fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -1,7 +1,6 @@
|
||||
import { AxiosPromise } from "axios";
|
||||
import request from "@/utils/request";
|
||||
import {
|
||||
ConfigDto,
|
||||
ConfigsDto,
|
||||
ConfigUpdateDto,
|
||||
ConfigVo,
|
||||
@@ -14,6 +13,10 @@ import {
|
||||
//
|
||||
// Generic-выгрузки таблицы `config` здесь тоже нет: она отдавала JWT- и
|
||||
// peer-ключи в открытом виде. Перенос пиров делают ImportPeer/ExportPeer.
|
||||
//
|
||||
// getConfigApi удалён вместе с маршрутом: он принимал произвольный ключ той же
|
||||
// таблицы и не вызывался ни из одного экрана. Чтение настроек идёт через
|
||||
// listConfigApi, на стороне сервера — по allowlist.
|
||||
|
||||
export function getHysteria2ConfigApi(): AxiosPromise<Hysteria2ServerConfig> {
|
||||
return request({
|
||||
@@ -22,14 +25,6 @@ export function getHysteria2ConfigApi(): AxiosPromise<Hysteria2ServerConfig> {
|
||||
});
|
||||
}
|
||||
|
||||
export function getConfigApi(data: ConfigDto): AxiosPromise<ConfigVo> {
|
||||
return request({
|
||||
url: "/config/getConfig",
|
||||
method: "get",
|
||||
params: data,
|
||||
});
|
||||
}
|
||||
|
||||
export function listConfigApi(data: ConfigsDto): AxiosPromise<Array<ConfigVo>> {
|
||||
return request({
|
||||
url: "/config/listConfig",
|
||||
|
||||
@@ -1,6 +1,5 @@
|
||||
export interface ConfigDto {
|
||||
key: string;
|
||||
}
|
||||
// ConfigDto удалён вместе с маршрутом getConfig: чтение произвольного ключа
|
||||
// таблицы `config` было входом к JWT- и peer-ключам.
|
||||
|
||||
export interface ConfigsDto {
|
||||
keys: Array<string>;
|
||||
|
||||
@@ -12,7 +12,11 @@ export interface LogSystemVo {
|
||||
level: string;
|
||||
msg: string;
|
||||
reqMethod: string;
|
||||
reqUri: string;
|
||||
// Путь без query string: в query по машинному endpoint'у приезжает
|
||||
// действующий machine token, и в журнале его быть не должно.
|
||||
reqPath: string;
|
||||
// Только имена переданных query-параметров, без значений.
|
||||
reqQueryKeys: string;
|
||||
statusCode: string;
|
||||
time: string;
|
||||
}
|
||||
|
||||
@@ -89,10 +89,26 @@ export function importPeerApi(data: FormData): AxiosPromise {
|
||||
});
|
||||
}
|
||||
|
||||
export function exportPeerApi(): AxiosPromise {
|
||||
/**
|
||||
* Экспорт пиров в двух режимах, и это продуктовое различие, а не флаг.
|
||||
*
|
||||
* Без секретов — список настроек пиров. Файл безопасно хранить, но при импорте
|
||||
* на другой сервер записям с пустым секретом выдаются НОВЫЕ секреты, то есть
|
||||
* прежние клиентские ссылки перестают работать.
|
||||
*
|
||||
* С секретами — резервная копия, сохраняющая работоспособность существующих
|
||||
* ссылок. Файл содержит действующие учётные данные доступа, поэтому запускается
|
||||
* только через явное подтверждение оператора.
|
||||
*
|
||||
* Раньше кнопка была одна и всегда звала маршрут без includeSecrets, а
|
||||
* документация называла эту пару механизмом переноса пиров. Оператор
|
||||
* переносил пиров и обнаруживал, что все клиенты отвалились.
|
||||
*/
|
||||
export function exportPeerApi(includeSecrets = false): AxiosPromise {
|
||||
return request({
|
||||
url: "/peer-export",
|
||||
method: "post",
|
||||
params: includeSecrets ? { includeSecrets: "true" } : undefined,
|
||||
responseType: "blob",
|
||||
});
|
||||
}
|
||||
|
||||
@@ -150,6 +150,13 @@ export default {
|
||||
unlimited: "Unlimited",
|
||||
secretRotateConfirm:
|
||||
"Rotate peer secret? Existing client configurations will stop working until updated.",
|
||||
exportSettings: "Export settings",
|
||||
exportBackup: "Backup",
|
||||
exportSettingsHint:
|
||||
"Peer list without secrets. Safe to store and share, but after importing on another server the peers get new secrets, so existing client links stop working.",
|
||||
exportBackupConfirm:
|
||||
"A backup contains the LIVE connection secrets of every peer in plain text: anyone who gets this file gets VPN access. Treat it like a password and delete it once the migration is done. Only this kind of copy keeps existing client links working after moving to another server.",
|
||||
exportBackupConfirmButton: "I understand, download with secrets",
|
||||
quota: "Quota",
|
||||
download: "Download",
|
||||
upload: "Upload",
|
||||
|
||||
@@ -146,6 +146,13 @@ export default {
|
||||
unlimited: "Безлимит",
|
||||
secretRotateConfirm:
|
||||
"Сменить секрет пира? Текущие клиентские конфиги перестанут работать до обновления.",
|
||||
exportSettings: "Экспорт настроек",
|
||||
exportBackup: "Резервная копия",
|
||||
exportSettingsHint:
|
||||
"Список пиров без секретов. Безопасно хранить и передавать, но после импорта на другой сервер пирам будут выданы новые секреты, и прежние клиентские ссылки работать не будут.",
|
||||
exportBackupConfirm:
|
||||
"Резервная копия содержит ДЕЙСТВУЮЩИЕ секреты подключения всех пиров в открытом виде: любой, кто получит этот файл, получит доступ к VPN. Храните его как пароль и удалите, когда перенос завершён. Только такая копия сохраняет работоспособность существующих клиентских ссылок после переноса на другой сервер.",
|
||||
exportBackupConfirmButton: "Понимаю, скачать копию с секретами",
|
||||
quota: "Квота",
|
||||
download: "Скачано",
|
||||
upload: "Отдано",
|
||||
|
||||
@@ -30,9 +30,14 @@
|
||||
>
|
||||
<el-button>{{ $t("common.import") }}</el-button>
|
||||
</el-upload>
|
||||
<el-button class="ml-2" @click="handleExport">{{
|
||||
$t("common.export")
|
||||
}}</el-button>
|
||||
<el-tooltip :content="$t('peer.exportSettingsHint')" placement="bottom">
|
||||
<el-button class="ml-2" @click="handleExport">{{
|
||||
$t("peer.exportSettings")
|
||||
}}</el-button>
|
||||
</el-tooltip>
|
||||
<el-button class="ml-2" type="warning" plain @click="handleExportBackup">
|
||||
{{ $t("peer.exportBackup") }}
|
||||
</el-button>
|
||||
</div>
|
||||
<el-table v-loading="loading" :data="records">
|
||||
<el-table-column :label="$t('peer.name')" min-width="220">
|
||||
@@ -558,9 +563,9 @@ function beforeImport(file: UploadRawFile) {
|
||||
return true;
|
||||
}
|
||||
|
||||
async function handleExport() {
|
||||
async function downloadExport(includeSecrets: boolean) {
|
||||
try {
|
||||
const response = await exportPeerApi();
|
||||
const response = await exportPeerApi(includeSecrets);
|
||||
const blob = new Blob([response.data], {
|
||||
type: "application/octet-stream",
|
||||
});
|
||||
@@ -578,6 +583,28 @@ async function handleExport() {
|
||||
}
|
||||
}
|
||||
|
||||
// Обычный экспорт: настройки пиров без секретов.
|
||||
async function handleExport() {
|
||||
await downloadExport(false);
|
||||
}
|
||||
|
||||
// Резервная копия: файл содержит действующие секреты подключения всех пиров.
|
||||
// Подтверждение здесь обязательно — это единственное место в панели, где
|
||||
// оператор осознанно выгружает наружу работающие учётные данные доступа.
|
||||
async function handleExportBackup() {
|
||||
await ElMessageBox.confirm(
|
||||
t("peer.exportBackupConfirm"),
|
||||
t("common.securityRisk"),
|
||||
{
|
||||
type: "warning",
|
||||
confirmButtonText: t("peer.exportBackupConfirmButton"),
|
||||
cancelButtonText: t("common.cancel"),
|
||||
confirmButtonClass: "el-button--danger",
|
||||
}
|
||||
);
|
||||
await downloadExport(true);
|
||||
}
|
||||
|
||||
onMounted(handleQuery);
|
||||
</script>
|
||||
|
||||
|
||||
Reference in New Issue
Block a user