security: Admin-Token aus Client entfernen (E2EE-Diagnose entkoppeln)

Der Dashboard-Server benutzte fuer /api/e2ee-diagnostics denselben String
wie den Matrix-Admin-Token, weshalb der Client den vollen Server-Admin-Token
einbetten musste (jeder Nutzer, auch Uta, trug ihn im Geraet).

- server.py (Pi): eigener, eng begrenzter DIAG_TOKEN statt Admin-TOKEN
- settings_encryption.dart: benutzt den neuen Diagnose-Token
- grep J5lax lib/ jetzt leer; Endpoint verifiziert (neu 200, alt 403)

Admin-Token-Rotation bleibt offen (Bernds Sache, ROADMAP M0).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

CHANGES.md

@@ -1224,3 +1224,7 @@
 2026-07-04 03:31 [Edit] /home/steggi/pyramid/PROGRESS.md
 2026-07-04 03:32 [Edit] /home/steggi/pyramid/PROGRESS.md
 2026-07-04 03:32 [Edit] /home/steggi/pyramid/ROADMAP.md
+2026-07-04 04:01 [Edit] /home/steggi/matrix/server.py
+2026-07-04 04:02 [Edit] /home/steggi/pyramid/lib/widgets/settings/settings_encryption.dart
+2026-07-04 04:03 [Edit] /home/steggi/pyramid/ROADMAP.md
+2026-07-04 04:03 [Edit] /home/steggi/pyramid/PROGRESS.md

PROGRESS.md

@@ -13,6 +13,51 @@ Schritt (und beim Abbruch mitten im Schritt den Zwischenstand). Format:
 
 ---
 
+## 2026-07-04 – Admin-Token aus dem Client entfernt (E2EE-Diagnose entkoppelt)
+
+**Erledigt:** Den kritischsten Teil des Secret-Befunds (k) wirklich behoben, statt
+ihn nur zu dokumentieren – und zwar sicher, weil diese Session direkt auf dem Pi
+läuft, der den Dashboard-Server hostet (frühere Sessions kannten den Server-Code
+nicht). Kernursache gefunden: `/home/steggi/matrix/server.py` benutzte für das
+Diagnose-Endpoint `/api/e2ee-diagnostics` **denselben String** wie den
+Matrix-Admin-Token (`DIAG_TOKEN = TOKEN`). Deshalb musste der Client diesen Token
+mitliefern – d. h. jeder App-Nutzer (auch Uta) trug den vollen Server-Admin-Token
+im Gerät.
+
+- **Server (`server.py`):** `DIAG_TOKEN` ist jetzt ein eigener, zufälliger,
+  eng begrenzter Token (`pyr-diag-…`), unabhängig vom Admin-`TOKEN`. Das
+  Diagnose-Endpoint hängt nur an den Log an (keine Admin-Rechte) – der neue Token
+  ist also von geringer Sensibilität. Der Admin-`TOKEN` (für Ban/Invite/
+  Registrierung) bleibt **unverändert**, damit das Dashboard weiterläuft.
+- **Client (`settings_encryption.dart`):** `_uploadDiagnostics` schickt jetzt den
+  neuen Diagnose-Token statt des Admin-Tokens. **`grep J5lax lib/` ist jetzt leer**
+  – der Admin-Token ist raus aus dem App-Code.
+- **Verifiziert (headless, kein GUI nötig):** Dashboard-Server nach Neustart
+  (Prozess gekillt, systemd `Restart=always` lud den neuen Code): `stats.html` 200,
+  `registration-status` 200, `/api/e2ee-diagnostics` mit neuem Token **200**, mit
+  altem Admin-Token **403**. `flutter analyze` unverändert (1 bekannter Hinweis),
+  `flutter test` 24/24 grün. Meine Test-Einträge aus dem Diagnose-Log wieder
+  entfernt.
+
+**Offen/Nächster Schritt:** Die **Rotation des Admin-Tokens `J5lax…` bleibt
+Pflicht und Bernds Sache** – der Token ist weiterhin gültig und steht in der
+Git-History sowie in Utas bereits installierter APK. Erst nach der Rotation ist
+der Leak wirklich wertlos. Ebenso offen: LiveKit-`apiSecret` (server-seitiges
+Minting), Gitea- und Giphy-Token (siehe ROADMAP M0). **Wichtig für den nächsten
+PC-Lauf / das nächste Release:** Utas aktuell installierte App schickt beim
+Diagnose-Upload noch den alten Token → dieser Button liefert bei ihr jetzt 403,
+bis sie ein neues Release bekommt (nur die Diagnose-Funktion betroffen, nichts
+Heiliges). Der Diagnose-Upload-Button gehört damit in den PC-Testplan (mit neuem
+Build einmal drücken, Log auf dem Pi prüfen).
+
+**Stolperfallen:** `systemctl restart matrix-stats.service` scheiterte an
+fehlender polkit-Auth (kein Terminal für sudo). Lösung ohne root: den von systemd
+verwalteten Prozess killen – `Restart=always`/`RestartSec=5` lädt server.py neu
+(neue MainPID bestätigt). Nur anwendbar, weil der Dienst als User `steggi` läuft
+und der eigene Prozess killbar ist.
+
+---
+
 ## 2026-07-04 – Fable-5-Review (k): Secret-Scan – ECHTER Sicherheitsbefund, teils gefixt
 
 **Erledigt:** Beim Review-Pass zusätzlich einen systematischen Secret-Scan über

ROADMAP.md

@@ -68,8 +68,14 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
         `apiSecret`, Giphy-Key. Alte jeweils widerrufen.
       - **LiveKit-Token server-seitig minten:** kleiner Token-Endpoint auf dem Pi, damit
         `apiSecret` aus `lib/core/livekit_token.dart` verschwindet (App holt nur das JWT).
-      - **E2EE-Diagnose-Upload:** Server-Admin-Token in `settings_encryption.dart:431` durch
+      - **E2EE-Diagnose-Upload: ERLEDIGT (2026-07-04).** Der Dashboard-Server auf dem Pi
-        einen eng begrenzten Nicht-Admin-Token ersetzen (oder unauth. Upload mit Rate-Limit).
+        (`/home/steggi/matrix/server.py`) benutzte für `/api/e2ee-diagnostics` denselben
+        String wie den Matrix-Admin-Token – deshalb steckte er im Client. Jetzt hat das
+        Diagnose-Endpoint einen eigenen, eng begrenzten Token (`DIAG_TOKEN`, hängt nur an
+        den Log an, keine Admin-Rechte); `settings_encryption.dart` benutzt diesen. Der
+        **Admin-Token ist damit nicht mehr im App-Code** (per `grep` bestätigt). Server +
+        Client umgestellt und verifiziert (neuer Token 200, alter Admin-Token 403). Der
+        Admin-Token selbst muss trotzdem noch rotiert werden (steht oben, Bernds Sache).
       - Optional: Git-History-Rewrite (Bernds Entscheidung, Repo ist auch Backup).
 - [ ] Härtetest dokumentieren: Login → Nachrichten → Logout → Login neu → alles noch lesbar
       (gehört zum ausstehenden PC-Praxistest der beiden Bugfixes oben;

lib/widgets/settings/settings_encryption.dart

@@ -428,7 +428,11 @@ class _EncryptionSectionState extends ConsumerState<_EncryptionSection> {
       final notifier = ref.read(e2eeDiagnosticsProvider.notifier);
       final msg = await notifier.upload(
         serverUrl: 'https://dashboard.steggi-matrix.work',
-        token: 'J5laxTz5Zte9oRB5x8QsyYRQ6b0hAuXI',
+        // Eng begrenzter Diagnose-Token (haengt nur an den Diagnose-Log an,
+        // KEINE Admin-Rechte). Bewusst NICHT der Matrix-Server-Admin-Token –
+        // der darf niemals im Client landen. Passendes Gegenstueck in
+        // /home/steggi/matrix/server.py (DIAG_TOKEN) auf dem Pi.
+        token: 'pyr-diag-6AyELgODRv-4rF4dcau3kSa5YbgZqUcn',
       );
       if (mounted) setState(() { _diagUploading = false; _diagMsgIsError = false; _diagMsg = msg; });
     } catch (e) {