scripts

Scripts Zero Trust Core (v1)

Scripts oficiais do curso Zero Trust Core Expert, organizados por mundo operacional (Três Mundos).

Mundo	Pasta	Scripts
🖥️ Debian (host diário)	debian/	cofre, snapshot, rsync, borg, restore-test, health
🔒 Tails (air-gap)	../tails/scripts/	backup, health, manutenção, restore-test
🧅 Whonix (online anônimo)	../whonix/scripts/	install · sign · verify-host · verify-image · import-ova (host) · health (Workstation)

Correspondem aos COMANDOs 4.2.3, 5.1, 5.2 e 5.3 no arquivo canônico do curso.

Instalação (Debian)

mkdir -p ~/bin ~/ztc-backup/manifest
cd scripts/debian
cp ztc-health.sh ztc-rsync-offsite.sh ztc-open-cofre.sh ztc-close-cofre.sh ~/bin/
chmod +x ~/bin/ztc-*.sh
cp ztc.conf.example ~/ztc-backup/ztc.conf
# Edite ~/ztc-backup/ztc.conf com seus caminhos e IP da VM (WireGuard)
~/bin/ztc-health.sh --check-conf

Tails e Whonix: copie os scripts da pasta do respectivo mundo para ~/Persistent/bin/ (Tails) ou ~/bin/ (Whonix Workstation). Scripts host Whonix (ztc-whonix-install-virtualbox.sh, ztc-whonix-sign-virtualbox-modules.sh, ztc-whonix-verify-virtualbox-host.sh, ztc-whonix-import-ova.sh) rodam no Debian — veja W00 e W01.

Arquivos — Whonix (../whonix/scripts/)

Arquivo	Onde roda	Função
ztc-whonix-install-virtualbox.sh	Host Debian	W00 — Oracle repo + GPG + pacote + Extension Pack + MOK import
ztc-whonix-sign-virtualbox-modules.sh	Host Debian	W00 — assina + carrega vboxdrv (após tela azul MOK; repetir pós-kernel)
ztc-whonix-verify-virtualbox-host.sh	Host Debian	W00 — 9 checks read-only — esperado: RESULTADO: PASS
ztc-whonix-verify-image.sh	Host Debian	W01 — só verificação PGP (derivative.asc, -f da wiki)
ztc-whonix-import-ova.sh	Host Debian	W01 — verify .ova + VBoxManage import (fingerprint manual -f)
ztc-whonix-health.sh	Workstation	Health check por sessão (Tor via systemcheck, subkeys, gpg-agent, age)

Arquivos — Debian (debian/)

Arquivo	Função
ztc-health.sh	--check-conf + smartcard, ssh-add, NFC, manifesto
ztc-rsync-offsite.sh	Envia vault.hc + manifestos para VM (só blobs opacos · espelho)
ztc-borg-offsite.sh	Off-site imutável (append-only): versões à prova de ransomware na VM — a perna "1 imutável" do 3-2-1-1-0
ztc-open-cofre.sh	NTAG opcional → monta VeraCrypt → abre KeePassXC
ztc-close-cofre.sh	Detecta KeePassXC aberto → sync → desmonta VeraCrypt → snapshot automático
ztc-snapshot-vault.sh	Cópia versionada do vault.hc (sha256 + rotação de N versões)
ztc-restore-test.sh	Restore test (a "0 erros" do 3-2-1-1-0): sha256 vs MANIFEST → monta snapshot read-only → abre .kdbx com senha + keyfile. Ritual mensal (COMANDO 4.3)
ztc.conf.example	Modelo de configuração (ZTC_*)

Arquivos — Tails (../tails/scripts/)

Arquivo	Função
ztc-tails-backup.sh	Backup Persistent → USB cifrado com age + manifesto sha256
ztc-tails-health.sh	Health check manual (GPG, Persistent, KeePassXC, backup)
ztc-tails-manutencao.sh	Diagnóstico do pendrive (espaço, filesystem, flash USB, limpeza)
ztc-tails-restore-test.sh	Restore test completo (descriptografa + valida .kdbx + GPG + keyfile + revogação)

Segurança

• Nunca coloque senhas, keyfiles ou chaves PGP em ztc.conf.
• A VM off-site deve receber apenas arquivos já criptografados.
• Revise o script antes de agendar no cron.

Licença

Mesma do repositório: CC BY-SA 4.0.