fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -19,3 +19,85 @@ const (
|
||||
Hysteria2ConfigRemark = "HYSTERIA2_CONFIG_REMARK"
|
||||
ResetTrafficCron = "RESET_TRAFFIC_CRON"
|
||||
)
|
||||
|
||||
// Что операторский API имеет право прочитать и записать в таблице `config`.
|
||||
//
|
||||
// Список — allowlist, и это принципиально. Раньше здесь работал denylist из
|
||||
// трёх orchestrator-ключей, а `getConfig`/`listConfig` принимали произвольную
|
||||
// строку. В той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
|
||||
// PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET — то есть
|
||||
// авторизованный запрос `?key=PEER_SECRET_ENCRYPTION_KEY` отдавал master-key
|
||||
// шифрования секретов пиров, а updateConfigs позволял его подменить. После
|
||||
// подмены перестают расшифровываться секреты уже существующих пиров.
|
||||
//
|
||||
// Именно ради этого удаляли generic export/import таблицы `config`, но точечный
|
||||
// API остался прежним, и дыра просто сменила размер отверстия.
|
||||
//
|
||||
// Denylist здесь неверен структурно: он требует, чтобы автор КАЖДОГО нового
|
||||
// ключа вспомнил про этот файл. Забытый ключ при denylist сразу публичен, при
|
||||
// allowlist — сразу закрыт. Отказ по умолчанию — единственное поведение,
|
||||
// которое не зависит от внимательности.
|
||||
var (
|
||||
// publicReadableConfigKeys — настройки, которые панель показывает оператору.
|
||||
publicReadableConfigKeys = map[string]struct{}{
|
||||
Hysteria2TrafficTime: {},
|
||||
ResetTrafficCron: {},
|
||||
Hysteria2ConfigRemark: {},
|
||||
}
|
||||
|
||||
// publicWritableConfigKeys — подмножество читаемых, которые оператор
|
||||
// действительно редактирует в интерфейсе.
|
||||
//
|
||||
// HYSTERIA2_CONFIG_REMARK сюда не входит: панель его только отображает.
|
||||
// Право записи, которым никто не пользуется, — это attack surface без
|
||||
// пользователя.
|
||||
publicWritableConfigKeys = map[string]struct{}{
|
||||
Hysteria2TrafficTime: {},
|
||||
ResetTrafficCron: {},
|
||||
}
|
||||
)
|
||||
|
||||
// IsPublicReadableConfigKey сообщает, можно ли отдать значение ключа наружу.
|
||||
func IsPublicReadableConfigKey(key string) bool {
|
||||
_, ok := publicReadableConfigKeys[key]
|
||||
return ok
|
||||
}
|
||||
|
||||
// IsPublicWritableConfigKey сообщает, можно ли принять значение ключа снаружи.
|
||||
func IsPublicWritableConfigKey(key string) bool {
|
||||
_, ok := publicWritableConfigKeys[key]
|
||||
return ok
|
||||
}
|
||||
|
||||
// PublicReadableConfigKeys возвращает копию списка читаемых ключей.
|
||||
// Используется тестами и текстами ошибок.
|
||||
func PublicReadableConfigKeys() []string {
|
||||
return keysOf(publicReadableConfigKeys)
|
||||
}
|
||||
|
||||
// PublicWritableConfigKeys возвращает копию списка записываемых ключей.
|
||||
func PublicWritableConfigKeys() []string {
|
||||
return keysOf(publicWritableConfigKeys)
|
||||
}
|
||||
|
||||
// InternalConfigKeys — ключи, которые не покидают процесс ни при каком
|
||||
// сценарии. Объявлены явно, чтобы тест мог проверить их поимённо, а не
|
||||
// полагаться на то, что их «случайно нет» в allowlist.
|
||||
func InternalConfigKeys() []string {
|
||||
return []string{
|
||||
JwtSecret,
|
||||
PeerSecretKey,
|
||||
PeerSecretEncryptionKey,
|
||||
Hysteria2TrafficStatsSecret,
|
||||
Hysteria2Enable,
|
||||
Hysteria2Config,
|
||||
}
|
||||
}
|
||||
|
||||
func keysOf(set map[string]struct{}) []string {
|
||||
out := make([]string, 0, len(set))
|
||||
for key := range set {
|
||||
out = append(out, key)
|
||||
}
|
||||
return out
|
||||
}
|
||||
|
||||
@@ -0,0 +1,66 @@
|
||||
package constant
|
||||
|
||||
import "testing"
|
||||
|
||||
// Allowlist существует ровно для того, чтобы забытый ключ был закрыт, а не
|
||||
// открыт. Тест закрепляет обе стороны этого утверждения поимённо.
|
||||
func TestInternalKeysAreNeitherReadableNorWritable(t *testing.T) {
|
||||
for _, key := range InternalConfigKeys() {
|
||||
if IsPublicReadableConfigKey(key) {
|
||||
t.Errorf("внутренний ключ %s доступен на чтение через API", key)
|
||||
}
|
||||
if IsPublicWritableConfigKey(key) {
|
||||
t.Errorf("внутренний ключ %s доступен на запись через API", key)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
func TestSecretKeysAreListedAsInternal(t *testing.T) {
|
||||
required := []string{
|
||||
JwtSecret,
|
||||
PeerSecretKey,
|
||||
PeerSecretEncryptionKey,
|
||||
Hysteria2TrafficStatsSecret,
|
||||
}
|
||||
internal := make(map[string]struct{}, len(InternalConfigKeys()))
|
||||
for _, key := range InternalConfigKeys() {
|
||||
internal[key] = struct{}{}
|
||||
}
|
||||
for _, key := range required {
|
||||
if _, ok := internal[key]; !ok {
|
||||
t.Errorf("секрет %s не объявлен внутренним ключом", key)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
func TestOperatorSettingsRemainAvailable(t *testing.T) {
|
||||
for _, key := range []string{Hysteria2TrafficTime, ResetTrafficCron, Hysteria2ConfigRemark} {
|
||||
if !IsPublicReadableConfigKey(key) {
|
||||
t.Errorf("пользовательская настройка %s недоступна на чтение", key)
|
||||
}
|
||||
}
|
||||
for _, key := range []string{Hysteria2TrafficTime, ResetTrafficCron} {
|
||||
if !IsPublicWritableConfigKey(key) {
|
||||
t.Errorf("пользовательская настройка %s недоступна на запись", key)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
// Право записи без потребителя — это attack surface без пользователя.
|
||||
// HYSTERIA2_CONFIG_REMARK панель только показывает.
|
||||
func TestWritableIsSubsetOfReadable(t *testing.T) {
|
||||
for _, key := range PublicWritableConfigKeys() {
|
||||
if !IsPublicReadableConfigKey(key) {
|
||||
t.Errorf("ключ %s можно записать, но нельзя прочитать", key)
|
||||
}
|
||||
}
|
||||
if IsPublicWritableConfigKey(Hysteria2ConfigRemark) {
|
||||
t.Error("HYSTERIA2_CONFIG_REMARK не редактируется в панели и не должен быть записываемым")
|
||||
}
|
||||
}
|
||||
|
||||
func TestUnknownKeyIsClosedByDefault(t *testing.T) {
|
||||
if IsPublicReadableConfigKey("SOME_FUTURE_KEY") || IsPublicWritableConfigKey("SOME_FUTURE_KEY") {
|
||||
t.Fatal("неизвестный ключ обязан быть закрыт по умолчанию")
|
||||
}
|
||||
}
|
||||
@@ -1,8 +1,8 @@
|
||||
package dto
|
||||
|
||||
type ConfigDto struct {
|
||||
Key *string `json:"key" form:"key" validate:"required,min=1,max=128"`
|
||||
}
|
||||
// ConfigDto удалён вместе с маршрутом GET /config/getConfig: чтение
|
||||
// произвольного ключа таблицы `config` было точечным входом к JWT- и
|
||||
// peer-ключам. Чтение идёт через ConfigsDto и allowlist.
|
||||
|
||||
type ConfigsDto struct {
|
||||
Keys []string `json:"keys" form:"keys" validate:"required"`
|
||||
|
||||
@@ -1,25 +0,0 @@
|
||||
package entity
|
||||
|
||||
type LegacyAccount struct {
|
||||
Username *string `gorm:"column:username;default:''" json:"username"`
|
||||
Pass *string `gorm:"column:pass;default:''" json:"pass"`
|
||||
ConPass *string `gorm:"column:con_pass;default:''" json:"conPass"`
|
||||
Quota *int64 `gorm:"column:quota;default:0" json:"quota"`
|
||||
Download *int64 `gorm:"column:download;default:0" json:"download"`
|
||||
Upload *int64 `gorm:"column:upload;default:0" json:"upload"`
|
||||
ExpireTime *int64 `gorm:"column:expire_time;default:0" json:"expireTime"`
|
||||
KickUtilTime *int64 `gorm:"column:kick_util_time;default:0" json:"kickUtilTime"`
|
||||
DeviceNo *int64 `gorm:"column:device_no;default:3" json:"deviceNo"`
|
||||
Role *string `gorm:"column:role;default:'user'" json:"role"`
|
||||
Deleted *int64 `gorm:"column:deleted;default:0" json:"deleted"`
|
||||
BaseEntity `gorm:"embedded"`
|
||||
|
||||
LoginAt *int64 `gorm:"column:login_at;default:0" json:"loginAt"`
|
||||
ConAt *int64 `gorm:"column:con_at;default:0" json:"conAt"`
|
||||
Remark *string `gorm:"column:remark;default:''" json:"remark"`
|
||||
ForcePasswordChange *int64 `gorm:"column:force_password_change;default:0" json:"forcePasswordChange"`
|
||||
}
|
||||
|
||||
func (LegacyAccount) TableName() string {
|
||||
return "account"
|
||||
}
|
||||
+15
-8
@@ -5,15 +5,22 @@ type LogSystemPage[T LogSystemVo | LogHysteria2Vo] struct {
|
||||
Total int64 `json:"total"`
|
||||
}
|
||||
|
||||
// LogSystemVo — строка журнала админки в том виде, в каком её пишет
|
||||
// middleware.LogHandler.
|
||||
//
|
||||
// Поля reqUri здесь нет намеренно: RequestURI несёт query string, а по
|
||||
// машинному endpoint'у в ней приезжает действующий machine token. Логируется
|
||||
// путь и, отдельно, имена переданных query-параметров без значений.
|
||||
type LogSystemVo struct {
|
||||
ClientIP string `json:"clientIp"`
|
||||
LatencyTime int64 `json:"latencyTime"`
|
||||
Level string `json:"level"`
|
||||
Msg string `json:"msg"`
|
||||
ReqMethod string `json:"reqMethod"`
|
||||
ReqUri string `json:"reqUri"`
|
||||
StatusCode int64 `json:"statusCode"`
|
||||
Time string `json:"time"`
|
||||
ClientIP string `json:"clientIp"`
|
||||
LatencyTime int64 `json:"latencyTime"`
|
||||
Level string `json:"level"`
|
||||
Msg string `json:"msg"`
|
||||
ReqMethod string `json:"reqMethod"`
|
||||
ReqPath string `json:"reqPath"`
|
||||
ReqQueryKeys string `json:"reqQueryKeys"`
|
||||
StatusCode int64 `json:"statusCode"`
|
||||
Time string `json:"time"`
|
||||
}
|
||||
|
||||
type LogHysteria2Vo struct {
|
||||
|
||||
Reference in New Issue
Block a user