florian.wildeandClaude Opus 5.5
fb56fd36c5
Der neue E2E-Test (zwei im Browser erzeugte Schluessel mit Public Key
auf Ziel B, Auswahl in der Liste, frische Bestaetigung ueber den
Mock-OIDC mit auth_time, gemeinsamer Dry-Run, Anwenden) fand zwei
Fehler im Produkt:
- Die Massenwiderruf-Seite filterte die IDs aus ?id= mit
/^[a-z0-9]{1,64}$/. Vom Worker erzeugte Schluessel tragen aber eine
UUID mit Bindestrichen, nur Prisma-Defaults sind cuids. Damit fiel
jeder erzeugte Schluessel still aus der Auswahl, die Seite meldete
"Keine Schluessel gewaehlt". Der Filter steckt jetzt als
idsAusSuchparameter in src/lib/schluessel.ts, erlaubt Bindestriche
und hat einen eigenen Test.
- Der Hinweis nach verweigerter Bestaetigung sagte "erneut Widerruf
vorbereiten waehlen", der Knopf heisst beim Massenwiderruf aber
"2 Schluessel widerrufen". Er nennt jetzt den Knopf, den es gibt.
Der Test prueft danach, dass beide Keys aus authorized_keys auf B
verschwunden und WIDERRUFEN sind. datenbank() und oidcBestaetigen()
wandern dafuer aus schluessel.spec.ts nach tests/e2e/hilfen.ts.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
SSHKeyVault (sshkv)
Selbst gehostete Weboberfläche zur zentralen Verwaltung von SSH-Schlüsseln: Schlüsselpaare
erzeugen und verwalten, Public Keys in authorized_keys verteilen, Private Keys gezielt auf
andere Hosts ausrollen, Ist- und Soll-Zustand abgleichen – alles revisionssicher protokolliert.
Stand 0.5.0: alle fünf Phasen aus
docs/PLAN.mdumgesetzt – Hosts mit Host-Key-Prüfung und Bootstrap, Schlüssel, Ausrollen von Public und Private Keys mit Dry-Run, Host-zu-Host-Assistent, Abgleich, Rotation, Widerruf, Zuweisungsmatrix, Audit-Log, Benachrichtigungen. 1.0.0 nach der Abnahme.
Sicherheit vorab
SSHKeyVault hat root-Zugriff auf alle verwalteten Hosts. Deshalb:
- nur im internen Netz bzw. VPN betreiben, mit Reverse Proxy und TLS davor;
- den Master-Key (
SSHKV_MASTER_KEY_FILE) getrennt von der Datenbank sichern – ohne ihn ist ein Datenbank-Backup wertlos, und mit ihm zusammen gibt es alle Private Keys preis; - Private Keys liegen nur verschlüsselt in der Datenbank (AES-256-GCM, Envelope Encryption); entschlüsseln kann ausschließlich der Worker, der Webprozess hat den Master-Key nicht.
Mehr dazu in docs/betrieb/sicherheit.md (mit Bedrohungsanalyse und
Notfallplan) und docs/betrieb/sicherung.md.
Dokumentation
- Handbuch – Bedienung Schritt für Schritt mit Bildern
- Installation und Betrieb – Docker Compose, authentik, Reverse Proxy
- Sicherung und Wiederherstellung –
deploy/sichern.sh,deploy/wiederherstellen.sh - Sicherheit – Aufbau, Bedrohungsanalyse, Notfallplan
Installation (Docker Compose)
cp .env.example .env # Werte eintragen, siehe Kommentare
openssl rand -base64 48 # → SSHKV_APP_SECRET
mkdir -p geheim && head -c 32 /dev/urandom > geheim/master.key
sudo chown 1001:1001 geheim/master.key && sudo chmod 400 geheim/master.key
docker compose up -d
Die Oberfläche lauscht auf 127.0.0.1:3400 (SSHKV_BIND, SSHKV_PORT). Beim ersten Start legt
der Dienst migrate das Schema, den Notfall-Admin (SSHKV_BREAKGLASS_*) und die eingebauten
Vorlagen an; der Worker erzeugt den Deployment-Key der Instanz.
Anmeldung: über authentik (SSHKV_OIDC_*, Rollen über die Gruppen sshkv-admins,
sshkv-operators, sshkv-readers). Der Notfall-Admin richtet bei der ersten Anmeldung TOTP ein.
Einen Host aufnehmen
- Hosts → + Host anlegen (Name, Adresse, Port; Anmeldung als Dienstbenutzer
sshkvmit sudo – empfohlen – oder direkt als root). - Host-Key abrufen, den Fingerprint am Host vergleichen
(
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub) und vertrauen. - Bootstrap: einmalig per Passwort (wird nicht gespeichert) oder den angezeigten Befehl auf dem Host einfügen und „Einrichtung prüfen“.
Entwicklung
Node 24, pnpm 12, Docker. Konventionen und Befehle: CLAUDE.md.
pnpm install
pnpm db:up && pnpm db:migrate && pnpm db:seed
pnpm test:ziele:up # SSH-Testziele + Mock-OIDC
pnpm build && pnpm start # http://localhost:3400
pnpm worker # zweites Terminal
pnpm test && pnpm test:integration && pnpm test:e2e