fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора

Hardening-проход перед первой сборкой на Debian. Три из найденного не
воспроизводились ни на одном dry-run и проявились бы только на живом сервере.

Установка

* preflight внутри install вызывался дважды и оба раза проверял clean-host.
  Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json,
  записанный после первого preflight, и опознавался как маркер посторонней
  установки: КАЖДАЯ чистая установка падала сразу после apt-get с
  fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста —
  условие входа в операцию, возможности платформы проверяются уже внутри
  PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания.

* PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs,
  ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом
  запускал оркестратор с его собственным preflight. Отказ того preflight
  объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже
  созданном каталоге оркестратора. Отследить владение мутацией невозможно,
  пока мутируют двое: install.sh больше не изменяет ничего, раскладку
  выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали
  в owned_paths. Как следствие удалено деление clean-host на фазы.

* diagnosticsCollect стояла перед rollback обычным await в install и в
  reconfigure. На заполненном диске она падает сама и отменяла откат целиком.
  Диагностика — best effort, откат — обязателен.

* reconfigure/repair выбирали записываемую фазу отказа регулярным выражением
  по тексту ошибки. Переведено на ownership-флаги.

Секреты

* Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria
  обращается к /internal/hysteria/auth?access_token=<секрет> при каждом
  подключении пира, поэтому действующий machine token оседал открытым текстом
  в hy2xs-admin.log, который отдаётся через ExportLog и попадает в
  diagnostics-бандл. Логируется путь; значения query не пишутся, имена —
  пишутся. Канала было два: gin.Default() печатает path?query в stdout,
  оттуда в journald и в тот же бандл, — панель переведена на gin.New() +
  Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь
  проходят санитайз. Сравнение токена — constant time.

* Config API позволял прочитать и подменить ключи приложения: getConfig и
  listConfig принимали произвольный ключ, а проверка записи была denylist'ом
  из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал
  master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут
  getConfig удалён целиком — потребителей у него не было ни одного.

Пиры

* Импорт применялся по одной записи вне транзакции, вопреки собственному
  контракту. Валидация не знает, что уже лежит в базе: cross-conflict по
  UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной
  транзакцией, криптоматериал считается до её открытия.

* Файл импорта мог содержать хвостовой JSON-документ, который молча не
  применялся. После разбора проверяется io.EOF.

* Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и
  подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и
  прежние клиентские ссылки после переноса переставали работать.

Сборка

* Два stale-грепа в приёмке роняли build.sh в самом конце, внутри
  verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй
  совпадал с router_test.go, который перечисляет удалённые маршруты, потому
  что проверяет их отсутствие: добавление регрессионного теста ломало сборку.

* verify_archive требовал наличия мутирующей строки в install.sh. Инвариант
  перевёрнут: их не должно быть ни одной.

Очистка

* Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы
  listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком
  сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из
  обычных доков, в docs/14 он остаётся — там это имена объектов для удаления.

* Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry:
  203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ
  резолвера отделён от отсутствия A-записи.

Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов,
приёмка прогнана против дерева.
This commit is contained in:
2026-08-28 05:27:10 +05:00
parent 5574b7c89a
commit 672d455467
55 changed files with 3161 additions and 582 deletions
+46 -4
View File
@@ -1,11 +1,14 @@
package middleware
import (
"sort"
"strings"
"time"
"github.com/gin-gonic/gin"
"github.com/sirupsen/logrus"
"gopkg.in/natefinch/lumberjack.v2"
"hy2xs-admin/model/constant"
"time"
)
func InitLog() {
@@ -21,6 +24,40 @@ func InitLog() {
logrus.SetLevel(logrus.InfoLevel)
}
// requestQueryKeys возвращает ИМЕНА query-параметров запроса, без значений.
//
// Для диагностики важно, был ли параметр передан, а не что в нём лежало.
// Список сортируется, чтобы одинаковые запросы давали одинаковую строку в
// логе и её можно было группировать.
func requestQueryKeys(c *gin.Context) string {
query := c.Request.URL.Query()
if len(query) == 0 {
return ""
}
keys := make([]string, 0, len(query))
for key := range query {
keys = append(keys, key)
}
sort.Strings(keys)
return strings.Join(keys, ",")
}
// LogHandler пишет журнал HTTP-запросов админки.
//
// В лог попадает ПУТЬ, а не RequestURI.
//
// Разница здесь не косметическая. RequestURI включает query string, а Hysteria
// обращается к машинному endpoint'у как
// /internal/hysteria/auth?access_token=<machine token> — то есть при каждом
// подключении пира. Пока логировался RequestURI, действующий machine token
// оседал открытым текстом в /var/log/hy2xs/hy2xs-admin.log, а этот файл
// отдаётся оператору через ExportLog и попадает в diagnostics-бандл.
// Получался постоянный канал утечки секрета в обычной штатной работе, мимо
// всей структурной редакции, сделанной для конфигов и env.
//
// Значения query-параметров не логируются вовсе: список того, «что можно», при
// таком подходе пришлось бы поддерживать вручную и он неизбежно разошёлся бы с
// набором маршрутов. Имена параметров сохранены — их для диагностики хватает.
func LogHandler() gin.HandlerFunc {
return func(c *gin.Context) {
startTime := time.Now()
@@ -30,13 +67,18 @@ func LogHandler() gin.HandlerFunc {
statusCode := c.Writer.Status()
latencyTime := time.Since(startTime)
entry := logrus.WithFields(logrus.Fields{
fields := logrus.Fields{
"statusCode": statusCode,
"latencyTime": latencyTime.Milliseconds(),
"clientIP": c.ClientIP(),
"reqMethod": c.Request.Method,
"reqUri": c.Request.RequestURI,
})
"reqPath": c.Request.URL.Path,
}
if keys := requestQueryKeys(c); keys != "" {
fields["reqQueryKeys"] = keys
}
entry := logrus.WithFields(fields)
if statusCode >= 500 {
entry.Error()
+105
View File
@@ -0,0 +1,105 @@
package middleware
import (
"bytes"
"net/http"
"net/http/httptest"
"strings"
"testing"
"github.com/gin-gonic/gin"
"github.com/sirupsen/logrus"
)
// sentinel имитирует действующий machine token: если он окажется в журнале —
// значит секрет утёк в /var/log/hy2xs/hy2xs-admin.log, который отдаётся
// оператору через ExportLog и попадает в diagnostics-бандл.
const sentinel = "SUPER_SECRET_SENTINEL"
func captureLog(t *testing.T, request *http.Request) string {
t.Helper()
previousOut := logrus.StandardLogger().Out
previousFormatter := logrus.StandardLogger().Formatter
t.Cleanup(func() {
logrus.SetOutput(previousOut)
logrus.SetFormatter(previousFormatter)
})
buffer := &bytes.Buffer{}
logrus.SetOutput(buffer)
logrus.SetFormatter(&logrus.JSONFormatter{})
gin.SetMode(gin.TestMode)
engine := gin.New()
engine.Use(LogHandler())
engine.POST("/internal/hysteria/auth", func(c *gin.Context) { c.Status(http.StatusOK) })
engine.GET("/api/peers", func(c *gin.Context) { c.Status(http.StatusOK) })
engine.ServeHTTP(httptest.NewRecorder(), request)
return buffer.String()
}
// Регрессия: логировался c.Request.RequestURI, то есть путь ВМЕСТЕ с query.
// Hysteria обращается к машинному endpoint'у при каждом подключении пира, так
// что токен оседал в журнале в штатном режиме работы.
func TestLogHandlerNeverLogsQueryValues(t *testing.T) {
request := httptest.NewRequest(
http.MethodPost,
"/internal/hysteria/auth?access_token="+sentinel,
strings.NewReader("{}"),
)
logged := captureLog(t, request)
if strings.Contains(logged, sentinel) {
t.Fatalf("machine token попал в журнал: %s", logged)
}
if !strings.Contains(logged, `"reqPath":"/internal/hysteria/auth"`) {
t.Fatalf("в журнале нет пути запроса: %s", logged)
}
if strings.Contains(logged, "reqUri") {
t.Fatalf("поле reqUri вернулось в журнал: %s", logged)
}
}
// Имена параметров для диагностики сохраняются: важно видеть, что параметр был
// передан, а не что в нём лежало.
func TestLogHandlerKeepsQueryKeyNames(t *testing.T) {
request := httptest.NewRequest(
http.MethodPost,
"/internal/hysteria/auth?access_token="+sentinel,
strings.NewReader("{}"),
)
logged := captureLog(t, request)
if !strings.Contains(logged, `"reqQueryKeys":"access_token"`) {
t.Fatalf("имя query-параметра не попало в журнал: %s", logged)
}
}
func TestLogHandlerOmitsQueryKeysWhenThereAreNone(t *testing.T) {
request := httptest.NewRequest(http.MethodGet, "/api/peers", nil)
logged := captureLog(t, request)
if strings.Contains(logged, "reqQueryKeys") {
t.Fatalf("пустой список параметров не должен появляться в журнале: %s", logged)
}
}
// Значение секретоподобного параметра не должно попасть в журнал ни на каком
// маршруте, а не только на машинном.
func TestLogHandlerRedactsQueryValuesOnOperatorRoutes(t *testing.T) {
request := httptest.NewRequest(http.MethodGet, "/api/peers?includeSecrets=true&name="+sentinel, nil)
logged := captureLog(t, request)
if strings.Contains(logged, sentinel) {
t.Fatalf("значение query-параметра попало в журнал: %s", logged)
}
if !strings.Contains(logged, `"reqPath":"/api/peers"`) {
t.Fatalf("в журнале нет пути запроса: %s", logged)
}
}
+6 -1
View File
@@ -1,6 +1,7 @@
package middleware
import (
"crypto/subtle"
"net/http"
"strings"
@@ -38,7 +39,11 @@ func MachineAuthHandler() gin.HandlerFunc {
provided = strings.TrimSpace(c.GetHeader("X-HY2XS-Machine-Token"))
}
if provided == "" || provided != expected {
// Сравнение постоянного времени: обычное `!=` завершается на первом
// несовпавшем байте. Endpoint слушает только loopback, но локальный
// непривилегированный процесс — ровно та позиция, из которой такой
// замер и делается, а ценой ошибки здесь является machine token.
if provided == "" || subtle.ConstantTimeCompare([]byte(provided), []byte(expected)) != 1 {
c.AbortWithStatusJSON(http.StatusForbidden, gin.H{
"code": http.StatusForbidden,
"type": "no",