API-16: persistente modul-signaturschluessel und rotation #109

Closed

patrick wants to merge 0 commits from feature/api-16-persistente-modul-signaturschluessel into integration/gesamtprojekt

pull from: feature/api-16-persistente-modul-signaturschluessel

merge into: scripte:integration/gesamtprojekt

scripte:main

scripte:feat/ai-app-mandantenmodell

scripte:feat/ai-app-restpakete

scripte:feat/ai-app-rollout-131

scripte:fix/ai-app-write-timeout

scripte:chore/migration-kanban-board

scripte:chore/connect-kanban-board

scripte:chore/workflow-kanban-board

scripte:chore/archive-kanban-board

scripte:chore/mail-kanban-board

scripte:chore/dms-kanban-board

scripte:chore/core-kanban-board

scripte:chore/ai-kanban-board

scripte:chore/ai-kanban-security-folgetickets

scripte:feat/ai-app-deployment

scripte:feat/ai-app-vorschlaege

scripte:feat/ai-cls09-herkunftsmarkierung

scripte:feat/ai-eng09-gemini

scripte:feat/ai-cls08-mehrsprachig

scripte:feat/ai-titel-korrespondent

scripte:feat/dms-backup-s3

scripte:feat/dms-s3-verdrahten

scripte:docs/alfresco-vergleich

scripte:refactor/common-batch-2

scripte:refactor/common-modul-pilot

scripte:fix/dms-httpharden-normalize

scripte:feature/shl-02-pagecontainer-dedup

scripte:test/dedup-fakekek-testutil

scripte:feature/nav-01-mail-postfach-registry-eintrag

scripte:feature/sec-08-09-rbac-cmis-audit

scripte:feature/shl-04-globale-modul-navigation

scripte:chore/mail-kanban-security-folgetickets

scripte:chore/dms-kanban-security-folgetickets

scripte:chore/core-kanban-security-folgetickets

scripte:chore/archive-kanban-security-folgetickets

scripte:chore/workflow-kanban-security-folgetickets

scripte:chore/connect-kanban-security-folgetickets

scripte:feature/qa-08-barrierefreiheits-audit-workflow

scripte:feature/tsk-04-aufgaben-oberflaeche-workflow

scripte:feature/qa-08-barrierefreiheits-audit-connect

scripte:feature/int-18-smtp-gateway-weiterleitung-an-feste-adresse-dms

scripte:docs/rollout-131-vorbereitung

scripte:feature/met-08-facturx-zugferd-szenarien-validator-dms

scripte:feature/qa-15-sicherheitspruefung-gesamtprojekt

scripte:fix/testrun-2026-09-21-dms

scripte:feature/cmp-07-dsgvo-loeschantrag-recht-auf-loeschung

scripte:feature/cmp-06-vier-augen-freigabe-fuer-loeschungen

scripte:feature/cmp-02-dsgvo-datenschutz-berichte

scripte:feature/ret-03-loeschworkflow-und-aufbewahrungssperre-legal-hold

Conversation 0 Commits - Files Changed -

patrick commented 2026-09-21 23:55:09 +02:00

Owner

Copy link

Copy source

Persistente, verschluesselte Modul-Signaturschluessel mit Rotation und Ueberlappung (Ticket API-16, core-kanban/tickets/API-16.md). Basis integration/gesamtprojekt, kein Merge vorgesehen.

Umsetzung: Tabelle module_signing_keys in der Mandanten-DB (Tenant-Migration 0008), private Schluessel nur verpackt (kek.EncryptWithTenantKEK, Schluessel aus NEXARCH_ACCOUNT_MODULE_KEY_ENCRYPTION_KEY), Instanzen teilen die Schluessel unter Advisory-Lock, Rotation mit Aktivierungsverzoegerung und Ablauf nach TTL+30 s, nicht lesbarer Speicher ergibt 503 (fail closed). Rotation nach Alter oder per account-api -rotate-module-key. Bruch: Kontodienst startet ohne Verschluesselungsschluessel nicht mehr (oder ausdruecklich ..._KEYS_EPHEMERAL=true).

Durchgefuehrte Pruefungen (Host 204, Wegwerf-Cluster, seriell):

• Neustart am echten Kontodienst (alter Prozess beendet, neuer Prozess): dieselbe KID, Token vor dem Neustart gueltig - bestanden
• Zwei Instanzen, eine Datenbank: gleiche Schluessel, Token gegenseitig verifizierbar, genau eine Zeile - bestanden
• Rotation: 2 Schluessel in beiden JWKS, Signatur erst nach Aktivierung mit dem neuen, alter nach TTL+Toleranz aus JWKS und Datenbank entfernt - bestanden
• Ausfall des Schluesselspeichers: 503 fuer JWKS und Token, danach 200; falscher/fehlender Verschluesselungsschluessel: Dienst startet nicht - bestanden
• Klartext-, Manipulations- und Parallelstart-Tests (Unit und gegen echte Postgres-DB): 12 neue Tests bestanden
• scripts/e2e-core-dms.sh gruen, Migration 0008 up/down/up gruen, migrations-fresh-check.sh gruen (88 Tabellen), 12 betroffene Core-Pakete gruen, vet und Port-/Routenskripte sauber

Iterationen: Produktivcode 0. Testaufbau 1: Das erste e2e-Skript meldete den Neustart faelschlich als bestanden (Zwischenprozess), korrigiert, das Skript belegt den echten Neustart jetzt.

Offen (Details in docs/API-16-PRUEFPROTOKOLL.md): Neuverpackung bei Wechsel des Verschluesselungsschluessels, Token-Widerruf, Reverse-Proxy-Regel und Smoke mit dem laufenden dms-app im Token-Modus, Schluessel liegen je Mandanten-DB (Abweichung vom Auftragstext "Registry", begruendet).

Generated with Claude Code

Persistente, verschluesselte Modul-Signaturschluessel mit Rotation und Ueberlappung (Ticket API-16, `core-kanban/tickets/API-16.md`). Basis `integration/gesamtprojekt`, kein Merge vorgesehen. **Umsetzung:** Tabelle `module_signing_keys` in der Mandanten-DB (Tenant-Migration 0008), private Schluessel nur verpackt (`kek.EncryptWithTenantKEK`, Schluessel aus `NEXARCH_ACCOUNT_MODULE_KEY_ENCRYPTION_KEY`), Instanzen teilen die Schluessel unter Advisory-Lock, Rotation mit Aktivierungsverzoegerung und Ablauf nach TTL+30 s, nicht lesbarer Speicher ergibt 503 (fail closed). Rotation nach Alter oder per `account-api -rotate-module-key`. Bruch: Kontodienst startet ohne Verschluesselungsschluessel nicht mehr (oder ausdruecklich `..._KEYS_EPHEMERAL=true`). **Durchgefuehrte Pruefungen (Host 204, Wegwerf-Cluster, seriell):** - Neustart am echten Kontodienst (alter Prozess beendet, neuer Prozess): dieselbe KID, Token vor dem Neustart gueltig - bestanden - Zwei Instanzen, eine Datenbank: gleiche Schluessel, Token gegenseitig verifizierbar, genau eine Zeile - bestanden - Rotation: 2 Schluessel in beiden JWKS, Signatur erst nach Aktivierung mit dem neuen, alter nach TTL+Toleranz aus JWKS und Datenbank entfernt - bestanden - Ausfall des Schluesselspeichers: 503 fuer JWKS und Token, danach 200; falscher/fehlender Verschluesselungsschluessel: Dienst startet nicht - bestanden - Klartext-, Manipulations- und Parallelstart-Tests (Unit und gegen echte Postgres-DB): 12 neue Tests bestanden - `scripts/e2e-core-dms.sh` gruen, Migration 0008 up/down/up gruen, `migrations-fresh-check.sh` gruen (88 Tabellen), 12 betroffene Core-Pakete gruen, vet und Port-/Routenskripte sauber **Iterationen:** Produktivcode 0. Testaufbau 1: Das erste e2e-Skript meldete den Neustart faelschlich als bestanden (Zwischenprozess), korrigiert, das Skript belegt den echten Neustart jetzt. **Offen (Details in `docs/API-16-PRUEFPROTOKOLL.md`):** Neuverpackung bei Wechsel des Verschluesselungsschluessels, Token-Widerruf, Reverse-Proxy-Regel und Smoke mit dem laufenden dms-app im Token-Modus, Schluessel liegen je Mandanten-DB (Abweichung vom Auftragstext "Registry", begruendet). Generated with [Claude Code](https://claude.com/claude-code)

patrick added 4 commits 2026-09-21 23:55:09 +02:00

API-16: persistente modul-signaturschlüssel und rotation ... e57b0d23b6

Signaturschluessel der Modul-JWTs liegen verschluesselt in der Mandanten-Datenbank
(module_signing_keys), werden von mehreren Instanzen geteilt und rotieren mit
Ueberlappung; nicht lesbarer Speicher ergibt 503 statt Token/JWKS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

API-16: gofmt db55716f72

API-16: e2e-skript startet Kontodienst ohne Zwischenprozess und belegt den echten Neustart 8059cf8cd3

API-16: Pruefprotokoll ... 9fb2b25cbb

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

patrick referenced this issue from a commit 2026-09-21 23:56:29 +02:00

Merge #109 API-16: persistente Modul-Signaturschluessel

patrick referenced this pull request 2026-09-22 02:43:58 +02:00

QA-14: Testisolation Core und Mail #114

patrick closed this pull request 2026-09-25 23:30:50 +02:00

Pull request closed

This pull request cannot be reopened because the branch was deleted.

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

No items

No labels

Milestone

No items

No Milestone

Projects

Clear projects

No projects

Assignees

Clear assignees

patrick

No Assignees

1 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: scripte/nexarch#109