feat(mail): ING-06 TLS/STARTTLS-Absicherung für IMAP/POP3/SMTP

Neues Paket mail/internal/tlscert: hot-reloadbarer Zertifikat-Store (Store.GetCertificate wird bei jedem neuen TLS-Handshake aufgerufen, Replace tauscht atomar aus — bestehende Verbindungen bleiben mit ihrem ausgehandelten Zertifikat unberührt, Akzeptanzkriterium 3) sowie eine gehärtete tls.Config (MinVersion TLS 1.2, ausschließlich AEAD-Suiten für TLS 1.2, Akzeptanzkriterium 2). UpgradeServer führt den STARTTLS-Handschlag durch, gemeinsam genutzt von allen drei Protokollen. IMAP bekommt STARTTLS (RFC 3501), POP3 STLS (RFC 2595), SMTP STARTTLS (RFC 3207) — jeweils nur vor der Anmeldung erlaubt, Reader/Writer nach dem Handschlag neu aufgesetzt (Schutz vor Command-Injection durch vor dem Handshake gepufferte Klartextdaten). LOGIN (IMAP) und PASS (POP3) werden zurückgewiesen, solange der Server TLS anbietet, die Verbindung aber weder implizit noch per STARTTLS verschlüsselt ist (Akzeptanzkriterium 1). Implizites TLS (Port 993/995/465) braucht keine Codeänderung — Server.Serve nimmt jeden net.Listener entgegen, ein tls.NewListener-gewrapptes Listener liefert bereits *tls.Conn, von der Session per Typ-Assertion erkannt. Ohne TLS-Konfiguration bleibt das bisherige Klartextverhalten unverändert (Rückwärtskompatibilität zu ING-01/ING-02/ING-03). Alle drei Pflichtprüfungen mit echten Nachweisen durchgeführt: echter openssl-s_client-Scan gegen den laufenden SMTP-Server (TLS 1.3, starke AEAD-Suite bei normaler Verbindung; kein Cipher ausgehandelt bei erzwungenen CBC-Suiten) ergänzt um automatisierte crypto/tls-Negativtests (veraltete Version, schwache Suite — openssl 3.5.6 auf diesem Host verweigert das Erzwingen von Legacy-TLS clientseitig, im Prüfprotokoll begründet); Login-ohne-TLS wird in IMAP und POP3 nachweislich verweigert, nach STARTTLS/STLS nachweislich akzeptiert; Zertifikatsrotation im laufenden Betrieb in allen drei Protokollen ohne Unterbrechung bestehender Sessions, neue Verbindungen bekommen sofort das neue Zertifikat. go build/go vet/golangci-lint clean, gesamtes Mail-Modul (~28 Pakete) regressionsfrei getestet.
2026-09-01 01:17:40 +02:00
parent 6631bcbbdd
commit b22ab67bb2
16 changed files with 1263 additions and 38 deletions
@@ -0,0 +1,67 @@
+package tlscert
+
+import (
+	"crypto/tls"
+	"testing"
+)
+
+func TestConfig_HardenedDefaults(t *testing.T) {
+	cert, err := GenerateSelfSigned("127.0.0.1")
+	if err != nil {
+		t.Fatalf("testzertifikat erzeugen: %v", err)
+	}
+	store := NewStore(cert)
+	cfg := store.Config()
+
+	if cfg.MinVersion < tls.VersionTLS12 {
+		t.Fatalf("erwartete mindestens TLS 1.2, habe: 0x%04x", cfg.MinVersion)
+	}
+	for _, id := range cfg.CipherSuites {
+		for _, weak := range []uint16{
+			tls.TLS_RSA_WITH_RC4_128_SHA,
+			tls.TLS_RSA_WITH_3DES_EDE_CBC_SHA,
+			tls.TLS_RSA_WITH_AES_128_CBC_SHA,
+			tls.TLS_RSA_WITH_AES_256_CBC_SHA,
+		} {
+			if id == weak {
+				t.Fatalf("schwache cipher-suite in gehärteter config gefunden: 0x%04x", id)
+			}
+		}
+	}
+	if len(cfg.CipherSuites) == 0 {
+		t.Fatalf("erwartete explizite cipher-suite-liste, habe keine")
+	}
+}
+
+// TestStore_ReplaceAffectsOnlyNewHandshakes ist die geforderte
+// Pflichtprüfung 3 (ING-06) auf Store-Ebene: nach Replace liefert
+// GetCertificate sofort das neue Zertifikat für neue Handshakes.
+func TestStore_ReplaceAffectsOnlyNewHandshakes(t *testing.T) {
+	certA, err := GenerateSelfSigned("127.0.0.1")
+	if err != nil {
+		t.Fatalf("zertifikat a erzeugen: %v", err)
+	}
+	certB, err := GenerateSelfSigned("127.0.0.1")
+	if err != nil {
+		t.Fatalf("zertifikat b erzeugen: %v", err)
+	}
+	store := NewStore(certA)
+
+	got, err := store.GetCertificate(nil)
+	if err != nil {
+		t.Fatalf("GetCertificate: %v", err)
+	}
+	if string(got.Certificate[0]) != string(certA.Certificate[0]) {
+		t.Fatalf("erwartete zertifikat a vor dem wechsel")
+	}
+
+	store.Replace(certB)
+
+	got, err = store.GetCertificate(nil)
+	if err != nil {
+		t.Fatalf("GetCertificate nach Replace: %v", err)
+	}
+	if string(got.Certificate[0]) != string(certB.Certificate[0]) {
+		t.Fatalf("erwartete zertifikat b nach dem wechsel")
+	}
+}