duffyduckandClaude Opus 5
2932598c98
Bei Hash-Version 1 sind nur 7 von 24 Spalten gehasht. Ein DB-Schreibzugriff konnte eine LOGIN_FAILED-Zeile auf success=1 setzen, das Label umschreiben und errorMessage leeren - alles Nicht-Hash-Felder, Hash unveraendert - und /verify meldete weiterhin valid=true. Ein Einbruchsversuch war unsichtbar in einen Erfolg umschreibbar. Rueckwirkend signieren geht nicht, ein Rehash waere die falsche Medizin. Stattdessen ein einmaliges, nicht destruktives Bestandssiegel: je Altzeile ein Blattwert, die Wurzel darueber in einem HMAC-signierten Marker. Umgesetzt nach den vier Bedingungen aus dem Pentest: 1. Blaetter ueber den vollen Zeileninhalt inkl. id und hashVersion, nicht ueber den 7-Feld-V1-Hash - sonst lebte die Luecke im Siegel weiter. 2. Wurzel signiert (steht im Marker, der selbst V3/HMAC ist). Ohne AUDIT_HMAC_KEY wird das Siegeln abgelehnt. 3. Bereich fix auf [1 ... v3FromId-1] statt Live-Abfrage hashVersion < 3. Sonst haette ein Up-Flip der Grenzzeile sie aus der geprueften Menge gedraengt. 4. Pruefung je id: vorhanden, weiterhin Altbestand, Inhalt == Blatt, dazu Wurzelabgleich. Neuer Endpunkt POST /audit-logs/seal-backlog (audit:admin, confirm SEAL). /verify meldet den Siegelzustand im Klartext, auch wenn kein Siegel existiert. Verifiziert in separater Wegwerf-DB mit Mischbestand (6xV1, 5xV2, 5xV3): ohne Siegel ist der Angriff unsichtbar, mit Siegel wird er erkannt und die Zeile benannt; der Up-Flip der Grenzzeile wird ebenfalls erkannt. Wegwerf-DB danach geloescht, Dev-Daten unberuehrt. tsc + vite build gruen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
17 lines
815 B
SQL
17 lines
815 B
SQL
-- Bestandssiegel fuer den nicht signierbaren Altbestand (Pentest R171-02).
|
|
--
|
|
-- Bei Hash-Version 1 sind nur 7 von 24 Spalten gehasht. Ein Schreibzugriff auf
|
|
-- die Datenbank kann dort Felder wie `success` oder `resourceLabel` aendern,
|
|
-- ohne den gespeicherten Hash zu beruehren - die Pruefung meldet weiterhin
|
|
-- "gueltig". Live gezeigt: ein fehlgeschlagener Login liess sich unsichtbar in
|
|
-- einen erfolgreichen umschreiben.
|
|
--
|
|
-- Rueckwirkend signieren geht nicht. Stattdessen wird der Altbestand einmalig
|
|
-- versiegelt: je Zeile ein Blattwert ueber den vollen Inhalt, die Wurzel
|
|
-- darueber in einem HMAC-signierten Marker.
|
|
CREATE TABLE IF NOT EXISTS `AuditBacklogSeal` (
|
|
`auditLogId` INT NOT NULL,
|
|
`leafHash` VARCHAR(191) NOT NULL,
|
|
PRIMARY KEY (`auditLogId`)
|
|
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
|