QA-15 F-06: TOTP-Secrets verschluesseln, Replay-Schutz, Sitzungswiderruf bei Passwortaenderung #118

Closed

patrick wants to merge 0 commits from feature/qa-15-f06-token-format-haertung into integration/gesamtprojekt

pull from: feature/qa-15-f06-token-format-haertung

merge into: scripte:integration/gesamtprojekt

scripte:main

scripte:feat/ai-app-mandantenmodell

scripte:feat/ai-app-restpakete

scripte:feat/ai-app-rollout-131

scripte:fix/ai-app-write-timeout

scripte:chore/migration-kanban-board

scripte:chore/connect-kanban-board

scripte:chore/workflow-kanban-board

scripte:chore/archive-kanban-board

scripte:chore/mail-kanban-board

scripte:chore/dms-kanban-board

scripte:chore/core-kanban-board

scripte:chore/ai-kanban-board

scripte:chore/ai-kanban-security-folgetickets

scripte:feat/ai-app-deployment

scripte:feat/ai-app-vorschlaege

scripte:feat/ai-cls09-herkunftsmarkierung

scripte:feat/ai-eng09-gemini

scripte:feat/ai-cls08-mehrsprachig

scripte:feat/ai-titel-korrespondent

scripte:feat/dms-backup-s3

scripte:feat/dms-s3-verdrahten

scripte:docs/alfresco-vergleich

scripte:refactor/common-batch-2

scripte:refactor/common-modul-pilot

scripte:fix/dms-httpharden-normalize

scripte:feature/shl-02-pagecontainer-dedup

scripte:test/dedup-fakekek-testutil

scripte:feature/nav-01-mail-postfach-registry-eintrag

scripte:feature/sec-08-09-rbac-cmis-audit

scripte:feature/shl-04-globale-modul-navigation

scripte:chore/mail-kanban-security-folgetickets

scripte:chore/dms-kanban-security-folgetickets

scripte:chore/core-kanban-security-folgetickets

scripte:chore/archive-kanban-security-folgetickets

scripte:chore/workflow-kanban-security-folgetickets

scripte:chore/connect-kanban-security-folgetickets

scripte:feature/qa-08-barrierefreiheits-audit-workflow

scripte:feature/tsk-04-aufgaben-oberflaeche-workflow

scripte:feature/qa-08-barrierefreiheits-audit-connect

scripte:feature/int-18-smtp-gateway-weiterleitung-an-feste-adresse-dms

scripte:docs/rollout-131-vorbereitung

scripte:feature/met-08-facturx-zugferd-szenarien-validator-dms

scripte:feature/qa-15-sicherheitspruefung-gesamtprojekt

scripte:fix/testrun-2026-09-21-dms

scripte:feature/cmp-07-dsgvo-loeschantrag-recht-auf-loeschung

scripte:feature/cmp-06-vier-augen-freigabe-fuer-loeschungen

scripte:feature/cmp-02-dsgvo-datenschutz-berichte

scripte:feature/ret-03-loeschworkflow-und-aufbewahrungssperre-legal-hold

Conversation 0 Commits - Files Changed -

patrick commented 2026-09-22 09:07:55 +02:00

Owner

Copy link

Copy source

Behebt QA-15-Befund F-06 (docs/SICHERHEITSPRUEFUNG-GESAMTPROJEKT.md) und setzt die Sitzungstoken-Rotation gemaess User-Entscheidung 2026-09-22 um.

• TOTP-Secrets liegen nur noch verschluesselt in der Datenbank (Migration 0009, eigener Master-Key, fail closed ohne Schluessel, Nachverschluesselungs-Werkzeug -encrypt-totp-secrets)
• Wiederholungsschutz: ein TOTP-Code ist nach der ersten Verwendung innerhalb seines 90s-Fensters nicht erneut gueltig
• Passwortaenderung widerruft jetzt alle alten Sitzungen (RevokeAllForUser) und stellt dem Aufrufer ein frisches Token aus

Pruefungen auf 204: go build/vet sauber, gofmt leer, internal/totp und internal/auth gruen (inkl. neuer Tests fuer Verschluesselung/Replay/Rotation), scripts/migrations-fresh-check.sh PASS (88 Tabellen, keine Kollision), scripts/e2e-core-dms.sh 10/10, scripts/e2e-module-keys.sh 8/8. Details und Entscheidungen: docs/QA-15-F06-TOKENFORMAT-PRUEFPROTOKOLL.md

Kein Merge nach main.

🤖 Generated with Claude Code

Behebt QA-15-Befund F-06 (docs/SICHERHEITSPRUEFUNG-GESAMTPROJEKT.md) und setzt die Sitzungstoken-Rotation gemaess User-Entscheidung 2026-09-22 um. - TOTP-Secrets liegen nur noch verschluesselt in der Datenbank (Migration 0009, eigener Master-Key, fail closed ohne Schluessel, Nachverschluesselungs-Werkzeug `-encrypt-totp-secrets`) - Wiederholungsschutz: ein TOTP-Code ist nach der ersten Verwendung innerhalb seines 90s-Fensters nicht erneut gueltig - Passwortaenderung widerruft jetzt alle alten Sitzungen (RevokeAllForUser) und stellt dem Aufrufer ein frisches Token aus Pruefungen auf 204: go build/vet sauber, gofmt leer, internal/totp und internal/auth gruen (inkl. neuer Tests fuer Verschluesselung/Replay/Rotation), scripts/migrations-fresh-check.sh PASS (88 Tabellen, keine Kollision), scripts/e2e-core-dms.sh 10/10, scripts/e2e-module-keys.sh 8/8. Details und Entscheidungen: docs/QA-15-F06-TOKENFORMAT-PRUEFPROTOKOLL.md Kein Merge nach main. 🤖 Generated with [Claude Code](https://claude.com/claude-code)

patrick added 5 commits 2026-09-22 09:07:56 +02:00

QA-15 F-06: TOTP-Secrets verschluesselt speichern, Replay-Schutz, Sitzungswiderruf bei Passwortaenderung ... 052d63aadb

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

QA-15 F-06: Tests auf verschluesselten Store umgestellt 1808f72cb0

QA-15 F-06: Tests fuer Verschluesselung, Replay-Schutz und Sitzungswiderruf ... 4aeec0d9b6

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

QA-15 F-06: Testschema fuer Sitzungswiderruf-Test korrigiert 85c093e509

QA-15 F-06: Pruefprotokoll ... c0de004e57

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

patrick referenced this issue from a commit 2026-09-22 09:25:33 +02:00

Gesamtprojekt: Merge #118 (Token-Format-Haertung: TOTP verschluesselt, Session-Rotation)

patrick closed this pull request 2026-09-25 23:30:42 +02:00

Pull request closed

This pull request cannot be reopened because the branch was deleted.

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

No items

No labels

Milestone

No items

No Milestone

Projects

Clear projects

No projects

Assignees

Clear assignees

patrick

No Assignees

1 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: scripte/nexarch#118