From 925aafb2fe5f9b0ce9aaf83e2be73daa4aa6eadb Mon Sep 17 00:00:00 2001 From: Bernd Steckmeister Date: Sat, 4 Jul 2026 04:04:15 +0200 Subject: [PATCH] security: Admin-Token aus Client entfernen (E2EE-Diagnose entkoppeln) Der Dashboard-Server benutzte fuer /api/e2ee-diagnostics denselben String wie den Matrix-Admin-Token, weshalb der Client den vollen Server-Admin-Token einbetten musste (jeder Nutzer, auch Uta, trug ihn im Geraet). - server.py (Pi): eigener, eng begrenzter DIAG_TOKEN statt Admin-TOKEN - settings_encryption.dart: benutzt den neuen Diagnose-Token - grep J5lax lib/ jetzt leer; Endpoint verifiziert (neu 200, alt 403) Admin-Token-Rotation bleibt offen (Bernds Sache, ROADMAP M0). Co-Authored-By: Claude Fable 5 --- CHANGES.md | 4 ++ PROGRESS.md | 45 +++++++++++++++++++ ROADMAP.md | 10 ++++- lib/widgets/settings/settings_encryption.dart | 6 ++- 4 files changed, 62 insertions(+), 3 deletions(-) diff --git a/CHANGES.md b/CHANGES.md index ea30928..bc7ac65 100644 --- a/CHANGES.md +++ b/CHANGES.md @@ -1224,3 +1224,7 @@ 2026-07-04 03:31 [Edit] /home/steggi/pyramid/PROGRESS.md 2026-07-04 03:32 [Edit] /home/steggi/pyramid/PROGRESS.md 2026-07-04 03:32 [Edit] /home/steggi/pyramid/ROADMAP.md +2026-07-04 04:01 [Edit] /home/steggi/matrix/server.py +2026-07-04 04:02 [Edit] /home/steggi/pyramid/lib/widgets/settings/settings_encryption.dart +2026-07-04 04:03 [Edit] /home/steggi/pyramid/ROADMAP.md +2026-07-04 04:03 [Edit] /home/steggi/pyramid/PROGRESS.md diff --git a/PROGRESS.md b/PROGRESS.md index 8336138..cfb6314 100644 --- a/PROGRESS.md +++ b/PROGRESS.md @@ -13,6 +13,51 @@ Schritt (und beim Abbruch mitten im Schritt den Zwischenstand). Format: --- +## 2026-07-04 – Admin-Token aus dem Client entfernt (E2EE-Diagnose entkoppelt) + +**Erledigt:** Den kritischsten Teil des Secret-Befunds (k) wirklich behoben, statt +ihn nur zu dokumentieren – und zwar sicher, weil diese Session direkt auf dem Pi +läuft, der den Dashboard-Server hostet (frühere Sessions kannten den Server-Code +nicht). Kernursache gefunden: `/home/steggi/matrix/server.py` benutzte für das +Diagnose-Endpoint `/api/e2ee-diagnostics` **denselben String** wie den +Matrix-Admin-Token (`DIAG_TOKEN = TOKEN`). Deshalb musste der Client diesen Token +mitliefern – d. h. jeder App-Nutzer (auch Uta) trug den vollen Server-Admin-Token +im Gerät. + +- **Server (`server.py`):** `DIAG_TOKEN` ist jetzt ein eigener, zufälliger, + eng begrenzter Token (`pyr-diag-…`), unabhängig vom Admin-`TOKEN`. Das + Diagnose-Endpoint hängt nur an den Log an (keine Admin-Rechte) – der neue Token + ist also von geringer Sensibilität. Der Admin-`TOKEN` (für Ban/Invite/ + Registrierung) bleibt **unverändert**, damit das Dashboard weiterläuft. +- **Client (`settings_encryption.dart`):** `_uploadDiagnostics` schickt jetzt den + neuen Diagnose-Token statt des Admin-Tokens. **`grep J5lax lib/` ist jetzt leer** + – der Admin-Token ist raus aus dem App-Code. +- **Verifiziert (headless, kein GUI nötig):** Dashboard-Server nach Neustart + (Prozess gekillt, systemd `Restart=always` lud den neuen Code): `stats.html` 200, + `registration-status` 200, `/api/e2ee-diagnostics` mit neuem Token **200**, mit + altem Admin-Token **403**. `flutter analyze` unverändert (1 bekannter Hinweis), + `flutter test` 24/24 grün. Meine Test-Einträge aus dem Diagnose-Log wieder + entfernt. + +**Offen/Nächster Schritt:** Die **Rotation des Admin-Tokens `J5lax…` bleibt +Pflicht und Bernds Sache** – der Token ist weiterhin gültig und steht in der +Git-History sowie in Utas bereits installierter APK. Erst nach der Rotation ist +der Leak wirklich wertlos. Ebenso offen: LiveKit-`apiSecret` (server-seitiges +Minting), Gitea- und Giphy-Token (siehe ROADMAP M0). **Wichtig für den nächsten +PC-Lauf / das nächste Release:** Utas aktuell installierte App schickt beim +Diagnose-Upload noch den alten Token → dieser Button liefert bei ihr jetzt 403, +bis sie ein neues Release bekommt (nur die Diagnose-Funktion betroffen, nichts +Heiliges). Der Diagnose-Upload-Button gehört damit in den PC-Testplan (mit neuem +Build einmal drücken, Log auf dem Pi prüfen). + +**Stolperfallen:** `systemctl restart matrix-stats.service` scheiterte an +fehlender polkit-Auth (kein Terminal für sudo). Lösung ohne root: den von systemd +verwalteten Prozess killen – `Restart=always`/`RestartSec=5` lädt server.py neu +(neue MainPID bestätigt). Nur anwendbar, weil der Dienst als User `steggi` läuft +und der eigene Prozess killbar ist. + +--- + ## 2026-07-04 – Fable-5-Review (k): Secret-Scan – ECHTER Sicherheitsbefund, teils gefixt **Erledigt:** Beim Review-Pass zusätzlich einen systematischen Secret-Scan über diff --git a/ROADMAP.md b/ROADMAP.md index 0475a54..292f5f0 100644 --- a/ROADMAP.md +++ b/ROADMAP.md @@ -68,8 +68,14 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert. `apiSecret`, Giphy-Key. Alte jeweils widerrufen. - **LiveKit-Token server-seitig minten:** kleiner Token-Endpoint auf dem Pi, damit `apiSecret` aus `lib/core/livekit_token.dart` verschwindet (App holt nur das JWT). - - **E2EE-Diagnose-Upload:** Server-Admin-Token in `settings_encryption.dart:431` durch - einen eng begrenzten Nicht-Admin-Token ersetzen (oder unauth. Upload mit Rate-Limit). + - **E2EE-Diagnose-Upload: ERLEDIGT (2026-07-04).** Der Dashboard-Server auf dem Pi + (`/home/steggi/matrix/server.py`) benutzte für `/api/e2ee-diagnostics` denselben + String wie den Matrix-Admin-Token – deshalb steckte er im Client. Jetzt hat das + Diagnose-Endpoint einen eigenen, eng begrenzten Token (`DIAG_TOKEN`, hängt nur an + den Log an, keine Admin-Rechte); `settings_encryption.dart` benutzt diesen. Der + **Admin-Token ist damit nicht mehr im App-Code** (per `grep` bestätigt). Server + + Client umgestellt und verifiziert (neuer Token 200, alter Admin-Token 403). Der + Admin-Token selbst muss trotzdem noch rotiert werden (steht oben, Bernds Sache). - Optional: Git-History-Rewrite (Bernds Entscheidung, Repo ist auch Backup). - [ ] Härtetest dokumentieren: Login → Nachrichten → Logout → Login neu → alles noch lesbar (gehört zum ausstehenden PC-Praxistest der beiden Bugfixes oben; diff --git a/lib/widgets/settings/settings_encryption.dart b/lib/widgets/settings/settings_encryption.dart index f06ab95..5a6d7bf 100644 --- a/lib/widgets/settings/settings_encryption.dart +++ b/lib/widgets/settings/settings_encryption.dart @@ -428,7 +428,11 @@ class _EncryptionSectionState extends ConsumerState<_EncryptionSection> { final notifier = ref.read(e2eeDiagnosticsProvider.notifier); final msg = await notifier.upload( serverUrl: 'https://dashboard.steggi-matrix.work', - token: 'J5laxTz5Zte9oRB5x8QsyYRQ6b0hAuXI', + // Eng begrenzter Diagnose-Token (haengt nur an den Diagnose-Log an, + // KEINE Admin-Rechte). Bewusst NICHT der Matrix-Server-Admin-Token – + // der darf niemals im Client landen. Passendes Gegenstueck in + // /home/steggi/matrix/server.py (DIAG_TOKEN) auf dem Pi. + token: 'pyr-diag-6AyELgODRv-4rF4dcau3kSa5YbgZqUcn', ); if (mounted) setState(() { _diagUploading = false; _diagMsgIsError = false; _diagMsg = msg; }); } catch (e) {