ARC-08: verschluesselungsschluessel-rotation

Tenant-KEK-Rotation ohne Neuverschlüsselung des Archivbestands
(Envelope-Encryption bleibt aus ARC-02 unverändert, Objekt-DEKs werden
nicht angefasst).

Core (API-10, RotateTenantKEK) ersetzt den Tenant-KEK durch einen neuen
Wert und hält keine Historie vor — TenantKEKHandler liefert immer nur den
aktuellen Schlüssel. Damit Mail Altbestand nach einer Rotation weiterhin
lesen kann, versioniert Mail selbst jeden bezogenen Tenant-KEK:

- crypto/kekversions.go: KEKVersionStore, lokal verschlüsselt mit
  eigenem Wrap-Schlüssel (nur über Umgebungsvariable), erkennt Rotation
  automatisch (RecordIfNew), erlaubt gezieltes Sperren einer Version
  (Revoke).
- crypto/service.go: Service.WithVersionStore (optional, Open bleibt für
  Rückwärtskompatibilität unverändert), Seal zeichnet die verwendete
  KEK-Version auf, neue Methode OpenAtVersion liest mit historischer
  statt aktueller Version.
- encstorage.go: neuer .dek.version-Sidecar (gleiches Muster wie der
  bestehende .dek-Sidecar), GetDecrypted nutzt OpenAtVersion; fehlender
  Sidecar (Altobjekte vor ARC-08) fällt auf Version 0 zurück, identisches
  Verhalten wie vorher.

Prüfungen (alle real durchgeführt, siehe mail/docs/ARC-08-PRUEFPROTOKOLL.md):
1. TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation: Altbestand
   nach realer Rotation weiterhin lesbar über OpenAtVersion, naives Open
   mit dem neuen Schlüssel schlägt für das alte Objekt real fehl.
2. TestRotation_CompromisedOldKeyCanBeRevoked: gesperrte Version blockiert
   Lesezugriff real, andere Versionen bleiben unberührt.
3. Rotationsvorgang vollständig durchgespielt (siehe Prüfprotokoll).

Kein Umbau: storage/dedup/indexworker/search unverändert, bestehende
ARC-02-Tests (encstorage_test.go) unverändert weiterhin grün.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HhgFcLS8tYMhDJpP74C6AQ

mail/internal/encstorage/encstorage.go

@@ -16,8 +16,10 @@ package encstorage
 import (
 	"bytes"
 	"context"
+	"errors"
 	"fmt"
 	"io"
+	"strconv"
 
 	"gitea.perlbach24.de/scripte/nexarch/mail/internal/crypto"
 	"gitea.perlbach24.de/scripte/nexarch/mail/internal/storage"
@@ -30,6 +32,14 @@ func wrappedDEKKey(key string) string {
 	return key + ".dek"
 }
 
+// kekVersionKey ist der Sidecar-Objektschlüssel für die Tenant-KEK-
+// Version, mit der der DEK verpackt wurde (ARC-08 Akzeptanzkriterium 3).
+// Fehlt dieser Sidecar (vor ARC-08 geschriebene Objekte), wird Version 0
+// angenommen — GetDecrypted verhält sich dann wie vor ARC-08.
+func kekVersionKey(key string) string {
+	return key + ".dek.version"
+}
+
 // Service verbindet Storage (ARC-01) und Crypto (ARC-02): der Rest von
 // Mail ruft AUSSCHLIESSLICH diesen Service auf, nie storage.Service
 // direkt mit Klartext — das verhindert einen Schreibpfad, der die
@@ -62,6 +72,12 @@ func (s *Service) Put(ctx context.Context, tenantSlug, key string, plaintext io.
 	if _, err := s.storage.Put(ctx, wrappedDEKKey(key), bytes.NewReader(env.WrappedDEK), int64(len(env.WrappedDEK)), "application/octet-stream"); err != nil {
 		return fmt.Errorf("encstorage: verpackten dek speichern: %w", err)
 	}
+	if env.KEKVersion != 0 {
+		versionBytes := []byte(strconv.Itoa(env.KEKVersion))
+		if _, err := s.storage.Put(ctx, kekVersionKey(key), bytes.NewReader(versionBytes), int64(len(versionBytes)), "text/plain"); err != nil {
+			return fmt.Errorf("encstorage: kek-version speichern: %w", err)
+		}
+	}
 	return nil
 }
 
@@ -85,9 +101,38 @@ func (s *Service) GetDecrypted(ctx context.Context, tenantSlug, key string) ([]b
 		return nil, fmt.Errorf("encstorage: verpackten dek lesen: %w", err)
 	}
 
-	plaintextReader, err := s.crypto.Open(ctx, tenantSlug, wrappedDEK, bytes.NewReader(ciphertext))
+	kekVersion, err := s.readKEKVersion(ctx, key)
+	if err != nil {
+		return nil, err
+	}
+
+	plaintextReader, err := s.crypto.OpenAtVersion(ctx, tenantSlug, kekVersion, wrappedDEK, bytes.NewReader(ciphertext))
 	if err != nil {
 		return nil, err
 	}
 	return io.ReadAll(plaintextReader)
 }
+
+// readKEKVersion liest den Versions-Sidecar (ARC-08). Fehlt er (vor
+// ARC-08 geschriebene Objekte, oder ein Seal ohne konfigurierten
+// KEKVersionStore), gilt Version 0 — crypto.Service.OpenAtVersion fällt
+// dafür auf das unveränderte Open-Verhalten zurück.
+func (s *Service) readKEKVersion(ctx context.Context, key string) (int, error) {
+	reader, err := s.storage.Get(ctx, kekVersionKey(key))
+	if err != nil {
+		if errors.Is(err, storage.ErrNotFound) {
+			return 0, nil
+		}
+		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
+	}
+	defer func() { _ = reader.Close() }()
+	raw, err := io.ReadAll(reader)
+	if err != nil {
+		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
+	}
+	version, err := strconv.Atoi(string(raw))
+	if err != nil {
+		return 0, fmt.Errorf("encstorage: kek-version parsen: %w", err)
+	}
+	return version, nil
+}