📦 bits est en disponibilité générale — quatre agents signés que vous pouvez télécharger et vérifier

La famille bits — les agents qui s'exécutent sur vos propres machines — est désormais téléchargeable depuis la page des téléchargements. Quatre binaires, tous signés avec la même clé, tous vérifiables avant que vous ne les exécutiez.

Agent	Version	Ce qu'il fait	Plateformes
bitcollector	v0.1.0-ga	Une vérité sur les actifs de qualité probante, depuis un hôte : processus, paquets, ports, comptes, posture	Linux amd64/arm64, macOS amd64/arm64, Windows amd64
bitscanner	v0.1.3-ga	Trouve les équipements que votre inventaire ne contient pas	Linux amd64/arm64
bitenforcer	v0.1.0-ga	Validation de politique de durcissement et contrôle préalable	Linux amd64/arm64
bitmapper	v0.1.0-ga	Capture des connexions en direct — extrémités, ports, protocole, compteurs, état de la connexion. Aucune attribution par processus dans cette version	Linux amd64

Correction : bitmapper v0.1.0-ga n'attribue pas les flux à des processus

La ligne ci-dessus indiquait d'abord « Capture des connexions en direct, avec attribution par processus », et l'entrée bitmapper de la section À quoi sert chaque agent affirmait que bitmapper rapporte « quels processus parlent réellement à quoi, avec une attribution par connexion ». Ces deux affirmations étaient fausses pour le binaire que ce billet annonce, et elles l'étaient dans le sens qui vous coûte : l'attribution par processus est ce qui distingue bitmapper d'un scanner hors hôte, et c'est la raison même de le déployer.

Mesuré sur le 0.1.0-ga publié — commit 64ebc64, l'artefact présent aujourd'hui sur la page des téléchargements — 0 flux capturé sur 12 portait la moindre attribution de processus, y compris un flux de 60 secondes dont le processus propriétaire est resté vivant et interrogeable de bout en bout. destination_process n'a jamais été renseigné ailleurs que dans le code de test. Dans cette compilation, la recherche n'est tentée qu'une seule fois, à la création de la connexion, face à un instantané de la table des sockets qui ne peut pas contenir le socket d'une connexion sortante qui vient de naître ; aucun paquet ultérieur ne réessaie, et il n'existe aucune inférence à partir des sockets en écoute sur laquelle se rabattre, car ce code est tout simplement absent de 64ebc64.

Ce que fait réellement v0.1.0-ga, c'est de la capture passive de flux, et cette partie-là est bien réelle. Chaque connexion suivie est exportée sous forme d'enregistrement de flux : extrémités source et destination, ports, protocole, état de la connexion, sens, interface, première et dernière observation, durée, compteurs d'octets et de paquets — sans jamais aucun octet de charge utile. C'est une réponse utile à « à quoi cette machine parle-t-elle ». Ce n'est pas une réponse à « quel processus le fait ».

L'attribution par processus est implémentée et vérifiée — elle n'est simplement pas dans le binaire que vous pouvez télécharger. Sur le banc d'essai même qui a mesuré 0 sur 12, le remplacement attribue 12 flux sur 12, inscrit la réponse du côté qui détient réellement le socket, et distingue une correspondance directe de socket d'une inférence, en refusant de nommer qui que ce soit lorsqu'un port compte plusieurs processus en écoute. Cela arrivera dans la prochaine version de bitmapper. Nous n'y accolons pas de date ici : nous vous avons déjà dit une fois que cette capacité était livrée alors qu'elle ne l'était pas.

Si vous avez téléchargé bitmapper sur la foi de la phrase d'origine, l'erreur est la nôtre. L'attribution de processus expose exactement ce que le binaire d'aujourd'hui résout, et ce qui le remplacera.

Pourquoi certains agents affichent moins de plateformes que d'autres

Parce qu'un binaire qui s'installe, se déclare sain et ne collecte rien est pire que pas de binaire du tout.

Chaque plateforme de ce tableau est une plateforme où l'agent fait son travail. Là où il ne le ferait pas, nous ne l'avons pas publié, et nous préférons le dire plutôt que vous laisser le découvrir après un déploiement :

• bitenforcer est réservé à Linux. Toute sa surface, c'est iptables, sysctl, systemd et SELinux. Sur macOS, ces éléments n'existent pas : l'agent ne validerait rien, et ses primitives de retour arrière n'auraient rien à restaurer.
• bitmapper est réservé à Linux amd64. Il lui faut une véritable bibliothèque de capture de paquets compilée dedans. Une compilation qui en est dépourvue produit malgré tout un binaire exécutable — un binaire qui ne capture strictement rien — c'est pourquoi notre chaîne de publication refuse de signer un artefact incapable de démontrer qu'il capture.
• bitscanner est réservé à Linux, pour la même catégorie de raison : ses lecteurs de voisins et de routes sont implémentés pour Linux.

Nous nous attendons à ce que ces listes s'allongent. Quand ce sera le cas, ce sera parce que l'agent aura été éprouvé sur cette plateforme, pas parce qu'il aura compilé.

Vérifiez avant d'exécuter

Chaque version publiée livre une signature détachée, un SBOM et une attestation de compilation par binaire, ainsi qu'un SHA256SUMS signé couvrant l'ensemble. Les compilations sont reproductibles : la chaîne compile deux fois en repartant de zéro et refuse de publier si les deux résultats ne sont pas identiques au bit près.

La clé de signature est publiée à trois endroits indépendants qui doivent concorder : le site de documentation, un enregistrement DNS TXT portant son empreinte, et un second enregistrement TXT portant la clé elle-même. Recoupez-en au moins deux. Une signature ne vaut que l'ancre de confiance qui la sous-tend, et une source unique relève du rituel plutôt que de la vérification.

# Récupérer la clé via DNS — fonctionne dans la CI, où la protection anti-bots bloque les récupérations HTTPS simples
dig +short TXT _cosign-key.cert-ix.com | tr -d '"' | sed 's/.*key=//' \
  | base64 -d | openssl pkey -pubin -inform DER -out cosign.pub

# Confirmer que c'est bien NOTRE clé, face à l'empreinte publiée sur le site de documentation
openssl pkey -pubin -in cosign.pub -outform DER | sha256sum
# attendu : 552839f6b1b1eb0934557e1886326c7270584fa602fbf56f84754a98be3de822

# Puis vérifier la version que vous avez téléchargée
cosign verify-blob --key cosign.pub --bundle SHA256SUMS.sig \
  --insecure-ignore-tlog=true SHA256SUMS
sha256sum --check --ignore-missing SHA256SUMS

Le DNS est le transport, pas l'ancre de confiance

cert-ix.com ne publie pas encore d'enregistrement DS : les réponses DNS ne sont donc pas validées cryptographiquement de bout en bout. Récupérer la clé via DNS est pratique et fonctionne là où HTTPS est bloqué, mais c'est la comparaison de l'empreinte avec celle du site de documentation — chargé en HTTPS, avec un certificat validé — qui établit la confiance. Ne l'omettez pas.

Les instructions complètes, y compris à quoi sert chaque fichier d'une version publiée et à quoi ressemble une vérification qui échoue, se trouvent dans Vérifier vos téléchargements.

À quoi sert chaque agent

• bitcollector — ce qui se trouve sur cette machine, sous forme de preuve plutôt que d'affirmation. Chaque lot est attesté et la chaîne peut être vérifiée hors ligne, sans aucun accès à Cert-IX.
• bitscanner — les équipements qu'un inventaire fondé sur des agents ne peut pas voir par construction, parce que rien n'y est installé. Livré inerte : il ne met aucun paquet sur votre réseau tant que vous ne l'avez pas explicitement armé, et l'autorisation ne peut pas venir d'une variable d'environnement.
• bitenforcer — ce qu'une politique de durcissement changerait, avant qu'elle ne change quoi que ce soit. La v1 valide et rapporte ; elle n'applique rien.
• bitmapper — à quoi cette machine parle réellement, flux par flux : extrémités, ports, protocole, compteurs et état de la connexion, capturés en direct sur ses propres interfaces. En v0.1.0-ga, ces flux ne portent aucune attribution par processus — lisez le correctif ci-dessus avant de bâtir quoi que ce soit dessus.

Par où commencer

Téléchargez un agent, vérifiez-le, puis lisez la page de celui que vous avez choisi. Si vous hésitez, Qu'est-ce que bits ? explique comment les quatre s'articulent et, tout aussi important, ce que chacun ne fait délibérément pas.