- Verschifft
- 14. Oktober 2026 um 16:15 UTC
- Autor
- Kamo
- Ausschuss
- e58f1a9
Der ausgehende Webhook-Arbeiter POSTed zu welcher URL ein Abonnent gespeichert, aus dem Inneren des Clusters, ohne Egress-Kontrolle - ein Abonnement an ************ oder 169.254.169.254 bekam einen signierten POST auf jede Pipeline-Veranstaltung. Es gespeichert dann Ausnahmetext ("Verbindung verweigert", "Read timed out", TLS Detail) und die DTOs gab es zurück, was das Paar machte ein Orakel zum Mappen des Pod-Netzwerks. Das Unterzeichnungsgeheimnis saß im Klartext. Ziele (WebhookTargetGuard, schlichte Klasse): - Bei Speichern (Errichtung/Update): absolute https nur, keine Anmeldeinformationen, ein Hostname PublicHostGuard hält Öffentlichkeit (oder eine öffentliche IP-Wörter) und JEDEN Adresse Es beschließt, öffentlich routable. Fixed-Text IllegalArgumentException. - Vor jeder Lieferung: die Syntax Regeln wieder, dann löst der Client der Host einmal durch PinnedPublicDns, lässt nicht-öffentliche Adressen und sich nur mit den Überlebenden verbindet (kein Wiederverbinden-Fenster; SNI/cert-Prüfungen unverändert). Umleitungen werden nie befolgt, keine stille Route reprobiert, hart Termine verbinden/lese/rufen; die Antwortstelle wird nie gelesen. - Ein verworfenes Ziel wird aufgezeichnet und angebunden, nicht wieder geliefert. Ausfälle (WebhookFailureKategorie): nur INVALID_TARGET, BLOCKED_ADDRESS, CONNECT_FAILED, TIMEOUT, HTTP_3XX/4XX/5XX/5XX, SIGNING_FAILED oder OTHER sind gespeichert (der Statuscode bleibt in RESPONSE_STATUS). Beide DTOs sanitisieren auf Lesen, so dass der freie Text einer alten Reihe als ANDER zurückkommt ("HTTP 503" Karten zu HTTP_5XX). Detail geht nur an das Plattform-Log. Signieren Geheimnis (WebhookSigningSecrets): Nur als PlatformSecretCipher geschrieben ciphertext in der neuen Spalte SIGNING_SECRET_CIPHERTEXT; fehlschlägt geschlossen ohne Plattformschlüssel. Der Lesepfad akzeptiert immer noch das Vermächtnis Klartext-Kolumne bis ************ (wieder laufend, pro Zeile) verschlüsselt es und macht den Klartext zunichte. Ein gespeichertes Geheimnis die nicht entschlüsselt werden kann oder angewendet stoppt die Lieferung statt senden es unsigniert. Schema: Securityservice ************ die Spalte, schrubbt Legacy Fehlertext) - angewendet 2026-10-14 als Eigentümer.