@ if ! ensure_directories; then
    exit 1
 fi

-debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
-if ! ensure_ipset_installed; then
-    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
-    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
-    exit 1
+maybe_enable_deploy_for_missing_install
+
+debug_step "Начинаем проверку и установку ipset (только --deploy / first_deploy)"
+if [ "$DEPLOY_MODE" -eq 1 ]; then
+    if ! ensure_ipset_installed; then
+        log_message "ERROR" "CRITICAL: ipset installation or verification failed"
+        echo "ERROR: Работа deploy невозможна без установленного ipset" >&2
+        exit 1
+    fi
 fi

 update_script "$@"