Atualização assinada do agente
O agente se atualiza sozinho, mas só instala um pacote depois de conferir a assinatura, o tamanho e o conteúdo — e volta atrás se a nova versão não iniciar bem.
Por que isso importa
Um agente com privilégio de sistema que baixa e executa atualizações é um alvo. Se bastasse o servidor dizer “instale isto”, quem invadisse o servidor controlaria todos os computadores. Por isso a resposta do servidor não é suficiente para o agente instalar nada.
O que o agente confere antes de instalar
- Assinatura do manifesto. Cada versão tem um manifesto com número da versão, tamanho e hash do pacote. Ele é assinado em uma máquina de build com uma chave privada que não fica no servidor. O agente traz a chave pública embutida e recusa qualquer manifesto que não confira.
- Produto, arquitetura e versão. O pacote precisa ser do agente, da arquitetura certa e de uma versão maior que a instalada. Versões antigas são recusadas.
- Origem do download. O pacote só é baixado do mesmo servidor com que o agente já fala, por HTTPS.
- Tamanho e hash. O arquivo baixado precisa ter exatamente o tamanho e o SHA-256 do manifesto.
- Conteúdo. O pacote só pode conter os arquivos esperados.
- Assinatura digital dos executáveis. Quando o agente instalado é assinado, o novo precisa ser assinado pelo mesmo emissor.
Falhando qualquer verificação, nada é instalado e o motivo é informado ao painel administrativo.
Se a nova versão não funcionar
Antes de trocar os arquivos, o agente guarda uma cópia da versão atual. Depois da troca, ele espera a nova versão iniciar e confirmar que está saudável. Sem a confirmação dentro do prazo, a versão anterior é restaurada e aquela atualização não é tentada de novo por um dia.
Distribuição gradual
Uma versão publicada pode começar em uma parte dos computadores e ir aumentando. Se algo sair errado, a distribuição é pausada ou a versão é revogada. Organizações com o canal de testes habilitado podem receber versões antes, em um grupo de computadores.
E o antivírus?
A atualização troca os arquivos na pasta do programa, pelo próprio serviço, sem nenhuma técnica para se esconder. O agente não desativa a proteção do computador nem cria exclusões.