Add local host certificate authority MVP · d00b5fc

Add local host certificate authority MVP
Browse files

Xdev Host Manager committed 2 days ago

main

1 parent 64514cc

commit d00b5fc

Showing 5 changed files with 321 additions and 0 deletions

+35 -0

.doc/host-manager.md

@@ -28,9 +28,12 @@ Healthcheck-ul `/healthz` este disponibil doar pe backend-ul local (`127.0.0.1:8
 Endpoint-uri cu OTP:
 
 - `/api/hosts`
+- `/api/ca/status`
+- `/api/ca/certificates`
 - `/download/hosts.yaml`
 - `/download/local-hosts.tsv`
 - `/download/monitoring.json`
+- `/download/ca.crt`
 - `POST /api/hosts/upsert`
 - `POST /api/hosts/delete`
 - `POST /api/render/local-hosts-tsv`
@@ -117,6 +120,38 @@ servicii consumatoare
 
 Pentru etapa MVP, aplicația nu face commit/push automat. După o modificare, schimbarea rămâne vizibilă în working tree și se comite explicit după review. Automatizarea commit/push poate fi adăugată ulterior, dar numai cu cheie separată și reguli clare de semnare/audit.
 
+## Autoritate locală de certificate
+
+Host Manager include un helper OpenSSL pentru o autoritate locală de certificate pentru hosturi. Cheia privată CA nu este în git și nu este servită prin aplicație.
+
+Locația implicită:
+
+```text
+/usr/local/xdev-host-manager/var/ca
+```
+
+Inițializare CA, pe jumper:
+
+```bash
+cd /usr/local/xdev-host-manager
+sudo scripts/ca_manager.sh init
+```
+
+Semnare CSR pentru un host:
+
+```bash
+sudo scripts/ca_manager.sh sign-csr host-id /path/to/host.csr host.madagascar.xdev.ro host
+```
+
+Aplicația web, după OTP, poate afișa statusul CA, lista certificatelor emise și poate descărca certificatul public CA prin `/download/ca.crt`.
+
+Reguli:
+
+- Se semnează preferabil CSR-uri generate pe hosturi; cheia privată a hostului nu trebuie copiată în Host Manager.
+- CA private key rămâne local pe jumper și în afara git-ului.
+- Endpoint-urile CA sunt în spatele OTP-ului.
+- Automatizarea pentru emitere direct din UI se adaugă ulterior doar cu helper privilegiat și audit separat.
+
 ## Limitări MVP
 
 - Parserul YAML acceptă schema strictă generată de aplicație, nu YAML arbitrar.


+1 -0

.gitignore

View

	@@ -1,4 +1,5 @@
1	1	/backups/
	2	+/var/
2	3	*.log
3	4	*.tmp
4	5	*.temp

+7 -0

README.md

View

	@@ -8,6 +8,7 @@ This project lives on jumper and is the local source for:
8	8	- `config/local-hosts.tsv` - DNS manifest exported for local resolvers
9	9	- `scripts/host_manager.pl` - Perl-only web app
10	10	- `scripts/sync_local_hosts.sh` - local DNS sync to is-vpn-gw and as01
	11	+- `scripts/ca_manager.sh` - local OpenSSL CA helper for host certificates
11	12
12	13	The public `xdev.ro` zone is maintained in the separate DNS public-zone repository.
13	14
	@@ -20,3 +21,9 @@ Runtime path:
20	21	Secrets live outside git in `/etc/xdev/host-manager.env`.
21	22
22	23	The web UI is OTP-protected for all registry data, downloads, exports, and writes. Automation should consume this repository through git with dedicated read-only keys, not through unauthenticated HTTP.
	24	+
	25	+The local host CA stores private material outside git under `var/ca`. Initialize it on jumper with:
	26	+
	27	+```bash
	28	+sudo scripts/ca_manager.sh init
	29	+```

+211 -0

scripts/ca_manager.sh

View

+                    +#!/usr/bin/env bash
+                    +#
+                    +# ca_manager.sh - Local host certificate authority helper.
+                    +#
+                    +set -euo pipefail
+                    +CA_DIR="${HOST_MANAGER_CA_DIR:-/usr/local/xdev-host-manager/var/ca}"
+                    +OPENSSL="${OPENSSL:-openssl}"
+                    +DEFAULT_SUBJECT="/O=Xdev/OU=Madagascar/CN=Xdev Madagascar Local Host CA"
+                    +DEFAULT_DAYS=3650
+                    +HOST_CERT_DAYS=825
+                    +usage() {
+                    +    cat <<EOF
+                    +Usage:
+                    +  $0 init [subject]
+                    +  $0 status-json
+                    +  $0 list-json
+                    +  $0 export-ca
+                    +  $0 sign-csr name csr-file dns-name [dns-name...]
+                    +Notes:
+                    +  - Run init/sign-csr as root.
+                    +  - CA private key is stored outside git in \$HOST_MANAGER_CA_DIR/private.
+                    +  - The web app only reads status, issued cert metadata, and the public CA cert.
+                    +EOF
+                    +}
+                    +die() {
+                    +    printf '[ERROR] %s\n' "$*" >&2
+                    +    exit 1
+                    +}
+                    +need_openssl() {
+                    +    command -v "$OPENSSL" >/dev/null 2>&1 || die "openssl not found"
+                    +}
+                    +json_escape() {
+                    +    perl -Mstrict -Mwarnings -e '
+                    +        my $s = join("", <>);
+                    +        $s =~ s/\\/\\\\/g;
+                    +        $s =~ s/"/\\"/g;
+                    +        $s =~ s/\n/\\n/g;
+                    +        $s =~ s/\r/\\r/g;
+                    +        $s =~ s/\t/\\t/g;
+                    +        print qq{"$s"};
+                    +    ' <<< "${1:-}"
+                    +}
+                    +safe_name() {
+                    +    local name="${1:-}"
+                    +    [[ "$name" =~ ^[A-Za-z0-9_.-]+$ ]] || die "unsafe name: $name"
+                    +    printf '%s' "$name"
+                    +}
+                    +ca_cert="$CA_DIR/certs/ca.cert.pem"
+                    +ca_key="$CA_DIR/private/ca.key.pem"
+                    +serial_file="$CA_DIR/serial.srl"
+                    +init_ca() {
+                    +    need_openssl
+                    +    local subject="${1:-$DEFAULT_SUBJECT}"
+                    +    [[ ! -e "$ca_key" ]] || die "CA key already exists: $ca_key"
+                    +    install -d -m 0755 "$CA_DIR" "$CA_DIR/certs" "$CA_DIR/csr" "$CA_DIR/issued" "$CA_DIR/requests"
+                    +    install -d -m 0700 "$CA_DIR/private"
+                    +    "$OPENSSL" genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out "$ca_key"
+                    +    chmod 0600 "$ca_key"
+                    +    "$OPENSSL" req -new -x509 -days "$DEFAULT_DAYS" -sha256 \
+                    +        -key "$ca_key" \
+                    +        -out "$ca_cert" \
+                    +        -subj "$subject" \
+                    +        -addext "basicConstraints=critical,CA:TRUE,pathlen:0" \
+                    +        -addext "keyUsage=critical,keyCertSign,cRLSign" \
+                    +        -addext "subjectKeyIdentifier=hash"
+                    +    chmod 0644 "$ca_cert"
+                    +    chown -R root:host-manager "$CA_DIR" 2>/dev/null || true
+                    +    chown root:root "$ca_key" 2>/dev/null || true
+                    +    chmod 0600 "$ca_key"
+                    +}
+                    +cert_field() {
+                    +    local cert="$1"
+                    +    local field="$2"
+                    +    case "$field" in
+                    +        subject) "$OPENSSL" x509 -in "$cert" -noout -subject | sed 's/^subject=//' ;;
+                    +        issuer) "$OPENSSL" x509 -in "$cert" -noout -issuer | sed 's/^issuer=//' ;;
+                    +        not_before) "$OPENSSL" x509 -in "$cert" -noout -startdate | sed 's/^notBefore=//' ;;
+                    +        not_after) "$OPENSSL" x509 -in "$cert" -noout -enddate | sed 's/^notAfter=//' ;;
+                    +        fingerprint) "$OPENSSL" x509 -in "$cert" -noout -fingerprint -sha256 | sed 's/^sha256 Fingerprint=//' ;;
+                    +        serial) "$OPENSSL" x509 -in "$cert" -noout -serial | sed 's/^serial=//' ;;
+                    +        *) return 1 ;;
+                    +    esac
+                    +}
+                    +status_json() {
+                    +    need_openssl
+                    +    if [[ ! -f "$ca_cert" ]]; then
+                    +        printf '{"initialized":false,"ca_dir":'
+                    +        json_escape "$CA_DIR"
+                    +        printf ',"certificates":0}\n'
+                    +        return
+                    +    fi
+                    +    local count=0
+                    +    shopt -s nullglob
+                    +    local cert
+                    +    for cert in "$CA_DIR"/issued/*.cert.pem; do
+                    +        count=$((count + 1))
+                    +    done
+                    +    shopt -u nullglob
+                    +    printf '{"initialized":true'
+                    +    printf ',"ca_dir":'; json_escape "$CA_DIR"
+                    +    printf ',"subject":'; json_escape "$(cert_field "$ca_cert" subject)"
+                    +    printf ',"not_before":'; json_escape "$(cert_field "$ca_cert" not_before)"
+                    +    printf ',"not_after":'; json_escape "$(cert_field "$ca_cert" not_after)"
+                    +    printf ',"fingerprint_sha256":'; json_escape "$(cert_field "$ca_cert" fingerprint)"
+                    +    printf ',"certificates":%s' "$count"
+                    +    printf '}\n'
+                    +}
+                    +list_json() {
+                    +    need_openssl
+                    +    printf '['
+                    +    local first=1 cert name
+                    +    shopt -s nullglob
+                    +    for cert in "$CA_DIR"/issued/*.cert.pem; do
+                    +        name="$(basename "$cert" .cert.pem)"
+                    +        if [[ "$first" -eq 0 ]]; then
+                    +            printf ','
+                    +        fi
+                    +        first=0
+                    +        printf '{"name":'; json_escape "$name"
+                    +        printf ',"subject":'; json_escape "$(cert_field "$cert" subject)"
+                    +        printf ',"issuer":'; json_escape "$(cert_field "$cert" issuer)"
+                    +        printf ',"serial":'; json_escape "$(cert_field "$cert" serial)"
+                    +        printf ',"not_before":'; json_escape "$(cert_field "$cert" not_before)"
+                    +        printf ',"not_after":'; json_escape "$(cert_field "$cert" not_after)"
+                    +        printf ',"fingerprint_sha256":'; json_escape "$(cert_field "$cert" fingerprint)"
+                    +        printf '}'
+                    +    done
+                    +    shopt -u nullglob
+                    +    printf ']\n'
+                    +}
+                    +export_ca() {
+                    +    [[ -f "$ca_cert" ]] || die "CA is not initialized"
+                    +    cat "$ca_cert"
+                    +}
+                    +sign_csr() {
+                    +    need_openssl
+                    +    [[ -f "$ca_key" && -f "$ca_cert" ]] || die "CA is not initialized"
+                    +    local name csr days ext cert
+                    +    name="$(safe_name "${1:-}")"
+                    +    csr="${2:-}"
+                    +    shift 2 || true
+                    +    [[ -f "$csr" ]] || die "missing CSR file: $csr"
+                    +    [[ "$#" -ge 1 ]] || die "at least one DNS SAN is required"
+                    +    cert="$CA_DIR/issued/$name.cert.pem"
+                    +    [[ ! -e "$cert" ]] || die "certificate already exists: $cert"
+                    +    ext="$(mktemp)"
+                    +    {
+                    +        printf 'basicConstraints=critical,CA:FALSE\n'
+                    +        printf 'keyUsage=critical,digitalSignature,keyEncipherment\n'
+                    +        printf 'extendedKeyUsage=serverAuth,clientAuth\n'
+                    +        printf 'subjectAltName='
+                    +        local first=1 dns
+                    +        for dns in "$@"; do
+                    +            [[ "$dns" =~ ^[A-Za-z0-9_.-]+$ ]] || die "unsafe DNS SAN: $dns"
+                    +            if [[ "$first" -eq 0 ]]; then
+                    +                printf ','
+                    +            fi
+                    +            first=0
+                    +            printf 'DNS:%s' "$dns"
+                    +        done
+                    +        printf '\n'
+                    +    } > "$ext"
+                    +    cp "$csr" "$CA_DIR/csr/$name.csr.pem"
+                    +    "$OPENSSL" x509 -req -sha256 \
+                    +        -in "$csr" \
+                    +        -CA "$ca_cert" \
+                    +        -CAkey "$ca_key" \
+                    +        -CAserial "$serial_file" \
+                    +        -CAcreateserial \
+                    +        -days "$HOST_CERT_DAYS" \
+                    +        -extfile "$ext" \
+                    +        -out "$cert"
+                    +    rm -f "$ext"
+                    +    chmod 0644 "$cert" "$CA_DIR/csr/$name.csr.pem"
+                    +    chown root:host-manager "$cert" "$CA_DIR/csr/$name.csr.pem" 2>/dev/null || true
+                    +    printf '%s\n' "$cert"
+                    +}
+                    +cmd="${1:-}"
+                    +case "$cmd" in
+                    +    init) shift; init_ca "$@" ;;
+                    +    status-json) status_json ;;
+                    +    list-json) list_json ;;
+                    +    export-ca) export_ca ;;
+                    +    sign-csr) shift; sign_csr "$@" ;;
+                    +    -h|--help|help|'') usage ;;
+                    +    *) die "unknown command: $cmd" ;;
+                    +esac

+67 -0

scripts/host_manager.pl

View

	@@ -147,6 +147,15 @@ sub handle_client {
147	147	my $registry = load_registry();
148	148	return send_download($client, 200, json_encode(render_monitoring($registry)), 'application/json; charset=utf-8', 'monitoring-hosts.json');
149	149	}
	150	+ if ($method eq 'GET' && $path eq '/api/ca/status') {
	151	+ return send_json_raw($client, 200, ca_manager_json('status-json'));
	152	+ }
	153	+ if ($method eq 'GET' && $path eq '/api/ca/certificates') {
	154	+ return send_json_raw($client, 200, ca_manager_json('list-json'));
	155	+ }
	156	+ if ($method eq 'GET' && $path eq '/download/ca.crt') {
	157	+ return send_file($client, ca_cert_path(), 'application/x-pem-file; charset=utf-8', 'xdev-madagascar-host-ca.crt');
	158	+ }
150	159
151	160	if ($method eq 'POST' && $path =~ m{^/api/}) {
152	161	if ($path eq '/api/hosts/upsert') {
	@@ -318,6 +327,30 @@ sub render_monitoring {
318	327	};
319	328	}
320	329
	330	+sub ca_script_path {
	331	+ return "$project_dir/scripts/ca_manager.sh";
	332	+}
	333	+
	334	+sub ca_dir {
	335	+ return $ENV{HOST_MANAGER_CA_DIR} \|\| "$project_dir/var/ca";
	336	+}
	337	+
	338	+sub ca_cert_path {
	339	+ return ca_dir() . "/certs/ca.cert.pem";
	340	+}
	341	+
	342	+sub ca_manager_json {
	343	+ my ($command) = @_;
	344	+ my $script = ca_script_path();
	345	+ die "CA manager script is missing\n" unless -x $script;
	346	+ local $ENV{HOST_MANAGER_CA_DIR} = ca_dir();
	347	+ open my $fh, '-\|', $script, $command or die "Cannot run CA manager\n";
	348	+ local $/;
	349	+ my $out = <$fh>;
	350	+ close $fh or die "CA manager failed\n";
	351	+ return $out \|\| '{}';
	352	+}
	353	+
321	354	sub parse_hosts_yaml {
322	355	my ($text) = @_;
323	356	my %registry = (
	@@ -714,6 +747,11 @@ sub send_json {
714	747	return send_response($client, $status, json_encode($payload), 'application/json; charset=utf-8', $extra_headers);
715	748	}
716	749
	750	+sub send_json_raw {
	751	+ my ($client, $status, $json_body, $extra_headers) = @_;
	752	+ return send_response($client, $status, $json_body, 'application/json; charset=utf-8', $extra_headers);
	753	+}
	754	+
717	755	sub send_html {
718	756	my ($client, $status, $html) = @_;
719	757	return send_response($client, $status, $html, 'text/html; charset=utf-8');
	@@ -972,6 +1010,14 @@ sub app_html {
972	1010	<div class="problems" id="problems"></div>
973	1011	</section>
974	1012
	1013	+ <section class="panel">
	1014	+ <div class="panel-head">
	1015	+ <h2>Certificate Authority</h2>
	1016	+ <a class="linkbtn" href="/download/ca.crt">ca.crt</a>
	1017	+ </div>
	1018	+ <div class="problems" id="ca-status"></div>
	1019	+ </section>
	1020	+
975	1021	<section class="panel">
976	1022	<div class="panel-head">
977	1023	<h2>Hosts</h2>
	@@ -1054,6 +1100,7 @@ sub app_html {
1054	1100	state.hosts = data.hosts \|\| [];
1055	1101	state.problems = data.problems \|\| [];
1056	1102	render(data);
	1103	+ await renderCa();
1057	1104	}
1058	1105
1059	1106	function render(data) {
	@@ -1071,6 +1118,26 @@ sub app_html {
1071	1118	renderHosts();
1072	1119	}
1073	1120
	1121	+ async function renderCa() {
	1122	+ try {
	1123	+ const status = await api('/api/ca/status');
	1124	+ if (!status.initialized) {
	1125	+ $('ca-status').innerHTML = '<div class="problem"><strong>not initialized</strong> Run <code>sudo scripts/ca_manager.sh init</code> on jumper.</div>';
	1126	+ return;
	1127	+ }
	1128	+ const certs = await api('/api/ca/certificates');
	1129	+ $('ca-status').innerHTML = `
	1130	+ <div class="muted" style="display:grid;gap:6px">
	1131	+ <div><strong>${escapeHtml(status.subject \|\| '')}</strong></div>
	1132	+ <div>SHA256 ${escapeHtml(status.fingerprint_sha256 \|\| '')}</div>
	1133	+ <div>valid ${escapeHtml(status.not_before \|\| '')} - ${escapeHtml(status.not_after \|\| '')}</div>
	1134	+ <div>${certs.length} issued certificate(s)</div>
	1135	+ </div>`;
	1136	+ } catch (e) {
	1137	+ $('ca-status').innerHTML = `<div class="problem"><strong>CA status unavailable</strong> ${escapeHtml(e.message)}</div>`;
	1138	+ }
	1139	+ }
	1140	+
1074	1141	function renderHosts() {
1075	1142	const filter = $('filter').value.toLowerCase();
1076	1143	$('hosts').innerHTML = state.hosts

	@@ -28,9 +28,12 @@ Healthcheck-ul `/healthz` este disponibil doar pe backend-ul local (`127.0.0.1:8
28	28	Endpoint-uri cu OTP:
29	29
30	30	- `/api/hosts`
	31	+- `/api/ca/status`
	32	+- `/api/ca/certificates`
31	33	- `/download/hosts.yaml`
32	34	- `/download/local-hosts.tsv`
33	35	- `/download/monitoring.json`
	36	+- `/download/ca.crt`
34	37	- `POST /api/hosts/upsert`
35	38	- `POST /api/hosts/delete`
36	39	- `POST /api/render/local-hosts-tsv`
	@@ -117,6 +120,38 @@ servicii consumatoare
117	120
118	121	Pentru etapa MVP, aplicația nu face commit/push automat. După o modificare, schimbarea rămâne vizibilă în working tree și se comite explicit după review. Automatizarea commit/push poate fi adăugată ulterior, dar numai cu cheie separată și reguli clare de semnare/audit.
119	122
	123	+## Autoritate locală de certificate
	124	+
	125	+Host Manager include un helper OpenSSL pentru o autoritate locală de certificate pentru hosturi. Cheia privată CA nu este în git și nu este servită prin aplicație.
	126	+
	127	+Locația implicită:
	128	+
	129	+```text
	130	+/usr/local/xdev-host-manager/var/ca
	131	+```
	132	+
	133	+Inițializare CA, pe jumper:
	134	+
	135	+```bash
	136	+cd /usr/local/xdev-host-manager
	137	+sudo scripts/ca_manager.sh init
	138	+```
	139	+
	140	+Semnare CSR pentru un host:
	141	+
	142	+```bash
	143	+sudo scripts/ca_manager.sh sign-csr host-id /path/to/host.csr host.madagascar.xdev.ro host
	144	+```
	145	+
	146	+Aplicația web, după OTP, poate afișa statusul CA, lista certificatelor emise și poate descărca certificatul public CA prin `/download/ca.crt`.
	147	+
	148	+Reguli:
	149	+
	150	+- Se semnează preferabil CSR-uri generate pe hosturi; cheia privată a hostului nu trebuie copiată în Host Manager.
	151	+- CA private key rămâne local pe jumper și în afara git-ului.
	152	+- Endpoint-urile CA sunt în spatele OTP-ului.
	153	+- Automatizarea pentru emitere direct din UI se adaugă ulterior doar cu helper privilegiat și audit separat.
	154	+
120	155	## Limitări MVP
121	156
122	157	- Parserul YAML acceptă schema strictă generată de aplicație, nu YAML arbitrar.