# Instalacao

# Metodo Recomendado (init.sh)

Instalacao automatizada que baixa o binario, verifica a assinatura e instala:

curl -sL https://implant.ccs.systems/init.sh | sudo bash

O script init.sh:

• Exige root e instala curl se faltar
• Detecta a arquitetura do servidor (x86_64/amd64 ou aarch64/arm64); outras arquiteturas sao recusadas
• Garante o minisign (pacote da distro; se nao houver, baixa o release oficial do minisign conferindo o SHA-256)
• Baixa o binario e a assinatura .minisig para um diretorio temporario
• Verifica a assinatura minisign (Ed25519) contra a chave publica embutida no script. Assinatura ausente ou invalida aborta a instalacao sem gravar nada em /opt/implant/
• Instala o binario verificado em /opt/implant/implant (guardando o anterior como implant.backup) e cria o symlink /usr/local/bin/implant
• Confere que o binario instalado responde a implant -V; se nao responder, restaura o backup

O init.sh nao executa nenhuma verificacao nem correcao no servidor. O primeiro check e por sua conta (veja Primeiro Uso).

O binario e compilado estaticamente com musl, sem dependencia de glibc, e funciona em qualquer distribuicao Linux da arquitetura correspondente.

# Instalar Release Candidate

Para instalar a versao mais recente em teste (canal RC):

curl -sL https://implant.ccs.systems/init.sh | sudo bash -s -- --rc

# Instalacao Manual (com verificacao de assinatura)

# Detectar arquitetura
case "$(uname -m)" in
  x86_64|amd64)  ARCH=x86_64 ;;
  aarch64|arm64) ARCH=aarch64 ;;
  *) echo "arquitetura nao suportada"; exit 1 ;;
esac

# Download do binario e da assinatura
curl -fsSL "https://implant.ccs.systems/${ARCH}/implant"         -o /tmp/implant
curl -fsSL "https://implant.ccs.systems/${ARCH}/implant.minisig" -o /tmp/implant.minisig

# Verificar assinatura (requer minisign instalado)
minisign -Vm /tmp/implant -x /tmp/implant.minisig \
  -P "$(curl -fsSL https://implant.ccs.systems/pubkey.pub | tail -1)"

# Instalar em /opt
sudo install -D -m 0755 /tmp/implant /opt/implant/implant
sudo ln -sf /opt/implant/implant /usr/local/bin/implant

# Verificar
implant -V

Baixar a chave publica do mesmo host do binario protege contra corrupcao, nao contra um host comprometido. Para verificacao independente, confira a chave publica contra uma copia obtida por outro canal (por exemplo, a que esta embutida no init.sh).

# Primeiro Uso

# 1. Verificar (somente leitura)

implant check

Sem --auto-fix, o check e estritamente leitura: nao grava arquivo, nao instala pacote, nao reinicia servico e nao baixa binario. Pode rodar em producao e em agendamento.

# 2. Preview das correcoes (Dry-Run)

implant check --auto-fix --dry-run

# 3. Aplicar correcoes

implant check --auto-fix

Por padrao o timezone aplicado e America/Sao_Paulo e o locale e derivado do timezone. Ajuste com --timezone e --locale:

implant check --auto-fix --timezone Europe/London --locale en_US

# 4. Conferir o resultado

implant check            # nova verificacao
implant status           # ultimo check + acoes aplicadas (estado persistido)

# O que o `check` NAO faz sozinho

Algumas mudancas sao deliberadamente opt-in, porque podem cortar o acesso ao servidor ou afetar trafego:

# Atualizacao

O Implant atualiza a si mesmo, detectando a arquitetura automaticamente:

implant self-update

Para forcar reinstalacao da versao publicada:

implant self-update --force

Para conferir sem trocar o binario (verifica pin TLS, download, assinatura e versao):

implant self-update --dry-run

Detalhes da verificacao de assinatura em self-update.

# Requisitos

# URLs de Download