249 lines
11 KiB
Python
249 lines
11 KiB
Python
"""按 VM 生成的 SSH host key 预置（替代 TOFU 的强方案）。
|
||
|
||
安全模型（补缺口轨，替代 #221 的 ssh-keyscan 首次捕获）：
|
||
- 绝不用镜像固定同一把 host key：所有 VM 共用一把 key 时，
|
||
一台 VM 泄漏即全网可冒充，属安全事故。
|
||
- 每 VM 一次性生成：宿主在 VMM 启动前为该 VM 生成一对
|
||
ed25519 host key（私钥只活在该 VM 的 seed 里，随 VM
|
||
销毁而删，绝不跨 VM 复用、绝不写进镜像、绝不进已知
|
||
主机文件之外的共享位置）。
|
||
- 公钥预置钉死：生成后立即把公钥写进该 VM 的
|
||
state_dir/<vm>/known_hosts（格式 [127.0.0.1]:<port> ...），
|
||
执行器在 VM 启动前就已钉死，启动后 SSH 直接用该文件
|
||
校验，换 key 即拒绝——不再靠启动后 ssh-keyscan 抓到的
|
||
key 来“事后钉死”。
|
||
- 私钥注入通道（选 cloud-init NoCloud，写清唯一通道）：
|
||
seed 目录 state_dir/<vm>/seed/ 含 meta-data（instance-id
|
||
即 VM 名）、user-data（write_files 写 /etc/ssh/ 的 host
|
||
key 对并重启 sshd）。客机镜像硬性要求（见
|
||
chv-guest/README.md §5）：必须装 cloud-init 且支持
|
||
NoCloud seed、首启时先应用 seed 再启动 sshd、且不得在
|
||
seed 应用前/后无条件重新生成 host key（否则预置即失效）。
|
||
seed 磁盘/目录是 per-VM 敏感物，VM 关闭/回收时必须删。
|
||
- 回落边界：ssh-keyscan 首次捕获只作弱回落
|
||
（CHV_HOST_KEY_MODE=keyscan，且文档标为弱方案）：
|
||
它只能防首次之后的替换，不能验证首次本身。生产部署
|
||
必须用 provisioned 模式；provisioned 模式下 seed 工具
|
||
或 keygen 不可用时直接 fail-fast，绝不静默回落 keyscan。
|
||
|
||
本模块只做纯函数与文件操作，不跑 VM、不联网、不含
|
||
任何私钥值（测试用假 runner 时私钥由测试自己写文件）。
|
||
"""
|
||
|
||
import os
|
||
import shlex
|
||
from collections.abc import Callable
|
||
|
||
# seed 投递的客内密钥环境文件路径（feat-chv-secfix，H2）：
|
||
# 只在 provisioned 模式的 seed user-data 里写出，0600 root，
|
||
# 客内 host.py 命令执行前由远程命令 source 进环境；宿主侧
|
||
# 除 seed 目录/user-data（随 VM 销毁而删）外不另存该文件。
|
||
GUEST_ENV_PATH = "/etc/chv/guest-env"
|
||
|
||
|
||
def host_key_paths(state_dir: str, vm_name: str) -> dict:
|
||
"""该 VM 的 host key 文件路径（私钥/公钥/known_hosts）。"""
|
||
base = os.path.join(state_dir, vm_name)
|
||
return {
|
||
"private": os.path.join(base, "ssh_host_ed25519_key"),
|
||
"public": os.path.join(base, "ssh_host_ed25519_key.pub"),
|
||
"known_hosts": os.path.join(base, "known_hosts"),
|
||
"seed_dir": os.path.join(base, "seed"),
|
||
}
|
||
|
||
|
||
def dirty_marker_path(state_dir: str, vm_name: str) -> str:
|
||
"""清理失败脏标记路径（feat-chv-secfix，M2）：stop_vm
|
||
清理 seed/私钥/磁盘任一步失败时写下该标记；标记存在
|
||
时同名 VM 拒绝启动（清理失败即拒起），人工清理并删
|
||
标记后才能再起——“已审计即可”不再当作根治。"""
|
||
return os.path.join(state_dir, vm_name, ".cleanup-dirty")
|
||
|
||
|
||
def delete_host_private_key(state_dir: str, vm_name: str) -> str:
|
||
"""删宿主侧 host 私钥文件（feat-chv-secfix，H5）：seed
|
||
盘建好后宿主私钥已无存在必要（客机已有私钥、宿主只需
|
||
公钥 + known_hosts 做校验）。删失败即 OSError，由调用
|
||
方 fail-fast（VM 尚未启动，此时拒绝是最安全的）。"""
|
||
path = host_key_paths(state_dir, vm_name)["private"]
|
||
if os.path.exists(path):
|
||
os.remove(path)
|
||
return path
|
||
|
||
|
||
def known_hosts_line(port: int, public_key_text: str, host: str = "127.0.0.1") -> str:
|
||
"""公钥文件内容转 known_hosts 行：只取前两列（类型+数据）。
|
||
|
||
公钥文件形如 'ssh-ed25519 AAAA... [comment]'，known_hosts
|
||
行形如 '[<host>]:<port> ssh-ed25519 AAAA...'（host 缺省
|
||
回环，仅作兼容；客机 IP 方案下 host 应为解析出的客机 IP）。
|
||
非法内容 ValueError，绝不把陌生行原样写进文件。"""
|
||
parts = (public_key_text or "").strip().split()
|
||
if len(parts) < 2 or not parts[0].startswith("ssh-"):
|
||
raise ValueError("host 公钥格式非法")
|
||
return "[%s]:%s %s %s" % (host, port, parts[0], parts[1])
|
||
|
||
|
||
def seed_disk_path(state_dir: str, vm_name: str) -> str:
|
||
"""该 VM 的 NoCloud seed 磁盘镜像路径（CIDATA 卷标 ISO）。"""
|
||
return os.path.join(state_dir, vm_name, "seed.iso")
|
||
|
||
|
||
def build_seed_disk(seed_dir: str, seed_disk: str,
|
||
runner: Callable[[list[str]], object] | None = None) -> str:
|
||
"""把 seed 目录做成 CIDATA 卷标 ISO（feat-chv-fix，P0-1 的
|
||
注入载体）：genisoimage -volid CIDATA -joliet -rock。
|
||
|
||
runner 不给时用 subprocess；测试可注入假 runner（假
|
||
runner 负责把 seed_disk 文件写出来）。工具失败、返回码
|
||
非 0、或产物不存在/为空时一律 RuntimeError，调用方
|
||
（wake_vm provisioned 路径）fail-fast，绝不带着“seed
|
||
目录已写但未挂进 VmConfig”的 VM 继续启动。seed 目录
|
||
本身只是中间物，不再被当成注入通道。"""
|
||
cmd = ["genisoimage", "-output", seed_disk, "-volid", "CIDATA",
|
||
"-joliet", "-rock", seed_dir]
|
||
if runner is not None:
|
||
result = runner(cmd)
|
||
rc = getattr(result, "returncode", 0)
|
||
if rc not in (0, None):
|
||
raise RuntimeError("genisoimage 失败：returncode=%s" % rc)
|
||
else:
|
||
import subprocess
|
||
result = subprocess.run(cmd, capture_output=True, text=True)
|
||
if result.returncode != 0:
|
||
raise RuntimeError("genisoimage 失败：%s" % result.stderr)
|
||
if not os.path.isfile(seed_disk) or os.path.getsize(seed_disk) == 0:
|
||
raise RuntimeError("seed 磁盘未生成：%s" % seed_disk)
|
||
# feat-chv-secfix（H5）：seed.iso 内含 host 私钥明文
|
||
# user-data，生成即 0600，不再取 umask 默认 0644。
|
||
try:
|
||
os.chmod(seed_disk, 0o600)
|
||
except OSError as exc:
|
||
raise RuntimeError("seed 磁盘 chmod 0600 失败：%s" % exc)
|
||
return seed_disk
|
||
|
||
|
||
def build_seed_user_data(private_key_text: str, public_key_text: str) -> str:
|
||
"""cloud-init user-data：把 host key 对写进客机 /etc/ssh。
|
||
|
||
注意：user-data 本身含私钥，只写进 per-VM seed 目录
|
||
（0600），随 VM 销毁而删，绝不进镜像、绝不进日志、
|
||
绝不进任务 prompt 落库。"""
|
||
if not private_key_text or not public_key_text:
|
||
raise ValueError("host key 对缺失，无法生成 seed")
|
||
lines = [
|
||
"#cloud-config",
|
||
"ssh_deletekeys: false",
|
||
"write_files:",
|
||
" - path: /etc/ssh/ssh_host_ed25519_key",
|
||
" permissions: '0600'",
|
||
" owner: root:root",
|
||
" content: |",
|
||
]
|
||
for line in private_key_text.rstrip("\n").split("\n"):
|
||
lines.append(" " + line)
|
||
lines += [
|
||
" - path: /etc/ssh/ssh_host_ed25519_key.pub",
|
||
" permissions: '0644'",
|
||
" owner: root:root",
|
||
" content: |",
|
||
]
|
||
for line in public_key_text.rstrip("\n").split("\n"):
|
||
lines.append(" " + line)
|
||
lines += [
|
||
"runcmd:",
|
||
" - chmod 600 /etc/ssh/ssh_host_ed25519_key",
|
||
" - systemctl restart ssh || service ssh restart || true",
|
||
]
|
||
return "\n".join(lines) + "\n"
|
||
|
||
|
||
def write_seed(seed_dir: str, vm_name: str, private_key_text: str,
|
||
public_key_text: str,
|
||
secret_env: dict | None = None) -> str:
|
||
"""写 seed 目录：meta-data + user-data（均为 0600）。
|
||
|
||
返回 seed 目录路径。seed 目录本身不含已知主机之外的
|
||
共享数据，调用方（执行器关闭/回收）负责删除它。
|
||
feat-chv-secfix（H2）：secret_env 给定时，user-data 再
|
||
写一个 write_files 条目，把密钥环境变量写进客内
|
||
GUEST_ENV_PATH（0600 root），值经 shlex.quote 引用后
|
||
才进文件内容——远程命令 source 该文件即可得到密钥
|
||
环境，密钥值从不出现在宿主 ssh argv、宿主进程环境与
|
||
审计明文里。secret_env 为空时不写该条目（客内文件不
|
||
存在时远程命令也不 source 它，见执行器）。"""
|
||
os.makedirs(seed_dir, exist_ok=True)
|
||
meta_path = os.path.join(seed_dir, "meta-data")
|
||
user_path = os.path.join(seed_dir, "user-data")
|
||
with open(meta_path, "w") as fh:
|
||
fh.write("instance-id: %s\nlocal-hostname: %s\n"
|
||
% (vm_name, vm_name))
|
||
os.chmod(meta_path, 0o600)
|
||
user_data = build_seed_user_data(private_key_text, public_key_text)
|
||
if secret_env:
|
||
# 注意：只能把条目并进已有的 write_files 列表，绝不能
|
||
# 再写一个 write_files: 键（YAML 重复键会覆盖掉 host
|
||
# key 的两条写文件条目，预置即失效）。条目插在 runcmd
|
||
# 段之前、仍属同一列表。
|
||
lines = [
|
||
" - path: %s" % GUEST_ENV_PATH,
|
||
" permissions: '0600'",
|
||
" owner: root:root",
|
||
" content: |",
|
||
]
|
||
for key in sorted(secret_env):
|
||
lines.append(" %s=%s"
|
||
% (key, shlex.quote(str(secret_env[key]))))
|
||
# 条目插在 runcmd 段之前、仍属同一 write_files 列表。
|
||
marker = "runcmd:\n"
|
||
if marker in user_data:
|
||
head, tail = user_data.split(marker, 1)
|
||
user_data = head + "\n".join(lines) + "\n" + marker + tail
|
||
else:
|
||
user_data = user_data + "\n".join(lines) + "\n"
|
||
with open(user_path, "w") as fh:
|
||
fh.write(user_data)
|
||
os.chmod(user_path, 0o600)
|
||
return seed_dir
|
||
|
||
|
||
def generate_host_keypair(state_dir: str, vm_name: str,
|
||
runner: Callable[[list[str]], object] | None = None,
|
||
keygen: str = "ssh-keygen") -> dict:
|
||
"""为该 VM 生成（或复用本 VM 已有的）host key 对。
|
||
|
||
同一 VM 重启/恢复时复用已有对（否则钉死的 known_hosts
|
||
立即失效）；不同 VM 的 state_dir/<vm> 不同，绝不共用。
|
||
runner 不给时用 subprocess，测试可注入假 runner（假
|
||
runner 负责把私钥/公钥文件写出来）。keygen 失败即
|
||
RuntimeError，调用方不得回落 keyscan（provisioned
|
||
模式）或必须显式标弱回落（keyscan 模式，见执行器）。"""
|
||
paths = host_key_paths(state_dir, vm_name)
|
||
if (os.path.exists(paths["private"])
|
||
and os.path.exists(paths["public"])):
|
||
return paths
|
||
base = os.path.dirname(paths["private"])
|
||
os.makedirs(base, exist_ok=True)
|
||
cmd = [keygen, "-t", "ed25519", "-N", "",
|
||
"-f", paths["private"]]
|
||
if runner is not None:
|
||
result = runner(cmd)
|
||
rc = getattr(result, "returncode", 0)
|
||
if rc not in (0, None):
|
||
raise RuntimeError("ssh-keygen 失败：returncode=%s" % rc)
|
||
else:
|
||
import subprocess
|
||
result = subprocess.run(cmd, capture_output=True, text=True)
|
||
if result.returncode != 0:
|
||
raise RuntimeError("ssh-keygen 失败：%s" % result.stderr)
|
||
if not (os.path.exists(paths["private"])
|
||
and os.path.exists(paths["public"])):
|
||
raise RuntimeError("ssh-keygen 未生成 host key 对")
|
||
try:
|
||
os.chmod(paths["private"], 0o600)
|
||
except OSError as exc:
|
||
# feat-chv-secfix（H5）：私钥 chmod 失败不再静默
|
||
# pass——权限不对的私钥文件绝不能留着继续用。
|
||
raise RuntimeError("host 私钥 chmod 0600 失败：%s" % exc)
|
||
return paths
|