philipp/incus-backup-ui
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
7eb9fdef18ccc036c70ae668a20e0e2610459353
incus-backup-ui/docs/fixes-todo.md
T
Philipp 7eb9fdef18 changed UI layout 
new Navigation
Dashboard
2026-05-21 12:49:32 +02:00

9.7 KiB
Raw Blame History

Fixes & Hardening TODO

Kritisches Review-Backlog vor Produktiveinsatz und OSS-Release. Sortiert nach Risikoklasse. Datei-/Zeilenreferenzen beziehen sich auf den Stand bei Review-Erstellung.

🔴 Kritisch — vor Produktion blockierend

  • 1. Default-Admin admin/admin entfernen

    • Datei: management/src/db.js:84, management/src/config.js:10
    • Aktuell: leeres AUTH_PASSWORD → Passwort wird still auf "admin" gesetzt.
    • Fix: Bei leerem Passwort + leerer User-Tabelle Start mit klarer Fehlermeldung abbrechen. Keinen Default mehr in den Code.
    • README/docs/deployment.md entsprechend anpassen.

  • 2. API_TOKEN im Node-Agent zur Pflicht machen

    • Datei: backend/src/index.js:24, backend/src/config.js:19
    • Aktuell: if (!config.apiToken) next(); → ohne Token offener Root-RCE-Endpunkt.
    • Fix: Beim Start verweigern wenn leer. Minimal-Länge erzwingen (z.B. 32 Zeichen).

  • 3. HTTPS zwischen Management und Agent erzwingen

    • Datei: management/src/agentClient.js:2, management/src/routes/nodes.js:91
    • Aktuell: node.baseUrl darf beliebiges Schema haben, Bearer-Token läuft potenziell im Klartext.
    • Fix: baseUrl muss https:// sein (Validator). Optional: eigene CA + Cert-Pinning pro Node, mindestens dokumentieren.

  • 4. CSRF-Risiko durch reflektierendes CORS schließen

    • Datei: management/src/index.js:18
    • Aktuell: cors({ origin: true, credentials: true }) reflektiert jede Origin.
    • Fix: Whitelist konkreter Frontend-Origins via Env. Cookie auf SameSite=Strict setzen oder CSRF-Token-Pattern (Double-Submit) ergänzen.

  • 5. Brute-Force-Schutz beim Login

    • Datei: management/src/routes/auth.js:12
    • Aktuell: kein Rate-Limit, kein Lockout.
    • Fix: express-rate-limit o.ä. — z.B. 5 Versuche / 15 min / IP + User. Audit-Event für gesperrte Versuche.

  • 6. Restore atomarisieren — kein direktes dd auf Produktiv-Volume

    • Datei: backend/src/executor.js:92 (streamResticDumpToDd), backend/src/routes/restore.js
    • Aktuell: Wenn restic dump abbricht, sind GB bereits auf der VM-Disk → Disk irreversibel kaputt.
    • Fix-Optionen:
      • In temporäres ZFS-Volume schreiben, danach Größen-/Hash-Verifikation, dann atomarer zfs rename/clone-Swap.
      • Oder: vor Restore automatisch Disk-Snapshot anlegen; bei Fehler rollback.
    • Größe vorab prüfen (restic stats vs. zfs get volsize).

  • 7. Backup-Verifikation einbauen

    • Datei: backend/src/routes/backup.js (VM-Pfad ~Z.71, Container-Pfad ~Z.137)
    • Aktuell: Bei Pipe-Fehler (zfs send !=0, createReadStream-Abbruch) committed restic ggf. einen unvollständigen Snapshot mit Status „success".
    • Fix:
      • Vor Start erwartete Größe ermitteln (zfs get volsize / used).
      • Nach Restic-Commit restic stats <snapshotId> vergleichen.
      • Bei Mismatch oder Pipe-Fehler: Restic-Snapshot per ID forget+pruneen, Job auf failed.

  • 8. Bearer-Token aus Frontend-localStorage entfernen

    • Datei: frontend/src/api.js:9
    • Aktuell: Agent-API-Token im Browser-Storage; bei XSS sofort kompromittiert.
    • Fix: Frontend nutzt ausschließlich Cookie-Auth zum Management. VITE_API_TOKEN/setApiToken ersatzlos streichen.

🟠 Hoch

  • 9. Session-Cookie Secure-Flag

    • Datei: management/src/auth.js:37
    • Fix: Secure immer setzen (in Production hart erzwingen), Cookie-Attribute über Config konfigurierbar machen.

  • 10. Race beim Sichtbarmachen des Snapshot-Devices

    • Datei: backend/src/routes/backup.js:57
    • Aktuell: 2 s sleep reicht nicht garantiert.
    • Fix: Polling-Schleife auf fs.access(snapshotDevice) mit Timeout; zusätzlich udevadm trigger && udevadm settle.

  • 11. Persistenter Job- und Lock-Store im Agent

    • Datei: backend/src/jobs.js
    • Aktuell: in-memory; bei Crash gehen laufende Jobs verloren, Locks bleiben hängen oder verschwinden inkonsistent (z.B. ZFS volmode=dev).
    • Fix: SQLite-Tabelle für Jobs/Locks. Beim Start: alle running/queued Jobs zu failed markieren, Cleanup-Pfad ausführen.

  • 12. Toten SESSION_SECRET aufräumen

    • Datei: management/src/config.js:8
    • Aktuell: gelesen, aber nirgendwo genutzt — sieht aus wie ein Loch.
    • Fix: Entweder Session-IDs HMAC-signieren oder Variable entfernen + .env.example säubern.

  • 13. Snapshot-ID-Prefix-Matching eindeutig machen

    • Datei: backend/src/validators.js:66
    • Aktuell: startsWith — bei Prefix-Kollision wird stillschweigend der erste Treffer genommen.
    • Fix: Bei >1 Treffer 409 zurückgeben; UI auf 12-Hex-Prefix umstellen.

  • 14. RBAC einführen

    • Aktuell: ein User, alle Rechte, kein Read-only.
    • Fix: Mindestens Rollen admin / operator / viewer. Restore nur für admin.

  • 15. ENV-Escaping in writeEnvSettings verbessern

    • Datei: backend/src/config.js:105
    • Aktuell: Nur \ und " escaped; $, Backticks, Newlines nicht.
    • Fix: Eigener Serializer mit korrektem Escaping aller Sonderzeichen.

  • 16. Settings-Endpunkt sperren bis API_TOKEN initial gesetzt ist

    • Datei: backend/src/routes/settings.js
    • Hängt mit Fix #2 zusammen — nach #2 automatisch erfüllt, hier zur Sicherheit dokumentieren/testen.

🟡 Mittel

  • 17. Math.random() durch crypto.randomBytes ersetzen

    • Datei: management/src/db.js:90 (cryptoId).

  • 18. Systemd-Hardening für den Agent

    • Datei: deploy/systemd/incus-backup-agent.service
    • Hinzufügen: NoNewPrivileges=true, ProtectSystem=strict, ProtectHome=true, PrivateTmp=true, ReadWritePaths=/dev/zvol /var/lib/incus /opt/incus-backup-ui/backend, CapabilityBoundingSet=..., eingeschränkte AmbientCapabilities.

  • 19. npm start durch direkten node-Aufruf ersetzen

    • Datei: beide deploy/systemd/*.service
    • ExecStart=/usr/bin/node src/index.js — kein npm-Wrapper-Prozess, kein PATH-Risiko.

  • 20. CORS am Agent entfernen

    • Datei: backend/src/index.js:16
    • Agent wird nie aus dem Browser angesprochen → Angriffsfläche raus.

  • 21. schedules.json-Pfad explizit konfigurierbar

    • Datei: backend/src/scheduler.js:6
    • Aktuell: process.cwd()-abhängig.
    • Fix: über Env (SCHEDULES_PATH) absolut konfigurieren, Default unter /var/lib/incus-backup-agent/.

  • 22. Audit-Log-Integrität

    • Datei: management/src/store.js:71
    • Append-only Constraint + Hash-Chain (jeder Event hat prev_hash). Optional Off-Site-Versand (Webhook).

  • 23. Passwort-Hashing auf argon2id umstellen

    • Datei: management/src/crypto.js
    • Aktuell: scryptSync mit Node-Defaults, ohne explizite Parameter.
    • Fix: @node-rs/argon2 oder explizite scrypt-Parameter dokumentieren + Migration-Pfad.

  • 24. Rate-Limit / Quoten für Backups

    • Pro VM und global (z.B. max N parallele Streams nach S3). Disk-Space-/Quota-Check vor Start.

  • 25. incus snapshot delete Retry verallgemeinern

    • Datei: backend/src/routes/backup.js:303
    • Aktuell: Substring-Match auf englische Stderr — bricht bei lokalisierten Builds.
    • Fix: Generischer Retry (n Versuche, Backoff) bei nicht-0 Exit-Code.

  • 26. Restic-ls streamen statt vollständig in RAM laden

    • Datei: backend/src/routes/snapshots.js:19
    • Für Container-Backups mit vielen Files relevant.

  • 27. Container-Restore implementieren oder Container-Backup deaktivieren

    • Datei: backend/src/routes/restore.js:21
    • Aktuell: 501. Backups laufen, aber nicht wiederherstellbar = Backup-Theater.
    • Fix: Sicheren zfs receive-Workflow umsetzen oder Container-Backup im UI/API ausschalten bis fertig.

  • 28. Pre-Backup VM-Zustand prüfen

    • Live-Migration, laufende interne Snapshots, fehlende Berechtigungen → klare Fehler statt halb durchgeführter Pipeline.

🟢 Niedrig / Aufräumen

  • 29. .DS_Store aus Repo entfernen und in .gitignore aufnehmen
  • 30. frontend/dist/ ist eingecheckt — ignorieren und löschen.
  • 31. incus-backup-ui-plan.md auf Secrets/Bucket-Namen prüfen bevor OSS.
  • 32. Container-Limit (Restore fehlt) prominent in README dokumentieren.
  • 33. Scheduler-Jitter einbauen (management/src/scheduler.js, backend/src/scheduler.js) — sonst belasten viele Nodes synchron S3.
  • 34. formatBytes deduplizieren (backend/src/routes/backup.js, restore.js) → executor.js oder utils.js.
  • 35. .env-Dateipermissions dokumentieren — chmod 600 im Deployment-Doc verlangen.
  • 36. Schema-Versionierung statt addColumnIfMissing — z.B. schema_version-Tabelle + nummerierte Migrationen.
  • 37. audit_events.details Größenlimit oder JSON-Spalte (SQLite hat JSON1).

📦 OSS-Release-Voraussetzungen

  • 38. Tests einführen — aktuell keinerlei Tests im Repo. Mindestens:
    • validators.js (vmName-/snapshot-Regex, Pfad-Validation).
    • crypto.js (hash/verify Roundtrip, Timing-Safe).
    • jobs.js (Locking, Trimming).
    • Pipeline-Smoke-Tests mit gemockten Befehlen.
  • 39. CI-Pipeline (GitHub Actions): Lint, Tests, npm audit, Lockfile-Check.
  • 40. SECURITY.md mit Disclosure-Adresse + GPG-Key.
  • 41. Threat-Model dokumentieren — explizit machen, was außerhalb des Schutzbereichs liegt (root-Agent, vertrauenswürdiges Netz, etc.).
  • 42. LICENSE-Datei ergänzen (z.B. MIT/Apache-2.0).
  • 43. CONTRIBUTING.md + Code-of-Conduct.
  • 44. Beispiel-compose.yaml oder Ansible-Rolle für reproduzierbares Deployment.

Top-5 Sofort-Patches (Vorschlag Reihenfolge)

  1. #1 Default-Passwort entfernen + #2 API_TOKEN Pflicht.
  2. #3 HTTPS-Pflicht für Agent-URL.
  3. #4 CORS-Whitelist + #9 Secure-Cookie.
  4. #5 Login-Rate-Limit.
  5. #6/#7 Restore- und Backup-Verifikation (größter Aufwand, größter Impact auf Datenintegrität).
Reference in New Issue View Git Blame Copy Permalink