Deploymentcenter BotandClaude Opus 5
91d8bf353e
Ergebnis einer beauftragten Sicherheitsbegutachtung. Die WebAuthn- Zeremonie selbst ist nicht angefasst worden - sie war in Ordnung. Alle Befunde lagen DANEBEN: Ein zweiter Faktor ist nur so stark wie der schwaechste Weg zum Konto, und Sitzungen, die aus ihm entstehen, erben seinen Schutz nicht. KRITISCH /api/setup/v1/login prueste auf totp_secret - eine Spalte, die kein Anmeldeweg auswertet - und nicht auf dc_user_credentials. Ein Administratorpasswort genuegte dort fuer ein setup:install-Token ohne Hardwarekey. Neu: Konten mit zweitem Faktor abgewiesen, und die Rollentrennung gilt symmetrisch. Der Docblock behauptete sie seit jeher; erzwungen hat sie nichts. HOCH secondFactorRequired(), accountLockoutSeconds() und lockoutSeconds() fingen jedes Throwable und fielen auf "kein Faktor" bzw. "nicht gesperrt" zurueck. Gefangen wurden damit auch Verbindungsabbrueche und Lock-Timeouts - jeder davon schaltete still fuer alle Konten auf Passwort-allein. Toleriert werden jetzt nur noch 42S02 und 42S22. HOCH Fuenf Aktionen aenderten die Anmeldemittel ohne erneute Bestaetigung. Eine uebernommene Sitzung konnte sich damit dauerhaft einnisten. Neu: Authentifizierung aus den letzten zehn Minuten noetig, geprueft an derselben Stelle, an der auch der Leerlauf sperrt. WEITER - Leerlauf 30 statt 120 Minuten, und GESPERRT statt beendet: AAL2 laesst zur Reaktivierung einen Faktor genuegen. Wer alle 30 Minuten den Hardwarekey vorzeigen muss, laesst ihn stecken. - Migration 022: session_epoch. Ein Passwortwechsel beendet die uebrigen Sitzungen des Kontos, die eigene bleibt. - Kontosperre wirkt auf der zweiten Stufe; Zaehler gegen unbegrenztes Raten im Zwischenzustand. - Drosselung auf login.php (10/60s) und /api/auth/v1/ (30/60s). - Anmeldefehler ununterscheidbar; die IP-Sperre darf benannt bleiben, sie sagt nichts ueber ein Konto. - HSTS, TLS-Zwang VOR allen Routen, CSP. Die CSP traegt wegen 93 Inline-Handlern nicht gegen XSS - das steht so im Kommentar. - session.use_strict_mode, CSRF-Token bei der Anmeldung verworfen, Secure-Flag aus app.url statt aus $_SERVER['HTTPS']. - rpId/expectedOrigin nicht mehr aus dem Host-Header. /api/health meldet unter checks.webauthn_anchor, ob der Anker steht. - Notfalltoken laeuft nach 180 Tagen ab, geprueft nach dem Hashvergleich. - config.example.php ohne echtes Passwort, verify_ssl auf true. - Serverdaten.txt.bak mitgesperrt, dc_login_attempts raeumt auf. BELEGT 188 von 188 Testfaellen gruen, darunter drei neue in der Gruppe "haertung". Die Blockade einer veralteten Sitzung liess sich nicht in der Suite pruefen - sie verlangt, das Zehn-Minuten-Fenster wirklich abzuwarten. Dafuer gibt es ein Werkzeug ausserhalb; es belegt, dass der Formularweg auf den Sperrbildschirm fuehrt, die Regel dabei unveraendert bleibt, der JSON-Weg reauth_required meldet und das Passwort allein wieder oeffnet. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
706 lines
26 KiB
PHP
706 lines
26 KiB
PHP
<?php
|
|
|
|
declare(strict_types=1);
|
|
|
|
require_once __DIR__ . '/../src/bootstrap.php';
|
|
|
|
use Deploymentcenter\Core\Auth;
|
|
use Deploymentcenter\Core\Csrf;
|
|
use Deploymentcenter\Core\Db;
|
|
use Deploymentcenter\Core\Http;
|
|
use Deploymentcenter\Core\Logger;
|
|
use Deploymentcenter\Core\Webauthn\CredentialRepo;
|
|
use Deploymentcenter\Modules\License\RateLimiter;
|
|
|
|
Auth::startSession();
|
|
|
|
if (Auth::isLoggedIn()) {
|
|
header('Location: /index.php');
|
|
exit;
|
|
}
|
|
|
|
$error = null;
|
|
$notice = null;
|
|
|
|
// -----------------------------------------------------------------------
|
|
// Sperrbildschirm
|
|
//
|
|
// Nach 30 Minuten Leerlauf wird die Sitzung gesperrt, nicht vernichtet
|
|
// (Auth::IDLE_TIMEOUT). Geoeffnet wird sie mit dem Passwort allein - NIST
|
|
// SP 800-63B laesst auf Stufe AAL2 zur Reaktivierung einen Faktor genuegen,
|
|
// und der Hardwarekey fuegte hier nichts hinzu, was der Sitzungscookie nicht
|
|
// schon behauptet: Wer den Cookie hat, hat das Geraet. Das Passwort hat er
|
|
// damit nicht.
|
|
// -----------------------------------------------------------------------
|
|
$gesperrt = Auth::isLocked();
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && (string)($_POST['step'] ?? '') === 'unlock') {
|
|
if (!Csrf::isValid(is_string($_POST['csrf_token'] ?? null) ? $_POST['csrf_token'] : null)) {
|
|
$error = 'Sitzung abgelaufen. Bitte erneut versuchen.';
|
|
} elseif (!$gesperrt) {
|
|
header('Location: /login.php');
|
|
exit;
|
|
} else {
|
|
try {
|
|
$pdo = Db::init();
|
|
|
|
// Die IP-Sperre gilt auch hier. Der Sperrbildschirm waere sonst
|
|
// die Stelle, an der ein Passwort ungezaehlt geraten werden darf.
|
|
$ipSperre = Auth::lockoutSeconds($pdo, Http::clientIp());
|
|
|
|
if ($ipSperre > 0) {
|
|
$error = sprintf(
|
|
'Zu viele fehlgeschlagene Versuche von diesem Netzwerk. Bitte in %d Minute(n) erneut versuchen.',
|
|
(int)ceil($ipSperre / 60)
|
|
);
|
|
} elseif (Auth::unlock($pdo, (string)($_POST['password'] ?? ''))) {
|
|
$ziel = (string)($_POST['return_to'] ?? '');
|
|
header('Location: ' . (preg_match('#^/[A-Za-z0-9_./#?=-]*$#', $ziel) ? $ziel : '/index.php'));
|
|
exit;
|
|
} else {
|
|
Auth::recordFailedAttempt($pdo, Http::clientIp(), Auth::lockedUsername());
|
|
$error = 'Das Passwort stimmt nicht.';
|
|
}
|
|
} catch (\Throwable $e) {
|
|
Logger::error('Entsperren fehlgeschlagen', ['error' => $e->getMessage()]);
|
|
$error = 'Entsperren derzeit nicht moeglich. Bitte spaeter erneut versuchen.';
|
|
}
|
|
}
|
|
|
|
$gesperrt = Auth::isLocked();
|
|
}
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && (string)($_POST['step'] ?? '') === 'abandon') {
|
|
// Bewusst abmelden statt entsperren.
|
|
Auth::logout();
|
|
header('Location: /login.php');
|
|
exit;
|
|
}
|
|
|
|
// -----------------------------------------------------------------------
|
|
// Zweite Stufe: Notfalltoken und Abbruch
|
|
//
|
|
// Beides laeuft als gewoehnliches Formular und nicht ueber die JSON-API.
|
|
// Der Hardwarekey braucht JavaScript, weil navigator.credentials sich
|
|
// anders nicht bedienen laesst - der Ersatzweg soll diese Voraussetzung
|
|
// gerade nicht teilen.
|
|
// -----------------------------------------------------------------------
|
|
$step = (string)($_POST['step'] ?? '');
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === 'cancel') {
|
|
Auth::clearPending();
|
|
header('Location: /login.php');
|
|
exit;
|
|
}
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === 'recovery') {
|
|
if (!Csrf::isValid(is_string($_POST['csrf_token'] ?? null) ? $_POST['csrf_token'] : null)) {
|
|
$error = 'Sitzung abgelaufen. Bitte erneut versuchen.';
|
|
} elseif (Auth::pendingUserId() <= 0) {
|
|
$error = 'Die Anmeldung ist abgelaufen. Bitte von vorn beginnen.';
|
|
} else {
|
|
try {
|
|
$pdo = Db::init();
|
|
$repo = new CredentialRepo($pdo);
|
|
|
|
if ($repo->consumeRecoveryToken(Auth::pendingUserId(), (string)($_POST['recovery_token'] ?? ''))) {
|
|
Auth::completeSecondFactor($pdo, 'recovery_token');
|
|
|
|
// Der Token ist jetzt verbraucht. Das muss der Betreiber
|
|
// erfahren, und zwar dort, wo er nach dem Anmelden landet -
|
|
// also ueber die allgemeine Meldezeile und nicht in einem
|
|
// Unterreiter, den er vielleicht wochenlang nicht aufschlaegt.
|
|
$_SESSION['dc_flash'] = [
|
|
'type' => 'danger',
|
|
'message' => 'Sie haben sich mit dem Notfalltoken angemeldet. '
|
|
. 'Er ist damit verbraucht. Unter System → Benutzer einen neuen erzeugen, '
|
|
. 'sonst bleibt nur noch der Hardwarekey.',
|
|
];
|
|
header('Location: /index.php');
|
|
exit;
|
|
}
|
|
|
|
Auth::recordSecondFactorFailure($pdo, 'recovery_token_invalid');
|
|
$error = 'Der Notfalltoken stimmt nicht.';
|
|
} catch (\Throwable $e) {
|
|
Logger::error('Notfalltoken-Pruefung fehlgeschlagen', ['error' => $e->getMessage()]);
|
|
$error = 'Anmeldung derzeit nicht moeglich. Bitte spaeter erneut versuchen.';
|
|
}
|
|
}
|
|
}
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && $step === '') {
|
|
$username = trim((string)($_POST['username'] ?? ''));
|
|
$password = (string)($_POST['password'] ?? '');
|
|
|
|
// CSRF-Schutz auch am Login: verhindert erzwungene Fremdanmeldungen.
|
|
if (!Csrf::isValid(is_string($_POST['csrf_token'] ?? null) ? $_POST['csrf_token'] : null)) {
|
|
$error = 'Sitzung abgelaufen. Bitte erneut versuchen.';
|
|
} elseif ($username === '' || $password === '') {
|
|
$error = 'Bitte fuellen Sie alle Felder aus.';
|
|
} else {
|
|
try {
|
|
$pdo = Db::init();
|
|
|
|
// Drosselung vor allem anderen. Die Kontosperre greift erst ab
|
|
// dem fuenften, die IP-Sperre ab dem zehnten Fehlversuch - bis
|
|
// dahin durfte bisher beliebig schnell geraten werden. Der
|
|
// RateLimiter ist im Haus und auf acht anderen Endpunkten im
|
|
// Einsatz; ausgerechnet die Anmeldung war ohne.
|
|
$drossel = new RateLimiter($pdo, 10, 60, 'webui_login');
|
|
|
|
$ipLockout = Auth::lockoutSeconds($pdo, Http::clientIp());
|
|
$accLockout = Auth::accountLockoutSeconds($pdo, $username);
|
|
|
|
if (!$drossel->check(Http::clientIp())) {
|
|
$error = 'Zu viele Anmeldeversuche. Bitte eine Minute warten.';
|
|
} elseif ($ipLockout > 0) {
|
|
// Die IP-Sperre darf beim Namen genannt werden: Sie sagt
|
|
// etwas ueber das Netzwerk aus, nicht darueber, ob es ein
|
|
// bestimmtes Konto gibt.
|
|
$error = sprintf(
|
|
'Zu viele fehlgeschlagene Anmeldeversuche von diesem Netzwerk. Bitte in %d Minute(n) erneut versuchen.',
|
|
(int)ceil($ipLockout / 60)
|
|
);
|
|
} elseif ($accLockout > 0) {
|
|
// Die KONTOsperre dagegen nicht. Gesperrt wird nur, was
|
|
// existiert - eine eigene Meldung dafuer verriete also die
|
|
// Existenz des Namens und haette die Laufzeitangleichung
|
|
// ueber dummyHash() in verifyCredentials() wieder aufgehoben.
|
|
// Die Wartezeit darf stehen, der Grund nicht.
|
|
$error = sprintf(
|
|
'Anmeldung nicht moeglich. Bitte in %d Minute(n) erneut versuchen.',
|
|
(int)ceil($accLockout / 60)
|
|
);
|
|
} else {
|
|
$result = Auth::startLogin($pdo, $username, $password);
|
|
|
|
if ($result === Auth::LOGIN_COMPLETE) {
|
|
header('Location: /index.php');
|
|
exit;
|
|
}
|
|
|
|
if ($result === Auth::LOGIN_SECOND_FACTOR) {
|
|
// Nicht weiterleiten: Die zweite Stufe wird unten
|
|
// gerendert. Ein Redirect wuerde nur eine Runde kosten
|
|
// und der Adresszeile ansehen lassen, wie weit jemand
|
|
// gekommen ist.
|
|
$error = null;
|
|
}
|
|
}
|
|
|
|
if ($error === null && Auth::pendingUserId() <= 0 && !Auth::isLoggedIn()) {
|
|
// Pruefen, ob das Konto oder die IP durch diesen Fehlversuch soeben gesperrt wurde
|
|
$newAccLockout = Auth::accountLockoutSeconds($pdo, $username);
|
|
$newIpLockout = Auth::lockoutSeconds($pdo, Http::clientIp());
|
|
|
|
if ($newAccLockout > 0) {
|
|
// Wieder ohne den Grund: "dieses Benutzerkonto wurde
|
|
// gesperrt" ist eine Bestaetigung, dass es das Konto
|
|
// gibt.
|
|
$error = sprintf(
|
|
'Anmeldung nicht moeglich. Bitte in %d Minute(n) erneut versuchen.',
|
|
(int)ceil($newAccLockout / 60)
|
|
);
|
|
} elseif ($newIpLockout > 0) {
|
|
$error = sprintf(
|
|
'Zu viele Fehlversuche. Ihre IP-Adresse wurde für %d Minute(n) gesperrt.',
|
|
(int)ceil($newIpLockout / 60)
|
|
);
|
|
} else {
|
|
$error = 'Anmeldung nicht moeglich.';
|
|
}
|
|
}
|
|
} catch (\Throwable $e) {
|
|
// Die urspruengliche Fassung gab hier die rohe PDO-Meldung samt
|
|
// Hostname und Benutzernamen an jeden anonymen Besucher aus.
|
|
Logger::error('Anmeldung fehlgeschlagen (technischer Fehler)', ['error' => $e->getMessage()]);
|
|
$error = 'Anmeldung derzeit nicht moeglich. Bitte spaeter erneut versuchen.';
|
|
}
|
|
}
|
|
}
|
|
|
|
// Erst hier abfragen, nicht weiter oben: Der Zwischenzustand entsteht unter
|
|
// Umstaenden erst durch die Auswertung darueber.
|
|
$pendingUsername = Auth::pendingUsername();
|
|
?>
|
|
<!DOCTYPE html>
|
|
<html lang="de">
|
|
<head>
|
|
<meta charset="UTF-8">
|
|
<meta name="viewport" content="width=device-width, initial-scale=1.0">
|
|
<title>Anmeldung - Deploymentcenter</title>
|
|
<link rel="preconnect" href="https://fonts.googleapis.com">
|
|
<link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>
|
|
<link href="https://fonts.googleapis.com/css2?family=Inter:wght@300;400;500;600;700&display=swap" rel="stylesheet">
|
|
<style>
|
|
:root {
|
|
--bg-gradient: linear-gradient(135deg, #0f172a 0%, #1e1b4b 50%, #0f172a 100%);
|
|
--card-bg: rgba(30, 41, 59, 0.7);
|
|
--card-border: rgba(255, 255, 255, 0.1);
|
|
--primary: #6366f1;
|
|
--primary-hover: #4f46e5;
|
|
--text-main: #f8fafc;
|
|
--text-muted: #94a3b8;
|
|
--danger-bg: rgba(239, 68, 68, 0.15);
|
|
--danger-border: rgba(239, 68, 68, 0.3);
|
|
--danger-text: #fca5a5;
|
|
}
|
|
|
|
* {
|
|
box-sizing: border-box;
|
|
margin: 0;
|
|
padding: 0;
|
|
}
|
|
|
|
body {
|
|
font-family: 'Inter', system-ui, -apple-system, sans-serif;
|
|
background: var(--bg-gradient);
|
|
color: var(--text-main);
|
|
min-height: 100vh;
|
|
display: flex;
|
|
align-items: center;
|
|
justify-content: center;
|
|
padding: 1.5rem;
|
|
}
|
|
|
|
.login-card {
|
|
background: var(--card-bg);
|
|
backdrop-filter: blur(16px);
|
|
-webkit-backdrop-filter: blur(16px);
|
|
border: 1px solid var(--card-border);
|
|
border-radius: 20px;
|
|
padding: 2.5rem;
|
|
width: 100%;
|
|
max-width: 420px;
|
|
box-shadow: 0 25px 50px -12px rgba(0, 0, 0, 0.5);
|
|
animation: fadeIn 0.4s ease-out;
|
|
}
|
|
|
|
@keyframes fadeIn {
|
|
from { opacity: 0; transform: translateY(12px); }
|
|
to { opacity: 1; transform: translateY(0); }
|
|
}
|
|
|
|
.brand-header {
|
|
text-align: center;
|
|
margin-bottom: 2rem;
|
|
}
|
|
|
|
.brand-logo {
|
|
width: 56px;
|
|
height: 56px;
|
|
background: linear-gradient(135deg, #6366f1, #a855f7);
|
|
border-radius: 14px;
|
|
display: inline-flex;
|
|
align-items: center;
|
|
justify-content: center;
|
|
margin-bottom: 1rem;
|
|
box-shadow: 0 10px 25px -5px rgba(99, 102, 241, 0.4);
|
|
}
|
|
|
|
.brand-logo svg {
|
|
width: 30px;
|
|
height: 30px;
|
|
fill: none;
|
|
stroke: #ffffff;
|
|
stroke-width: 2;
|
|
stroke-linecap: round;
|
|
stroke-linejoin: round;
|
|
}
|
|
|
|
.brand-title {
|
|
font-size: 1.5rem;
|
|
font-weight: 700;
|
|
letter-spacing: -0.025em;
|
|
background: linear-gradient(to right, #ffffff, #cbd5e1);
|
|
-webkit-background-clip: text;
|
|
-webkit-text-fill-color: transparent;
|
|
}
|
|
|
|
.brand-subtitle {
|
|
font-size: 0.875rem;
|
|
color: var(--text-muted);
|
|
margin-top: 0.25rem;
|
|
}
|
|
|
|
.alert-danger {
|
|
background: var(--danger-bg);
|
|
border: 1px solid var(--danger-border);
|
|
color: var(--danger-text);
|
|
padding: 0.875rem 1rem;
|
|
border-radius: 10px;
|
|
font-size: 0.875rem;
|
|
margin-bottom: 1.5rem;
|
|
}
|
|
|
|
.form-group {
|
|
margin-bottom: 1.25rem;
|
|
}
|
|
|
|
.form-label {
|
|
display: block;
|
|
font-size: 0.875rem;
|
|
font-weight: 500;
|
|
color: var(--text-muted);
|
|
margin-bottom: 0.5rem;
|
|
}
|
|
|
|
.form-control {
|
|
width: 100%;
|
|
background: rgba(15, 23, 42, 0.6);
|
|
border: 1px solid var(--card-border);
|
|
border-radius: 10px;
|
|
padding: 0.75rem 1rem;
|
|
font-size: 0.95rem;
|
|
color: var(--text-main);
|
|
outline: none;
|
|
transition: all 0.2s ease;
|
|
}
|
|
|
|
.form-control:focus {
|
|
border-color: var(--primary);
|
|
box-shadow: 0 0 0 3px rgba(99, 102, 241, 0.25);
|
|
}
|
|
|
|
.btn-submit {
|
|
width: 100%;
|
|
background: linear-gradient(135deg, var(--primary), #4f46e5);
|
|
color: #ffffff;
|
|
border: none;
|
|
border-radius: 10px;
|
|
padding: 0.875rem;
|
|
font-size: 0.95rem;
|
|
font-weight: 600;
|
|
cursor: pointer;
|
|
transition: all 0.2s ease;
|
|
box-shadow: 0 10px 20px -5px rgba(99, 102, 241, 0.4);
|
|
margin-top: 0.5rem;
|
|
}
|
|
|
|
.btn-submit:hover {
|
|
transform: translateY(-1px);
|
|
box-shadow: 0 15px 25px -5px rgba(99, 102, 241, 0.5);
|
|
}
|
|
|
|
.btn-submit:active {
|
|
transform: translateY(0);
|
|
}
|
|
|
|
.footer-note {
|
|
text-align: center;
|
|
font-size: 0.75rem;
|
|
color: var(--text-muted);
|
|
margin-top: 2rem;
|
|
}
|
|
|
|
/* --- Zweite Stufe: Hardwarekey --- */
|
|
|
|
.step-note {
|
|
font-size: 0.875rem;
|
|
color: var(--text-muted);
|
|
line-height: 1.5;
|
|
margin-bottom: 1.25rem;
|
|
}
|
|
|
|
.step-note strong { color: var(--text-main); }
|
|
|
|
.key-status {
|
|
background: rgba(15, 23, 42, 0.6);
|
|
border: 1px solid var(--card-border);
|
|
border-radius: 10px;
|
|
padding: 0.875rem 1rem;
|
|
font-size: 0.875rem;
|
|
color: var(--text-muted);
|
|
margin-bottom: 1rem;
|
|
min-height: 3rem;
|
|
display: flex;
|
|
align-items: center;
|
|
}
|
|
|
|
.key-status.is-error {
|
|
background: var(--danger-bg);
|
|
border-color: var(--danger-border);
|
|
color: var(--danger-text);
|
|
}
|
|
|
|
.divider {
|
|
display: flex;
|
|
align-items: center;
|
|
gap: 0.75rem;
|
|
margin: 1.5rem 0 1rem;
|
|
color: var(--text-muted);
|
|
font-size: 0.75rem;
|
|
}
|
|
|
|
.divider::before,
|
|
.divider::after {
|
|
content: "";
|
|
flex: 1;
|
|
height: 1px;
|
|
background: var(--card-border);
|
|
}
|
|
|
|
.recovery summary {
|
|
cursor: pointer;
|
|
font-size: 0.875rem;
|
|
color: var(--text-muted);
|
|
padding: 0.5rem 0;
|
|
}
|
|
|
|
.recovery summary:hover { color: var(--text-main); }
|
|
|
|
.recovery[open] summary { margin-bottom: 0.75rem; }
|
|
|
|
.hint {
|
|
font-size: 0.75rem;
|
|
color: var(--text-muted);
|
|
margin-top: 0.4rem;
|
|
line-height: 1.45;
|
|
}
|
|
|
|
.btn-quiet {
|
|
background: rgba(255, 255, 255, 0.06);
|
|
box-shadow: none;
|
|
font-weight: 500;
|
|
}
|
|
|
|
.btn-quiet:hover {
|
|
background: rgba(255, 255, 255, 0.1);
|
|
box-shadow: none;
|
|
}
|
|
|
|
.cancel-form { text-align: center; margin-top: 1.25rem; }
|
|
|
|
.link-button {
|
|
background: none;
|
|
border: none;
|
|
color: var(--text-muted);
|
|
font-size: 0.8rem;
|
|
font-family: inherit;
|
|
cursor: pointer;
|
|
text-decoration: underline;
|
|
padding: 0;
|
|
}
|
|
|
|
.link-button:hover { color: var(--text-main); }
|
|
</style>
|
|
</head>
|
|
<body>
|
|
<div class="login-card">
|
|
<div class="brand-header">
|
|
<div class="brand-logo">
|
|
<svg viewBox="0 0 24 24">
|
|
<path d="M12 2L2 7l10 5 10-5-10-5zM2 17l10 5 10-5M2 12l10 5 10-5"></path>
|
|
</svg>
|
|
</div>
|
|
<h1 class="brand-title">Deploymentcenter</h1>
|
|
<p class="brand-subtitle">
|
|
<?php if ($gesperrt): ?>
|
|
Sitzung gesperrt
|
|
<?php else: ?>
|
|
<?= $pendingUsername !== '' ? 'Zweiter Schritt: Hardwarekey' : 'Bitte melden Sie sich an, um fortzufahren' ?>
|
|
<?php endif; ?>
|
|
</p>
|
|
</div>
|
|
|
|
<?php if ($error): ?>
|
|
<div class="alert-danger"><?= htmlspecialchars($error) ?></div>
|
|
<?php endif; ?>
|
|
|
|
<?php if ($gesperrt): ?>
|
|
|
|
<div class="step-note">
|
|
Die Sitzung von <strong><?= htmlspecialchars(Auth::lockedUsername()) ?></strong> wurde
|
|
nach 30 Minuten ohne Aktivität gesperrt. Zum Weiterarbeiten genügt das Passwort —
|
|
der Hardwarekey wird erst bei einer neuen Anmeldung wieder verlangt.
|
|
</div>
|
|
|
|
<form method="POST" action="login.php">
|
|
<?= Csrf::field() ?>
|
|
<input type="hidden" name="step" value="unlock">
|
|
<input type="hidden" name="return_to"
|
|
value="<?= htmlspecialchars((string)($_GET['weiter'] ?? '/index.php'), ENT_QUOTES) ?>">
|
|
|
|
<div class="form-group">
|
|
<label for="unlockPassword">Passwort</label>
|
|
<input type="password" id="unlockPassword" name="password"
|
|
class="form-control" required autofocus placeholder="••••••••">
|
|
</div>
|
|
|
|
<button type="submit" class="btn-login">Weiterarbeiten</button>
|
|
</form>
|
|
|
|
<form method="POST" action="login.php" class="cancel-form">
|
|
<?= Csrf::field() ?>
|
|
<input type="hidden" name="step" value="abandon">
|
|
<button type="submit" class="btn-cancel">Stattdessen abmelden</button>
|
|
</form>
|
|
|
|
<?php elseif ($pendingUsername !== ''): ?>
|
|
|
|
<div class="step-note">
|
|
Passwort erkannt für <strong><?= htmlspecialchars($pendingUsername) ?></strong>.
|
|
Bitte jetzt den Hardwarekey anstecken und berühren.
|
|
</div>
|
|
|
|
<div id="keyStatus" class="key-status">Warte auf den Hardwarekey …</div>
|
|
|
|
<button type="button" class="btn-submit" id="btnKey">Hardwarekey verwenden</button>
|
|
|
|
<div class="divider"><span>oder</span></div>
|
|
|
|
<details class="recovery" <?= $error !== null ? 'open' : '' ?>>
|
|
<summary>Hardwarekey nicht zur Hand?</summary>
|
|
<form method="POST" action="login.php">
|
|
<?= Csrf::field() ?>
|
|
<input type="hidden" name="step" value="recovery">
|
|
<div class="form-group">
|
|
<label for="recovery_token" class="form-label">Notfalltoken</label>
|
|
<input type="text" id="recovery_token" name="recovery_token" class="form-control"
|
|
required autocomplete="off" spellcheck="false"
|
|
placeholder="XXXX-XXXX-XXXX-XXXX-XXXX">
|
|
<p class="hint">
|
|
Wird dabei verbraucht. Nach der Anmeldung unter
|
|
<em>System → Benutzer</em> einen neuen erzeugen.
|
|
</p>
|
|
</div>
|
|
<button type="submit" class="btn-submit btn-quiet">Mit Notfalltoken anmelden</button>
|
|
</form>
|
|
</details>
|
|
|
|
<form method="POST" action="login.php" class="cancel-form">
|
|
<?= Csrf::field() ?>
|
|
<input type="hidden" name="step" value="cancel">
|
|
<button type="submit" class="link-button">Abbrechen und von vorn beginnen</button>
|
|
</form>
|
|
|
|
<?php else: ?>
|
|
|
|
<form method="POST" action="login.php">
|
|
<?= Csrf::field() ?>
|
|
<div class="form-group">
|
|
<label for="username" class="form-label">Benutzername</label>
|
|
<input type="text" id="username" name="username" class="form-control" required autofocus>
|
|
</div>
|
|
|
|
<div class="form-group">
|
|
<label for="password" class="form-label">Passwort</label>
|
|
<input type="password" id="password" name="password" class="form-control" required placeholder="••••••••">
|
|
</div>
|
|
|
|
<button type="submit" class="btn-submit">Anmelden</button>
|
|
</form>
|
|
|
|
<?php endif; ?>
|
|
|
|
<div class="footer-note">
|
|
Deploymentcenter © <?= date('Y') ?> • Unified License & Monitoring Platform
|
|
</div>
|
|
</div>
|
|
|
|
<?php if ($pendingUsername !== ''): ?>
|
|
<script>
|
|
(function () {
|
|
const status = document.getElementById('keyStatus');
|
|
const button = document.getElementById('btnKey');
|
|
|
|
// base64url, nicht base64: Der Standard schreibt es so vor, und die
|
|
// Umkehrfunktion muss zum Server passen.
|
|
const fromB64u = value => {
|
|
const padded = value.replace(/-/g, '+').replace(/_/g, '/');
|
|
const binary = atob(padded + '='.repeat((4 - padded.length % 4) % 4));
|
|
const bytes = new Uint8Array(binary.length);
|
|
for (let i = 0; i < binary.length; i++) { bytes[i] = binary.charCodeAt(i); }
|
|
return bytes;
|
|
};
|
|
|
|
const toB64u = buffer => btoa(String.fromCharCode(...new Uint8Array(buffer)))
|
|
.replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
|
|
|
|
const setStatus = (text, isError) => {
|
|
status.textContent = text;
|
|
status.classList.toggle('is-error', !!isError);
|
|
};
|
|
|
|
/**
|
|
* Der lesbare Text aus einer Fehlerantwort.
|
|
*
|
|
* Die API verpackt Fehler als { error: { code, message } }. Wer nur
|
|
* data.error liest, zeigt "[object Object]" an - hier waere das
|
|
* besonders misslich, denn an dieser Stelle steht der einzige Hinweis,
|
|
* warum die Anmeldung nicht weitergeht.
|
|
*/
|
|
const fehlertext = data => {
|
|
const huelle = data && data.error;
|
|
if (huelle && typeof huelle === 'object' && huelle.message) { return huelle.message; }
|
|
if (data && typeof data.message === 'string') { return data.message; }
|
|
if (typeof huelle === 'string') { return huelle; }
|
|
return 'Unerwartete Antwort des Servers.';
|
|
};
|
|
|
|
if (!window.PublicKeyCredential) {
|
|
setStatus('Dieser Browser kennt keine Hardwarekeys. Bitte den Notfalltoken benutzen.', true);
|
|
button.disabled = true;
|
|
return;
|
|
}
|
|
|
|
const post = async (action, payload) => {
|
|
const response = await fetch('/api/auth/v1/?action=' + action, {
|
|
method: 'POST',
|
|
headers: { 'Content-Type': 'application/json' },
|
|
credentials: 'same-origin',
|
|
body: JSON.stringify(payload || {})
|
|
});
|
|
const data = await response.json().catch(() => ({}));
|
|
if (!response.ok) {
|
|
throw new Error(fehlertext(data));
|
|
}
|
|
return data;
|
|
};
|
|
|
|
const run = async () => {
|
|
button.disabled = true;
|
|
try {
|
|
setStatus('Anfrage wird vorbereitet …', false);
|
|
const options = (await post('login_options')).publicKey;
|
|
|
|
options.challenge = fromB64u(options.challenge);
|
|
options.allowCredentials = (options.allowCredentials || []).map(c => ({
|
|
...c, id: fromB64u(c.id)
|
|
}));
|
|
|
|
setStatus('Bitte den Hardwarekey jetzt berühren.', false);
|
|
const assertion = await navigator.credentials.get({ publicKey: options });
|
|
|
|
setStatus('Antwort wird geprüft …', false);
|
|
const result = await post('login_verify', {
|
|
id: assertion.id,
|
|
clientDataJSON: toB64u(assertion.response.clientDataJSON),
|
|
authenticatorData: toB64u(assertion.response.authenticatorData),
|
|
signature: toB64u(assertion.response.signature)
|
|
});
|
|
|
|
window.location.href = result.redirect || '/index.php';
|
|
} catch (err) {
|
|
// NotAllowedError heisst in der Praxis: abgebrochen oder zu lange
|
|
// gewartet. Die Rohmeldung des Browsers hilft dabei niemandem.
|
|
const message = err && err.name === 'NotAllowedError'
|
|
? 'Abgebrochen oder zu lange gewartet. Bitte erneut versuchen.'
|
|
: (err && err.message ? err.message : 'Der Hardwarekey konnte nicht gelesen werden.');
|
|
setStatus(message, true);
|
|
button.disabled = false;
|
|
}
|
|
};
|
|
|
|
button.addEventListener('click', run);
|
|
|
|
// Von selbst loslaufen: Der Normalfall ist, dass der Key schon steckt.
|
|
// Der Knopf bleibt fuer den zweiten Anlauf.
|
|
run();
|
|
})();
|
|
</script>
|
|
<?php endif; ?>
|
|
</body>
|
|
</html>
|