av
c44f0e7582
- шаг схемы закрывает поверхность, которую хранилище приносит открытой: собственную регистрацию, вход по паролю и одноразовый код — без этого закрытие приёма обходилось двумя запросами - продление сессии выключено, срок семь суток: иначе отзыв доступа у провайдера до сервиса не доходит никогда - файл записи отдаётся вошедшему по токену файла — пересмотр ADR-2026-08-12-file-link-open-but-not-logged
4.3 KiB
4.3 KiB
Why
HTTP API открыт наружу без всякой проверки: кто угодно из интернета заводит задачи расшифровки за наши деньги и читает чужие расшифровки, подобрав идентификатор задачи. Сегодняшний периметр так и записан в модели угроз — аутентификации не делает ни обратный прокси, ни само приложение.
Второго человека пригласить в сервис сейчас нельзя: это значит открыть ему всё, что в сервисе уже лежит.
What Changes
- Сервис узнаёт, кто к нему пришёл. Учётные записи заводит и проверяет внешний провайдер — Authelia по OIDC; своей регистрации и своих паролей не заводим.
- BREAKING Приём записи и опрос готовности задачи требуют входа: запрос без сессии получает отказ и не заводит задачу, а текста расшифровки не отдаёт. Внешняя программа, ходившая в API без всякого входа, перестаёт работать.
- Появляются вход и выход: вход уводит человека к провайдеру и возвращает обратно уже узнанным, выход закрывает доступ немедленно.
- Проба здоровья и метрики остаются открытыми и сессии не требуют: ни у пробы, ни у сборщика метрик её нет. Наружу их закрывает правило обратного прокси — это работа выкладки.
- Разграничения записей по владельцу здесь нет: после входа человек видит ровно столько же, сколько видно сейчас.
Capabilities
New Capabilities
access: кто пришёл в сервис и пускают ли его дальше — вход через внешнего провайдера, чем предъявляется сессия, что её прекращает и какие адреса остаются открытыми.
Modified Capabilities
intake: приём записи и опрос готовности задачи перестают быть доступны анонимно — оба требуют узнанного отправителя.storage: ссылка на файл записи перестаёт быть правом пройти по ней — файл отдаётся только узнанному отправителю.
Impact
- Коллекция пользователей хранилища: включённый провайдер
oidcс адресами Authelia, идентификатором клиента и секретом; связь учётной записи с внешним провайдером хранилище ведёт своей служебной коллекцией. POST /api/audioиGET /api/status/{id}— публичный контракт HTTP API объявлен проектом необратимым, и здесь он меняется: у обоих появляется отказ без входа.- Новые адреса входа, возврата от провайдера и выхода.
- Секция конфигурации под провайдера: адрес, идентификатор клиента, секрет. Секрет попадает в настройки коллекции хранилища — это новое место, где он живёт, и его надо назвать в модели угроз.
config.dist.tomlи разбор конфига.docs/security.md: первая строка периметра перестаёт быть верной.- Панель администратора не трогается: в неё провайдер не пускает, и закрывает её обратный прокси.