#024 Widerruf und Massenwiderruf #24

New Issue

2026-10-12T15:12:46Z

florian.wilde commented

2026-10-12 15:12:46 +00:00

Ziel

Ein-Klick-Widerruf inkl. Benutzer/sudoers; Massenwiderruf mit Re-Auth.

Aufgaben

„Widerrufen“ auf der Schlüsselseite mit Dialog, der jede Entfernung auflistet
Public- und Private-Verwendungen → ENTFERNEN, Dry-Run, anwenden, erst dann WIDERRUFEN
Zielkonten optional entfernen (nur vonSshkvAngelegt, nie ein noch genutztes)
Massenwiderruf auf der Schlüsselliste, ein gemeinsamer Dry-Run, Protokoll je Schlüssel
Abgelaufene Schlüssel erkennbar (Filter) und Widerruf anbieten – ohne automatisches Entfernen

Akzeptanzkriterien

DB-Tests: Zustände, Rechte, Zielkonten, Protokoll ohne Geheimnisse (tests/widerruf.test.ts)
Integrationstest gegen zwei Hosts inkl. „Host nicht erreichbar“ (tests/integration/widerruf.test.ts)
E2E im Browser (tests/e2e/widerruf.spec.ts), Screenshot widerruf-desktop.png

Abhängigkeiten

#018

Notizen / Entscheidungen

Zwischenzustand statt Sofort-Status: neues Feld Schluessel.widerrufEingeleitetAm (Migration
20261012130000_widerruf_eingeleitet). Der Status bleibt AKTIV/ABGELAUFEN, bis keine Verwendung mehr
offen ist; erst widerrufAbschliessen setzt WIDERRUFEN (bzw. ROTIERT, wenn ein aktiver Nachfolger
existiert, #023). Schlüsselseite und Liste zeigen „Widerruf unvollständig“ und die offenen Ziele.
Reihenfolge: vormerken → Dry-Run/Anwenden (bestehende Hash-Sperre aus #016/#017) → optional
Zielkonten (ZIELKONTO_ENTFERNEN, erst wenn die Schlüssel überall weg sind) → abschließen.
Ein Ziel, das im Dry-Run scheitert (nicht erreichbar), wird nicht angewendet; seine Verwendung bleibt
ENTFERNEN, ein neuer Dry-Run versucht es erneut. Der Abschluss läuft nach erfolgreichem Anwenden
automatisch und meldet, was noch fehlt.
Nichts zu schreiben: Steht der Schlüssel schon nirgends mehr, bietet das Dry-Run-Panel
„Zustand übernehmen“ an (sonst bliebe der Widerruf hängen).
Archivierte Hosts: sshkv verbindet sich dort nicht mehr – deren Verwendungen gelten sofort als
entfernt; der Dialog sagt das, das Protokoll nennt die Hosts.
Zielkonten: Ein Zielkonto kennt seinen Schlüssel nicht; Kandidat ist ein von sshkv angelegtes Konto
auf (Host, Benutzer) einer Zuweisung der widerrufenen Schlüssel. Nutzt ein anderer, nicht im Widerruf
befindlicher Schlüssel das Konto noch, bleibt es (Dialog nennt den Schlüssel).
Rechte: nur Public Keys → publicKeyAusrollen; Private Keys → privateKeyAusrollen (Admin);
mehrere Schlüssel → massenwiderruf, Zielkonten → zielkontenVerwalten (jeweils Admin mit frischer
Bestätigung). Der Deployment-Key ist nicht widerrufbar. Ein Schlüssel im Widerruf lässt sich nicht
mehr zuweisen.
Ablauf: Status-Filter „abgelaufen“ umfasst aktive Schlüssel mit vergangenem Ablaufdatum; die
Schlüsselseite bietet dann „Jetzt widerrufen“. Entfernt wird nie automatisch.
Massenwiderruf als GET-Formular /schluessel/widerruf?id=… – die Auswahl der Zielkonten reist als
?zielkonten= mit und übersteht Neuladen und erneute Bestätigung.

Quelle: docs/issues/024-widerruf.md – dort wird dieses Issue gepflegt.

## Ziel Ein-Klick-Widerruf inkl. Benutzer/sudoers; Massenwiderruf mit Re-Auth. ## Aufgaben - [x] „Widerrufen“ auf der Schlüsselseite mit Dialog, der jede Entfernung auflistet - [x] Public- und Private-Verwendungen → ENTFERNEN, Dry-Run, anwenden, erst dann `WIDERRUFEN` - [x] Zielkonten optional entfernen (nur `vonSshkvAngelegt`, nie ein noch genutztes) - [x] Massenwiderruf auf der Schlüsselliste, ein gemeinsamer Dry-Run, Protokoll je Schlüssel - [x] Abgelaufene Schlüssel erkennbar (Filter) und Widerruf anbieten – ohne automatisches Entfernen ## Akzeptanzkriterien - [x] DB-Tests: Zustände, Rechte, Zielkonten, Protokoll ohne Geheimnisse (`tests/widerruf.test.ts`) - [x] Integrationstest gegen zwei Hosts inkl. „Host nicht erreichbar“ (`tests/integration/widerruf.test.ts`) - [x] E2E im Browser (`tests/e2e/widerruf.spec.ts`), Screenshot `widerruf-desktop.png` ## Abhängigkeiten #018 ## Notizen / Entscheidungen - **Zwischenzustand statt Sofort-Status:** neues Feld `Schluessel.widerrufEingeleitetAm` (Migration `20261012130000_widerruf_eingeleitet`). Der Status bleibt AKTIV/ABGELAUFEN, bis keine Verwendung mehr offen ist; erst `widerrufAbschliessen` setzt `WIDERRUFEN` (bzw. `ROTIERT`, wenn ein aktiver Nachfolger existiert, #023). Schlüsselseite und Liste zeigen „Widerruf unvollständig“ und die offenen Ziele. - **Reihenfolge:** vormerken → Dry-Run/Anwenden (bestehende Hash-Sperre aus #016/#017) → optional Zielkonten (`ZIELKONTO_ENTFERNEN`, erst wenn die Schlüssel überall weg sind) → abschließen. Ein Ziel, das im Dry-Run scheitert (nicht erreichbar), wird nicht angewendet; seine Verwendung bleibt ENTFERNEN, ein neuer Dry-Run versucht es erneut. Der Abschluss läuft nach erfolgreichem Anwenden automatisch und meldet, was noch fehlt. - **Nichts zu schreiben:** Steht der Schlüssel schon nirgends mehr, bietet das Dry-Run-Panel „Zustand übernehmen“ an (sonst bliebe der Widerruf hängen). - **Archivierte Hosts:** sshkv verbindet sich dort nicht mehr – deren Verwendungen gelten sofort als entfernt; der Dialog sagt das, das Protokoll nennt die Hosts. - **Zielkonten:** Ein Zielkonto kennt seinen Schlüssel nicht; Kandidat ist ein von sshkv angelegtes Konto auf (Host, Benutzer) einer Zuweisung der widerrufenen Schlüssel. Nutzt ein anderer, nicht im Widerruf befindlicher Schlüssel das Konto noch, bleibt es (Dialog nennt den Schlüssel). - **Rechte:** nur Public Keys → `publicKeyAusrollen`; Private Keys → `privateKeyAusrollen` (Admin); mehrere Schlüssel → `massenwiderruf`, Zielkonten → `zielkontenVerwalten` (jeweils Admin mit frischer Bestätigung). Der Deployment-Key ist nicht widerrufbar. Ein Schlüssel im Widerruf lässt sich nicht mehr zuweisen. - **Ablauf:** Status-Filter „abgelaufen“ umfasst aktive Schlüssel mit vergangenem Ablaufdatum; die Schlüsselseite bietet dann „Jetzt widerrufen“. Entfernt wird nie automatisch. - Massenwiderruf als GET-Formular `/schluessel/widerruf?id=…` – die Auswahl der Zielkonten reist als `?zielkonten=` mit und übersteht Neuladen und erneute Bestätigung. --- Quelle: `docs/issues/024-widerruf.md` – dort wird dieses Issue gepflegt.

florian.wilde added this to the v0.4.0 milestone 2026-10-12 15:12:46 +00:00

florian.wilde added the ui sicherheit backend labels 2026-10-12 15:12:46 +00:00

florian.wilde closed this issue

2026-10-12 15:12:46 +00:00

florian.wilde referenced this issue

2026-10-12 15:13:26 +00:00

#023 Geführte Rotation #23

florian.wilde referenced this issue

2026-10-12 15:13:29 +00:00

#032 Nacharbeiten aus Phase 4/5 #32

florian.wilde referenced this issue from a commit

2026-10-12 16:08:21 +00:00