Sicherheit: am 2026-10-10 sichtbar gewordene Geheimnisse rotieren #30

New Issue

2026-10-16T05:58:35Z

Nick.Rosenloecher commented

2026-10-16 05:58:35 +00:00

Ziel

Geheimnisse, die einmal im Klartext sichtbar waren, sind ersetzt.

Umgesetzt

Die Live-ConfigMap apicore-backend-config enthält keine geheimen Schlüssel mehr (geprüft am 2026-10-16 nur über die Schlüsselnamen); die Overlay-ConfigMap führt nur unkritische Werte

Offen

JWT_ACCESS_SECRET und JWT_REFRESH_SECRET rotieren – erst nach dem rekey in Runbook-Schritt 4 (Punkt 6), sonst sind alte MFA-Geheimnisse und Webhook-Secrets nicht mehr lesbar
OIDC_CLIENT_SECRET: neues Client-Secret in der Entra-App-Registrierung anlegen, in apicore-backend-secret eintragen, apicore-backend (und später apicore-worker) neu starten, altes Secret in Entra löschen. Die App-Registrierung dient auch dem Kalender-Sync.
Nach der Rotation: SSO-Anmeldung und Kalender-Sync testen

Abhängigkeiten / Blocker

Laut Analyse vom 2026-10-10 standen OIDC_CLIENT_SECRET und die JWT-Secrets im Klartext in der Live-ConfigMap und sind dabei im Tool-Output einer Session aufgetaucht. Eine Rotation ist nirgends dokumentiert. Die JWT-Rotation hängt an #28 Schritt 4; Secrets ändert nur der Inhaber.

Grundlage

Memory microservice-umbau-wabenhain-apicore (Ist-Befund 2026-10-10), Rückgrat-Runbook Schritt 4.

Status

Code: nein · Geprüft: nein · Gemergt: nein · Produktiv: nein
Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory)

## Ziel Geheimnisse, die einmal im Klartext sichtbar waren, sind ersetzt. ## Umgesetzt - [x] Die Live-ConfigMap `apicore-backend-config` enthält keine geheimen Schlüssel mehr (geprüft am 2026-10-16 nur über die Schlüsselnamen); die Overlay-ConfigMap führt nur unkritische Werte ## Offen - [ ] `JWT_ACCESS_SECRET` und `JWT_REFRESH_SECRET` rotieren – erst nach dem `rekey` in Runbook-Schritt 4 (Punkt 6), sonst sind alte MFA-Geheimnisse und Webhook-Secrets nicht mehr lesbar - [ ] `OIDC_CLIENT_SECRET`: neues Client-Secret in der Entra-App-Registrierung anlegen, in `apicore-backend-secret` eintragen, `apicore-backend` (und später `apicore-worker`) neu starten, altes Secret in Entra löschen. Die App-Registrierung dient auch dem Kalender-Sync. - [ ] Nach der Rotation: SSO-Anmeldung und Kalender-Sync testen ## Abhängigkeiten / Blocker Laut Analyse vom 2026-10-10 standen `OIDC_CLIENT_SECRET` und die JWT-Secrets im Klartext in der Live-ConfigMap und sind dabei im Tool-Output einer Session aufgetaucht. Eine Rotation ist nirgends dokumentiert. Die JWT-Rotation hängt an #28 Schritt 4; Secrets ändert nur der Inhaber. ## Grundlage Memory `microservice-umbau-wabenhain-apicore` (Ist-Befund 2026-10-10), Rückgrat-Runbook Schritt 4. ## Status Code: nein · Geprüft: nein · Gemergt: nein · Produktiv: nein Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory)