Richard/Deploymentcenter
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

fix(2.9.3): Der zweite Faktor war neben der Zeremonie umgehbar

Browse Source 
Ergebnis einer beauftragten Sicherheitsbegutachtung. Die WebAuthn-
Zeremonie selbst ist nicht angefasst worden - sie war in Ordnung. Alle
Befunde lagen DANEBEN:

  Ein zweiter Faktor ist nur so stark wie der schwaechste Weg zum Konto,
  und Sitzungen, die aus ihm entstehen, erben seinen Schutz nicht.

KRITISCH
/api/setup/v1/login prueste auf totp_secret - eine Spalte, die kein
Anmeldeweg auswertet - und nicht auf dc_user_credentials. Ein
Administratorpasswort genuegte dort fuer ein setup:install-Token ohne
Hardwarekey. Neu: Konten mit zweitem Faktor abgewiesen, und die
Rollentrennung gilt symmetrisch. Der Docblock behauptete sie seit jeher;
erzwungen hat sie nichts.

HOCH
secondFactorRequired(), accountLockoutSeconds() und lockoutSeconds()
fingen jedes Throwable und fielen auf "kein Faktor" bzw. "nicht
gesperrt" zurueck. Gefangen wurden damit auch Verbindungsabbrueche und
Lock-Timeouts - jeder davon schaltete still fuer alle Konten auf
Passwort-allein. Toleriert werden jetzt nur noch 42S02 und 42S22.

HOCH
Fuenf Aktionen aenderten die Anmeldemittel ohne erneute Bestaetigung.
Eine uebernommene Sitzung konnte sich damit dauerhaft einnisten. Neu:
Authentifizierung aus den letzten zehn Minuten noetig, geprueft an
derselben Stelle, an der auch der Leerlauf sperrt.

WEITER
- Leerlauf 30 statt 120 Minuten, und GESPERRT statt beendet: AAL2 laesst
  zur Reaktivierung einen Faktor genuegen. Wer alle 30 Minuten den
  Hardwarekey vorzeigen muss, laesst ihn stecken.
- Migration 022: session_epoch. Ein Passwortwechsel beendet die uebrigen
  Sitzungen des Kontos, die eigene bleibt.
- Kontosperre wirkt auf der zweiten Stufe; Zaehler gegen unbegrenztes
  Raten im Zwischenzustand.
- Drosselung auf login.php (10/60s) und /api/auth/v1/ (30/60s).
- Anmeldefehler ununterscheidbar; die IP-Sperre darf benannt bleiben,
  sie sagt nichts ueber ein Konto.
- HSTS, TLS-Zwang VOR allen Routen, CSP. Die CSP traegt wegen 93
  Inline-Handlern nicht gegen XSS - das steht so im Kommentar.
- session.use_strict_mode, CSRF-Token bei der Anmeldung verworfen,
  Secure-Flag aus app.url statt aus $_SERVER['HTTPS'].
- rpId/expectedOrigin nicht mehr aus dem Host-Header. /api/health meldet
  unter checks.webauthn_anchor, ob der Anker steht.
- Notfalltoken laeuft nach 180 Tagen ab, geprueft nach dem Hashvergleich.
- config.example.php ohne echtes Passwort, verify_ssl auf true.
- Serverdaten.txt.bak mitgesperrt, dc_login_attempts raeumt auf.

BELEGT
188 von 188 Testfaellen gruen, darunter drei neue in der Gruppe
"haertung". Die Blockade einer veralteten Sitzung liess sich nicht in
der Suite pruefen - sie verlangt, das Zehn-Minuten-Fenster wirklich
abzuwarten. Dafuer gibt es ein Werkzeug ausserhalb; es belegt, dass der
Formularweg auf den Sperrbildschirm fuehrt, die Regel dabei unveraendert
bleibt, der JSON-Weg reauth_required meldet und das Passwort allein
wieder oeffnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Deploymentcenter Bot
2026-09-21 14:58:31 +02:00
co-authored by Claude Opus 5
parent 0c20698fd5
commit 91d8bf353e
20 changed files with 1571 additions and 93 deletions
Download Patch File Download Diff File Expand all files Collapse all files
public/login.php
+116 -6
View File
@@ -10,6 +10,7 @@ use Deploymentcenter\Core\Db;
use Deploymentcenter\Core\Http;
use Deploymentcenter\Core\Logger;
use Deploymentcenter\Core\Webauthn\CredentialRepo;
use Deploymentcenter\Modules\License\RateLimiter;
Auth::startSession();
@@ -21,6 +22,61 @@ if (Auth::isLoggedIn()) {
$error = null;
$notice = null;
// -----------------------------------------------------------------------
// Sperrbildschirm
//
// Nach 30 Minuten Leerlauf wird die Sitzung gesperrt, nicht vernichtet
// (Auth::IDLE_TIMEOUT). Geoeffnet wird sie mit dem Passwort allein - NIST
// SP 800-63B laesst auf Stufe AAL2 zur Reaktivierung einen Faktor genuegen,
// und der Hardwarekey fuegte hier nichts hinzu, was der Sitzungscookie nicht
// schon behauptet: Wer den Cookie hat, hat das Geraet. Das Passwort hat er
// damit nicht.
// -----------------------------------------------------------------------
$gesperrt = Auth::isLocked();
if ($_SERVER['REQUEST_METHOD'] === 'POST' && (string)($_POST['step'] ?? '') === 'unlock') {
if (!Csrf::isValid(is_string($_POST['csrf_token'] ?? null) ? $_POST['csrf_token'] : null)) {
$error = 'Sitzung abgelaufen. Bitte erneut versuchen.';
} elseif (!$gesperrt) {
header('Location: /login.php');
exit;
} else {
try {
$pdo = Db::init();
// Die IP-Sperre gilt auch hier. Der Sperrbildschirm waere sonst
// die Stelle, an der ein Passwort ungezaehlt geraten werden darf.
$ipSperre = Auth::lockoutSeconds($pdo, Http::clientIp());
if ($ipSperre > 0) {
$error = sprintf(
'Zu viele fehlgeschlagene Versuche von diesem Netzwerk. Bitte in %d Minute(n) erneut versuchen.',
(int)ceil($ipSperre / 60)
);
} elseif (Auth::unlock($pdo, (string)($_POST['password'] ?? ''))) {
$ziel = (string)($_POST['return_to'] ?? '');
header('Location: ' . (preg_match('#^/[A-Za-z0-9_./#?=-]*$#', $ziel) ? $ziel : '/index.php'));
exit;
} else {
Auth::recordFailedAttempt($pdo, Http::clientIp(), Auth::lockedUsername());
$error = 'Das Passwort stimmt nicht.';
}
} catch (\Throwable $e) {
Logger::error('Entsperren fehlgeschlagen', ['error' => $e->getMessage()]);
$error = 'Entsperren derzeit nicht moeglich. Bitte spaeter erneut versuchen.';
}
}
$gesperrt = Auth::isLocked();
}
if ($_SERVER['REQUEST_METHOD'] === 'POST' && (string)($_POST['step'] ?? '') === 'abandon') {
// Bewusst abmelden statt entsperren.
Auth::logout();
header('Location: /login.php');
exit;
}
// -----------------------------------------------------------------------
// Zweite Stufe: Notfalltoken und Abbruch
//
@@ -85,17 +141,35 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === '') {
} else {
try {
$pdo = Db::init();
// Drosselung vor allem anderen. Die Kontosperre greift erst ab
// dem fuenften, die IP-Sperre ab dem zehnten Fehlversuch - bis
// dahin durfte bisher beliebig schnell geraten werden. Der
// RateLimiter ist im Haus und auf acht anderen Endpunkten im
// Einsatz; ausgerechnet die Anmeldung war ohne.
$drossel = new RateLimiter($pdo, 10, 60, 'webui_login');
$ipLockout = Auth::lockoutSeconds($pdo, Http::clientIp());
$accLockout = Auth::accountLockoutSeconds($pdo, $username);
if ($ipLockout > 0) {
if (!$drossel->check(Http::clientIp())) {
$error = 'Zu viele Anmeldeversuche. Bitte eine Minute warten.';
} elseif ($ipLockout > 0) {
// Die IP-Sperre darf beim Namen genannt werden: Sie sagt
// etwas ueber das Netzwerk aus, nicht darueber, ob es ein
// bestimmtes Konto gibt.
$error = sprintf(
'Zu viele fehlgeschlagene Anmeldeversuche von diesem Netzwerk. Bitte in %d Minute(n) erneut versuchen.',
(int)ceil($ipLockout / 60)
);
} elseif ($accLockout > 0) {
// Die KONTOsperre dagegen nicht. Gesperrt wird nur, was
// existiert - eine eigene Meldung dafuer verriete also die
// Existenz des Namens und haette die Laufzeitangleichung
// ueber dummyHash() in verifyCredentials() wieder aufgehoben.
// Die Wartezeit darf stehen, der Grund nicht.
$error = sprintf(
'Dieses Benutzerkonto ist aufgrund zu vieler Fehlversuche vorübergehend gesperrt. Bitte in %d Minute(n) erneut versuchen.',
'Anmeldung nicht moeglich. Bitte in %d Minute(n) erneut versuchen.',
(int)ceil($accLockout / 60)
);
} else {
@@ -121,8 +195,11 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === '') {
$newIpLockout = Auth::lockoutSeconds($pdo, Http::clientIp());
if ($newAccLockout > 0) {
// Wieder ohne den Grund: "dieses Benutzerkonto wurde
// gesperrt" ist eine Bestaetigung, dass es das Konto
// gibt.
$error = sprintf(
'Zu viele Fehlversuche. Dieses Benutzerkonto wurde für %d Minute(n) gesperrt.',
'Anmeldung nicht moeglich. Bitte in %d Minute(n) erneut versuchen.',
(int)ceil($newAccLockout / 60)
);
} elseif ($newIpLockout > 0) {
@@ -131,7 +208,7 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === '') {
(int)ceil($newIpLockout / 60)
);
} else {
$error = 'Ungueltige Anmeldedaten.';
$error = 'Anmeldung nicht moeglich.';
}
}
} catch (\Throwable $e) {
@@ -419,7 +496,11 @@ $pendingUsername = Auth::pendingUsername();
</div>
<h1 class="brand-title">Deploymentcenter</h1>
<p class="brand-subtitle">
<?= $pendingUsername !== '' ? 'Zweiter Schritt: Hardwarekey' : 'Bitte melden Sie sich an, um fortzufahren' ?>
<?php if ($gesperrt): ?>
Sitzung gesperrt
<?php else: ?>
<?= $pendingUsername !== '' ? 'Zweiter Schritt: Hardwarekey' : 'Bitte melden Sie sich an, um fortzufahren' ?>
<?php endif; ?>
</p>
</div>
@@ -427,7 +508,36 @@ $pendingUsername = Auth::pendingUsername();
<div class="alert-danger"><?= htmlspecialchars($error) ?></div>
<?php endif; ?>
<?php if ($pendingUsername !== ''): ?>
<?php if ($gesperrt): ?>
<div class="step-note">
Die Sitzung von <strong><?= htmlspecialchars(Auth::lockedUsername()) ?></strong> wurde
nach 30 Minuten ohne Aktivität gesperrt. Zum Weiterarbeiten genügt das Passwort —
der Hardwarekey wird erst bei einer neuen Anmeldung wieder verlangt.
</div>
<form method="POST" action="login.php">
<?= Csrf::field() ?>
<input type="hidden" name="step" value="unlock">
<input type="hidden" name="return_to"
value="<?= htmlspecialchars((string)($_GET['weiter'] ?? '/index.php'), ENT_QUOTES) ?>">
<div class="form-group">
<label for="unlockPassword">Passwort</label>
<input type="password" id="unlockPassword" name="password"
class="form-control" required autofocus placeholder="••••••••">
</div>
<button type="submit" class="btn-login">Weiterarbeiten</button>
</form>
<form method="POST" action="login.php" class="cancel-form">
<?= Csrf::field() ?>
<input type="hidden" name="step" value="abandon">
<button type="submit" class="btn-cancel">Stattdessen abmelden</button>
</form>
<?php elseif ($pendingUsername !== ''): ?>
<div class="step-note">
Passwort erkannt für <strong><?= htmlspecialchars($pendingUsername) ?></strong>.