Bor v0.8.0 expande gestão de políticas para Linux empresarial

O desenvolvedor Blagovest Petrov anunciou o lançamento oficial do Bor v0.8.0, uma atualização substancial do sistema open-source de gerenciamento de políticas voltado para estações de trabalho e servidores Linux. A nova versão da ferramenta, cujos detalhes foram publicados no portal getbor.dev, introduz três novos tipos de políticas estruturadas — abrangendo o cliente de e-mail Mozilla Thunderbird, o navegador Microsoft Edge for Business e o utilitário de firewall Firewalld —, além de uma reformulação completa da interface de usuário (web UI) baseada na biblioteca PatternFly 6, controles de acesso baseados em funções (RBAC) mais granulares e uma auditoria profunda de endurecimento de segurança (security hardening).

A distribuição do Bor v0.8.0 atende a uma demanda crescente no ecossistema de software livre, fornecendo pacotes nativos para Debian, Ubuntu, RHEL, Fedora, SUSE, Alpine Linux e Arch Linux, cobrindo as arquiteturas de hardware x86_64, aarch64 e ppc64le. A proposta do projeto é unificar a aplicação de diretivas de conformidade e segurança em frotas heterogêneas de computadores empresariais, permitindo que administradores de sistemas apliquem configurações centralizadas sem a necessidade de recorrer a soluções proprietárias de custo elevado.

Novos tipos de políticas gerenciadas

A integração com o cliente de e-mail Mozilla Thunderbird no Bor v0.8.0 adota o mesmo mecanismo utilizado anteriormente para o Firefox ESR. O agente do sistema passa a gravar e gerenciar o arquivo de diretivas policies.json exigido pelo Thunderbird, consolidando as configurações a partir de todas as políticas vinculadas ao nó. Caso o administrador remova a última política associada, o agente restaura automaticamente o arquivo original da máquina. O sistema detecta e aplica regras tanto em instalações empacotadas via Flatpak quanto nas distribuições nativas nos formatos RPM e DEB.

Para proteger as diretivas do Thunderbird contra alterações não autorizadas ou acidentais, o módulo tamper watcher do Bor v0.8.0 monitora o arquivo policies.json em tempo real. Se uma edição externa for detectada no disco, o agente reescreve e restaura imediatamente o estado configurado. Na interface web, o painel passou a disponibilizar um editor de texto completo com todo o catálogo de opções do Thunderbird, simplificando o processo de homologação por equipes de TI.

Para organizações que operam com o Microsoft Edge for Business em ambientes Linux, o agente do Bor v0.8.0 implementou a gravação do arquivo bor_managed.json dentro de cada diretório de política gerenciada do navegador. O ciclo de vida desse arquivo é controlado de forma automatizada: ao desvincular a última política aplicada a um nó, o sistema remove o arquivo de todos os diretórios correspondentes. A interface gráfica oferece uma ferramenta em árvore (tree-based editor) acompanhada de validação de esquemas JSON e visualização prévia de parâmetros antes da ativação final.

O terceiro novo tipo de política adicionado nesta versão do Bor foca na camada de rede com o gerenciamento de zonas do Firewalld. O agente consegue administrar serviços, portas individuais, portas redirecionadas (forward ports), regras complexas (rich rules), mascaramento de IP (masquerade), interfaces de rede, origens de tráfego (sources) e o destino final (target) de cada zona. As configurações são geradas em arquivos XML salvos no diretório /etc/firewalld/zones/.

O processo de implantação do Firewalld pelo Bor v0.8.0 inclui validação rigorosa de integridade antes da aplicação. Antes de recarregar o daemon do firewall no sistema operacional, o agente executa o comando firewall-cmd --check-config para garantir que os arquivos XML gerados não contêm erros de sintaxe ou parâmetros inválidos. Assim como ocorre com os navegadores e clientes de e-mail, os arquivos de zona armazenados em /etc/firewalld/zones/ contam com a proteção contínua do mecanismo tamper-protected.

Controle de acesso e regras Polkit

O subsistema de regras do Polkit foi ampliado no Bor v0.8.0 para suportar condições variáveis através do método action.lookup(). Essa melhoria permite que as regras avaliem variáveis de ação no momento da execução, viabilizando cenários específicos de auditoria como autorizar a montagem de volumes apenas para mídias removíveis (removable drives). Além disso, a equipe do projeto corrigiu uma falha estrutural no interpretador: múltiplos identificadores de ação (action IDs) dentro da mesma regra agora são corretamente concatenados utilizando o operador lógico ||.

A administração de usuários e papéis no painel do Bor v0.8.0 abandonou o modelo de permissão única global em favor de um sistema de RBAC (Role-Based Access Control) baseado em permissões por ação (per-action permissions). Com essa granularidade, diretores de TI podem delegar tarefas operacionais específicas — como a visualização de relatórios ou a edição de políticas secundárias — a operadores de suporte sem conceder acesso administrativo irrestrito à infraestrutura.

O gerenciamento da plataforma também ganhou salvaguardas rígidas contra erros operacionais catastróficos. A exclusão de qualquer recurso no Bor v0.8.0 exige a digitação do nome do elemento em uma caixa de diálogo de confirmação (type-to-confirm). No lado do servidor, foram implementadas travas de código que impedem categoricamente a exclusão, desativação ou rebaixamento (demotion) da última conta com privilégios de Super Admin, protegendo o ambiente contra o bloqueio acidental do sistema.

Reformulação da interface em PatternFly 6

O painel de administração web do Bor v0.8.0 passou por uma reformulação visual e estrutural completa fundamentada na biblioteca de componentes PatternFly 6, desenvolvida ao longo de múltiplos ciclos de UX. O novo layout organiza a barra lateral em três seções lógicas principais — Fleet, Policy e System —, traz um título de página único alinhado à esquerda e introduz blocos estatísticos (stat tiles) interativos no painel principal (dashboard).

O comportamento dos blocos estatísticos no Bor v0.8.0 permite navegação direta e contextualizada. Ao clicar no indicador Offline, por exemplo, o administrador é redirecionado instantaneamente para a tela Nodes já pré-filtrada com as máquinas inativas da rede. A arquitetura de navegação foi atualizada para implementar roteamento nativo por URL, garantindo que cada página possua um endereço único para deep links e suporte adequado aos botões de avançar e voltar do navegador via React Router 8.3.

O editor de políticas do Bor v0.8.0 deixou de ser exibido em janelas modais sobrepostas e passou a operar como uma página dedicada com rota própria no caminho /policies/:id/edit. O espaço em tela expandido acomoda os editores em estrutura de árvore para cada tipo de política e incorpora proteções como aviso de alterações não salvas (unsaved-changes guard), confirmação para mudanças destrutivas de tipo, validação do código JSON para Google Chrome e Microsoft Edge, além de uma visualização somente leitura (Configuration view) para políticas que já foram lançadas.

A escalabilidade da interface web foi otimizada para suportar grandes volumes de dados no Bor v0.8.0. As listagens de Nodes e Compliance agora contam com paginação, filtragem e ordenação processadas diretamente no lado do servidor (server-side), permitindo que frotas compostas por milhares de computadores sejam gerenciadas sem perda de desempenho no navegador. Além disso, as políticas podem ser marcadas como ativas (released) ou desativadas diretamente pela visão de lista.

O compromisso com a acessibilidade no Bor v0.8.0 culminou na conformidade com os padrões WCAG 2.2 AA. O sistema adotou papéis de acessibilidade para árvores de navegação (tree roles) nos editores, mensagens de status dinâmicas via aria-live, anéis de foco (focus-ring) visíveis e suporte nativo aos modos escuro (dark mode) e de alto contraste através dos design tokens do PatternFly 6. A verificação dessas diretivas foi integrada como um teste automatizado (lint gate) na esteira de CI do projeto.

A experiência de autenticação e uso diário no Bor v0.8.0 recebeu pequenas melhorias práticas de usabilidade (quality-of-life). O formulário de login agora possui um botão para alternar a visibilidade da senha e um alerta visual para a tecla Caps Lock ativada. Além disso, o sistema passou a permitir a cópia rápida e o download direto dos códigos de backup para autenticação de dois fatores (MFA), facilitando o provisionamento seguro de novos administradores.

Arquitetura Protobuf e ecossistema técnico

Uma das mudanças estruturais mais relevantes no Bor v0.8.0 foi a unificação dos catálogos de políticas dos navegadores Firefox, Chrome, Microsoft Edge e do cliente Thunderbird. Todos os esquemas exibidos na interface web agora são gerados diretamente a partir de anotações em arquivos Protobuf (Protocol Buffers). Essa abordagem estabelece uma única fonte de verdade (single source of truth) compartilhada rigorosamente entre o servidor central, o agente do cliente e o front-end.

Para suportar essa nova arquitetura de esquemas no Bor v0.8.0, o diretório de definições proto/policy/ incorporou os arquivos thunderbird.proto e firewalld.proto, além de expandir as estruturas de mensagens dos arquivos polkit e edge. A equipe de desenvolvimento recomenda que ferramentas externas construídas em torno do Bor tenham seus stubs de código regenerados a partir dessas definições atualizadas.

A pilha de tecnologia do front-end do Bor v0.8.0 foi atualizada para utilizar o React 19.2 e o react-router 8.3. O processo de compilação e integração contínua (CI) passou a exigir a validação estrita de tipos com TypeScript. Para os desenvolvedores que trabalham na construção da interface da ferramenta, o ambiente de desenvolvimento agora requer a presença do Node.js 22.22+.

No lado do servidor e no agente em background do Bor v0.8.0, diversas bibliotecas centrais foram atualizadas. O projeto atualizou o framework de comunicação remota para o gRPC 1.82.1 e elevou o pacote de criptografia do Go para a versão golang.org/x/crypto 0.52.0. Essas mudanças trazem otimizações de desempenho e correções de segurança na comunicação entre os nós da frota.

Reforço de segurança e criptografia

O lançamento do Bor v0.8.0 incluiu um ciclo dedicado ao endurecimento de segurança do sistema (hardening pass). A identidade de cada agente instalado nas máquinas clientes agora está estritamente vinculada ao seu certificado de cliente mTLS (mutual TLS), impedindo a personificação de nós na rede. No servidor central, os fluxos de execução de permissões RBAC e verificação de MFA passaram por uma revisão de código para fechar potenciais brechas de desvio de autorização.

A proteção de dados armazenados no banco de dados do Bor v0.8.0 foi modernizada no acesso aos segredos TOTP usados no MFA. Segredos legados que utilizavam criptografia baseada em SHA-256 são migrados de forma transparente para esquemas de derivação de chaves baseados em HKDF (HMAC-based Extract-and-Expand Key Derivation Function) no momento em que são lidos pelo servidor pela primeira vez.

Os utilitários de importação de repositórios do Ubuntu PPA e do Fedora COPR no Bor v0.8.0 receberam defesas contra ataques de falsificação de requisição do lado do servidor (SSRF) baseados em redirecionamento de URL. O código passa a seguir exclusivamente destinos que constem na lista explícita de permissões (allowlist). Paralelamente, o recurso de exportação de logs de auditoria no formato CSV foi corrigido para sanear os dados e prevenir ataques de injeção de fórmulas em planilhas eletrônicas.

A gestão de credenciais do servidor no Bor v0.8.0 alterou a forma como a senha inicial do administrador é exibida. Em vez de registrar a senha gerada automaticamente nos logs do sistema — o que exporia o dado no journald ou em coletores centralizados de logs —, o software grava o segredo em um arquivo protegido com permissões exclusivas para o usuário root. Além disso, o certificado TLS do servidor é regenerado automaticamente caso os seus campos SAN (Subject Alternative Name) deixem de corresponder aos nomes de host configurados.

Na esteira de manutenção de dependências, o Bor v0.8.0 resolveu todos os alertas pendentes emitidos pelo Dependabot. Entre as correções integradas está a mitigação do alerta de vulnerabilidade de CSRF relacionado ao React Server Components no react-router (registrado sob a identificação GHSA-qwww-vcr4-c8h2), garantindo um ambiente de execução protegido contra explorações conhecidas.

Requisitos de atualização e distribuição

Para implantar as novas funcionalidades do Bor v0.8.0, os administradores de sistemas devem atentar para a ordem de atualização dos componentes. Os agentes instalados nos nós clientes precisam ser atualizados obrigatoriamente para a versão v0.8.0 para conseguir processar os novos tipos de políticas do Thunderbird, Edge e Firewalld. Agentes executando versões antigas ignoram silenciosamente tipos de políticas que não reconhecem.

A distribuição do Bor v0.8.0 está disponível na página de downloads oficial do projeto (getbor.dev), com pacotes pré-compilados e repositórios para Debian/Ubuntu, RHEL/Fedora/SUSE, Alpine Linux e Arch Linux. A compatibilidade multiplataforma abrange processadores de 64 bits padrão (x86_64), arquitetura ARM64 (aarch64) e servidores IBM Power PC (ppc64le), oferecendo suporte abrangente a diversos ambientes corporativos.