patrick
wants to merge 1 commits from feature/qa-04-04-sicherheitspruefung-drittsystem-credentials into feature/eng-07-drittsystem-zugangsdaten-ber-core-tenant-kek-hierarchie-verschl-sseln
Gezielte Sicherheitspruefung der Drittsystem-Credential-Verwaltung (baut auf ENG-07, PR #313 -- Basis dieser PR, sauberer Diff).
Durchgefuehrte Pruefungen:
Verschluesselung gegen DB-Inhalt -- BESTANDEN (AES-256-GCM-Envelope, kein Klartext, fail-closed bei falschem KEK/Chiffrat-Manipulation/KEK-Dienst-Ausfall)
Zugriffskontrolle mit unberechtigter Rolle -- BESTANDEN auf Service-Ebene (403 ohne Credential/nicht aktiviertes Modul). Hinweis: Connect hat noch keine Endnutzer-RBAC-Ebene fuer Credentials (kein cmd/-Binary verdrahtet), dokumentiert als Empfehlung.
Schluesselrotation ohne Datenverlust -- echter Fund + Fix: Connect hatte KEINEN Rewrap-Mechanismus fuer Tenant-KEK-Rotation, nach Core-Rotation waeren alle Credentials eines Mandanten dauerhaft unlesbar gewesen. Fix (1:1 DMS-Muster portiert): crypto.RewrapDEK + credential.Store.RewrapTenantKEK, Tests belegen lesbar-vorher/unlesbar-ohne-Rewrap/lesbar-nach-Rewrap gegen echte DB.
Offene Empfehlungen (nicht hier umgesetzt): produktive Verdrahtung in ein cmd/-Binary, RBAC-Permission fuer kuenftige Credential-UI, Rotations-Trigger-Runbook (DMS/Mail haben dieselbe Luecke).
Gezielte Sicherheitspruefung der Drittsystem-Credential-Verwaltung (baut auf ENG-07, PR #313 -- Basis dieser PR, sauberer Diff).
**Durchgefuehrte Pruefungen:**
1. Verschluesselung gegen DB-Inhalt -- BESTANDEN (AES-256-GCM-Envelope, kein Klartext, fail-closed bei falschem KEK/Chiffrat-Manipulation/KEK-Dienst-Ausfall)
2. Zugriffskontrolle mit unberechtigter Rolle -- BESTANDEN auf Service-Ebene (403 ohne Credential/nicht aktiviertes Modul). Hinweis: Connect hat noch keine Endnutzer-RBAC-Ebene fuer Credentials (kein cmd/-Binary verdrahtet), dokumentiert als Empfehlung.
3. Schluesselrotation ohne Datenverlust -- **echter Fund + Fix**: Connect hatte KEINEN Rewrap-Mechanismus fuer Tenant-KEK-Rotation, nach Core-Rotation waeren alle Credentials eines Mandanten dauerhaft unlesbar gewesen. Fix (1:1 DMS-Muster portiert): `crypto.RewrapDEK` + `credential.Store.RewrapTenantKEK`, Tests belegen lesbar-vorher/unlesbar-ohne-Rewrap/lesbar-nach-Rewrap gegen echte DB.
Offene Empfehlungen (nicht hier umgesetzt): produktive Verdrahtung in ein cmd/-Binary, RBAC-Permission fuer kuenftige Credential-UI, Rotations-Trigger-Runbook (DMS/Mail haben dieselbe Luecke).
Kein Merge, kein Deploy -- zur Pruefung bereit.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
Sicherheitspruefung von Verschluesselung, Zugriffskontrolle und
Schluesselverwaltung der Connect-Drittsystem-Credentials (Basis: ENG-07,
PR #313, noch unmerged). Dabei Luecke gefunden und behoben: Connect hatte
keinen Rewrap-Mechanismus fuer Tenant-KEK-Rotation (dms/internal/crypto
FDN-09 hat RewrapDEK, Connect nicht) - nach einer Core-Tenant-KEK-Rotation
waeren alle gespeicherten Credentials eines Mandanten dauerhaft nicht mehr
entschluesselbar gewesen. Fix analog DMS: crypto.RewrapDEK +
credential.Store.RewrapTenantKEK, real gegen Postgres-Testdatenbank auf
Host 204 geprueft (Rotation ohne Datenverlust nachgewiesen).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Gezielte Sicherheitspruefung der Drittsystem-Credential-Verwaltung (baut auf ENG-07, PR #313 -- Basis dieser PR, sauberer Diff).
Durchgefuehrte Pruefungen:
crypto.RewrapDEK+credential.Store.RewrapTenantKEK, Tests belegen lesbar-vorher/unlesbar-ohne-Rewrap/lesbar-nach-Rewrap gegen echte DB.Offene Empfehlungen (nicht hier umgesetzt): produktive Verdrahtung in ein cmd/-Binary, RBAC-Permission fuer kuenftige Credential-UI, Rotations-Trigger-Runbook (DMS/Mail haben dieselbe Luecke).
Kein Merge, kein Deploy -- zur Pruefung bereit.
🤖 Generated with Claude Code
Inhalt bereits in main enthalten (geprueft per merge_all_prs.sh: leerer Merge-Diff). Geschlossen ohne Merge.
Pull request closed