346 lines
18 KiB
PHP
346 lines
18 KiB
PHP
<?php
|
|
/**
|
|
* Passkeys (WebAuthn) für die Anmeldung der Mitarbeiter, ohne Fremdbibliothek: CBOR lesen, Registrierung und Anmeldung prüfen.
|
|
*
|
|
* Unterstützt: ES256 (ECDSA P-256) und RS256, Attestation „none“ (bei Passkeys üblich, die Herkunft des Geräts wird nicht geprüft).
|
|
* Verlangt wird immer Nutzerprüfung (Fingerabdruck, Gesicht oder PIN): Ein Passkey ersetzt deshalb Passwort und 2FA-Code.
|
|
* Relying-Party-ID und Origin kommen aus der eingestellten Website-URL (Einstellungen → Anzeigename & URL); Passkeys gelten nur dafür.
|
|
*/
|
|
|
|
/** Passkeys eingeschaltet? (Adminportal → Anmelde-Wächter) */
|
|
function webauthn_enabled(): bool
|
|
{
|
|
return get_setting('passkeys_enabled', '1') === '1';
|
|
}
|
|
|
|
function webauthn_b64u_encode(string $raw): string
|
|
{
|
|
return rtrim(strtr(base64_encode($raw), '+/', '-_'), '=');
|
|
}
|
|
|
|
function webauthn_b64u_decode(string $s): string
|
|
{
|
|
$s = strtr($s, '-_', '+/');
|
|
$pad = strlen($s) % 4;
|
|
if ($pad) $s .= str_repeat('=', 4 - $pad);
|
|
$r = base64_decode($s, true);
|
|
return $r === false ? '' : $r;
|
|
}
|
|
|
|
/** Minimaler CBOR-Leser (genug für Attestation-Objekt und COSE-Schlüssel). @return mixed */
|
|
function webauthn_cbor_decode(string $d, int &$o = 0, int $depth = 0)
|
|
{
|
|
if ($depth > 8 || $o >= strlen($d)) throw new RuntimeException('CBOR ungültig');
|
|
$b = ord($d[$o++]);
|
|
$major = $b >> 5;
|
|
$info = $b & 31;
|
|
if ($major === 7) {
|
|
if ($info === 20) return false;
|
|
if ($info === 21) return true;
|
|
if ($info === 22 || $info === 23) return null;
|
|
throw new RuntimeException('CBOR: nicht unterstützter Wert');
|
|
}
|
|
if ($info < 24) {
|
|
$n = $info;
|
|
} elseif ($info === 24) {
|
|
if ($o + 1 > strlen($d)) throw new RuntimeException('CBOR zu kurz');
|
|
$n = ord($d[$o++]);
|
|
} elseif ($info === 25) {
|
|
if ($o + 2 > strlen($d)) throw new RuntimeException('CBOR zu kurz');
|
|
$n = unpack('n', substr($d, $o, 2))[1]; $o += 2;
|
|
} elseif ($info === 26) {
|
|
if ($o + 4 > strlen($d)) throw new RuntimeException('CBOR zu kurz');
|
|
$n = unpack('N', substr($d, $o, 4))[1]; $o += 4;
|
|
} elseif ($info === 27) {
|
|
if ($o + 8 > strlen($d)) throw new RuntimeException('CBOR zu kurz');
|
|
$n = unpack('J', substr($d, $o, 8))[1]; $o += 8;
|
|
if ($n < 0) throw new RuntimeException('CBOR: Zahl zu groß');
|
|
} else {
|
|
throw new RuntimeException('CBOR: unbestimmte Länge nicht unterstützt');
|
|
}
|
|
switch ($major) {
|
|
case 0: return $n;
|
|
case 1: return -1 - $n;
|
|
case 2:
|
|
case 3:
|
|
if ($n > strlen($d) - $o) throw new RuntimeException('CBOR zu kurz');
|
|
$s = substr($d, $o, $n); $o += $n;
|
|
return $s;
|
|
case 4:
|
|
if ($n > 1000) throw new RuntimeException('CBOR: Liste zu lang');
|
|
$a = [];
|
|
for ($i = 0; $i < $n; $i++) $a[] = webauthn_cbor_decode($d, $o, $depth + 1);
|
|
return $a;
|
|
case 5:
|
|
if ($n > 1000) throw new RuntimeException('CBOR: Tabelle zu lang');
|
|
$m = [];
|
|
for ($i = 0; $i < $n; $i++) {
|
|
$k = webauthn_cbor_decode($d, $o, $depth + 1);
|
|
$m[is_int($k) ? $k : (string) $k] = webauthn_cbor_decode($d, $o, $depth + 1);
|
|
}
|
|
return $m;
|
|
case 6:
|
|
return webauthn_cbor_decode($d, $o, $depth + 1);
|
|
}
|
|
throw new RuntimeException('CBOR ungültig');
|
|
}
|
|
|
|
function webauthn_der_len(int $n): string
|
|
{
|
|
if ($n < 128) return chr($n);
|
|
$b = ltrim(pack('N', $n), "\0");
|
|
return chr(0x80 | strlen($b)) . $b;
|
|
}
|
|
|
|
function webauthn_der(int $tag, string $content): string
|
|
{
|
|
return chr($tag) . webauthn_der_len(strlen($content)) . $content;
|
|
}
|
|
|
|
function webauthn_der_int(string $raw): string
|
|
{
|
|
$raw = ltrim($raw, "\0");
|
|
if ($raw === '' || (ord($raw[0]) & 0x80)) $raw = "\0" . $raw;
|
|
return webauthn_der(0x02, $raw);
|
|
}
|
|
|
|
function webauthn_pem(string $der): string
|
|
{
|
|
return "-----BEGIN PUBLIC KEY-----\n" . chunk_split(base64_encode($der), 64, "\n") . "-----END PUBLIC KEY-----\n";
|
|
}
|
|
|
|
/** COSE-Schlüssel (ES256 oder RS256) in eine PEM-Datei für OpenSSL umwandeln. @return array{0:string,1:int} PEM und Algorithmus */
|
|
function webauthn_cose_to_pem(array $cose): array
|
|
{
|
|
$kty = $cose[1] ?? null;
|
|
$alg = $cose[3] ?? null;
|
|
if ($kty === 2 && $alg === -7 && ($cose[-1] ?? null) === 1 && strlen((string) ($cose[-2] ?? '')) === 32 && strlen((string) ($cose[-3] ?? '')) === 32) {
|
|
$spki = hex2bin('3059301306072a8648ce3d020106082a8648ce3d030107034200') . "\x04" . $cose[-2] . $cose[-3];
|
|
return [webauthn_pem($spki), -7];
|
|
}
|
|
if ($kty === 3 && $alg === -257 && is_string($cose[-1] ?? null) && is_string($cose[-2] ?? null) && strlen($cose[-1]) >= 128) {
|
|
$rsaKey = webauthn_der(0x30, webauthn_der_int($cose[-1]) . webauthn_der_int($cose[-2]));
|
|
$alg = hex2bin('300d06092a864886f70d0101010500');
|
|
$spki = webauthn_der(0x30, $alg . webauthn_der(0x03, "\0" . $rsaKey));
|
|
return [webauthn_pem($spki), -257];
|
|
}
|
|
throw new RuntimeException('Dieser Passkey-Typ wird nicht unterstützt (erlaubt: ES256, RS256).');
|
|
}
|
|
|
|
/**
|
|
* Relying Party: ['id' => Domain, 'origin' => Schema://Domain[:Port], 'secure' => bool, 'name' => Anzeigename].
|
|
* Grundlage ist die Website-URL (Einstellungen → Anzeigename & URL). Wird DeskHub unter einer Subdomain dieser Adresse aufgerufen
|
|
* (Website-URL https://beispiel.de, aufgerufen unter https://support.beispiel.de), gilt die Adresse, unter der die Seite gerade aufgerufen wird:
|
|
* Der Browser verlangt genau diese Domain. Fremde Domains werden ignoriert, dann gilt die Website-URL.
|
|
*/
|
|
function webauthn_rp(): array
|
|
{
|
|
$u = parse_url(base_url());
|
|
$siteHost = strtolower((string) ($u['host'] ?? ''));
|
|
$scheme = strtolower((string) ($u['scheme'] ?? 'https'));
|
|
$host = $siteHost;
|
|
$port = isset($u['port']) ? (int) $u['port'] : null;
|
|
// Mögliche Adressen, unter denen die Seite aufgerufen wird. Der Origin-Kopf stammt vom Browser (nicht fälschbar durch die Seite) und ist
|
|
// zuverlässig, auch wenn ein Reverse-Proxy den Host-Kopf verändert; X-Forwarded-Host zählt nur von einem vertrauenswürdigen Proxy.
|
|
$candidates = [];
|
|
$originHdr = trim((string) ($_SERVER['HTTP_ORIGIN'] ?? ''));
|
|
if ($originHdr !== '' && ($oh = parse_url($originHdr)) && !empty($oh['host'])) $candidates[] = strtolower((string) $oh['host']) . (isset($oh['port']) ? ':' . (int) $oh['port'] : '');
|
|
if (function_exists('request_from_trusted_proxy') && request_from_trusted_proxy() && !empty($_SERVER['HTTP_X_FORWARDED_HOST'])) {
|
|
$candidates[] = strtolower(trim(explode(',', (string) $_SERVER['HTTP_X_FORWARDED_HOST'])[0]));
|
|
}
|
|
$candidates[] = strtolower(trim((string) ($_SERVER['HTTP_HOST'] ?? '')));
|
|
foreach ($candidates as $req) {
|
|
if ($req === '' || !preg_match('/^([a-z0-9]([a-z0-9.-]*[a-z0-9])?)(?::(\d{1,5}))?$/', $req, $m)) continue;
|
|
$reqHost = $m[1];
|
|
if ($siteHost !== '' && ($reqHost === $siteHost || str_ends_with($reqHost, '.' . $siteHost))) {
|
|
$host = $reqHost;
|
|
$port = isset($m[3]) && $m[3] !== '' ? (int) $m[3] : null;
|
|
if ($port !== null && (($scheme === 'https' && $port === 443) || ($scheme === 'http' && $port === 80))) $port = null;
|
|
break;
|
|
}
|
|
}
|
|
$origin = $scheme . '://' . $host . ($port !== null ? ':' . $port : '');
|
|
$secure = $scheme === 'https' || $host === 'localhost';
|
|
return ['id' => $host, 'origin' => $origin, 'secure' => $secure, 'name' => (string) get_setting('display_name', config()['site']['name'] ?? 'DeskHub')];
|
|
}
|
|
|
|
/** Feste Kennung des Mitarbeiters im Passkey (keine Personendaten). */
|
|
function webauthn_user_handle(int $staffId): string
|
|
{
|
|
return hash_hmac('sha256', 'deskhub-passkey-user-' . $staffId, (string) (config()['app_key'] ?? 'deskhub'), true);
|
|
}
|
|
|
|
function webauthn_challenge_new(string $type, ?int $staffId = null): string
|
|
{
|
|
$c = random_bytes(32);
|
|
$_SESSION['webauthn_challenge'] = ['v' => webauthn_b64u_encode($c), 'type' => $type, 'exp' => time() + 300, 'staff' => $staffId];
|
|
return webauthn_b64u_encode($c);
|
|
}
|
|
|
|
/** Merkt die Challenge nur einmal: Ein zweiter Versuch mit derselben Challenge scheitert. */
|
|
function webauthn_challenge_take(string $type, ?int $staffId = null): ?string
|
|
{
|
|
$c = $_SESSION['webauthn_challenge'] ?? null;
|
|
unset($_SESSION['webauthn_challenge']);
|
|
if (!is_array($c) || ($c['type'] ?? '') !== $type || (int) ($c['exp'] ?? 0) < time()) return null;
|
|
if ($staffId !== null && (int) ($c['staff'] ?? 0) !== $staffId) return null;
|
|
return (string) $c['v'];
|
|
}
|
|
|
|
/** @return list<array<string,mixed>> */
|
|
function webauthn_staff_passkeys(PDO $pdo, int $staffId): array
|
|
{
|
|
try {
|
|
$s = $pdo->prepare('SELECT * FROM staff_passkeys WHERE staff_id = ? ORDER BY id');
|
|
$s->execute([$staffId]);
|
|
return $s->fetchAll();
|
|
} catch (Throwable $e) {
|
|
return [];
|
|
}
|
|
}
|
|
|
|
function webauthn_count_passkeys(PDO $pdo, int $staffId): int
|
|
{
|
|
return count(webauthn_staff_passkeys($pdo, $staffId));
|
|
}
|
|
|
|
/** Optionen für die Registrierung (navigator.credentials.create). */
|
|
function webauthn_creation_options(PDO $pdo, array $staff): array
|
|
{
|
|
$rp = webauthn_rp();
|
|
$exclude = [];
|
|
foreach (webauthn_staff_passkeys($pdo, (int) $staff['id']) as $k) $exclude[] = ['type' => 'public-key', 'id' => $k['credential_id']];
|
|
return [
|
|
'challenge' => webauthn_challenge_new('create', (int) $staff['id']),
|
|
'rp' => ['id' => $rp['id'], 'name' => $rp['name']],
|
|
'user' => ['id' => webauthn_b64u_encode(webauthn_user_handle((int) $staff['id'])), 'name' => (string) $staff['email'], 'displayName' => (string) $staff['name']],
|
|
'pubKeyCredParams' => [['type' => 'public-key', 'alg' => -7], ['type' => 'public-key', 'alg' => -257]],
|
|
'timeout' => 120000,
|
|
'attestation' => 'none',
|
|
'excludeCredentials' => $exclude,
|
|
'authenticatorSelection' => ['residentKey' => 'required', 'requireResidentKey' => true, 'userVerification' => 'required'],
|
|
];
|
|
}
|
|
|
|
/** Optionen für die Anmeldung ohne Eingabe der Adresse (navigator.credentials.get). */
|
|
function webauthn_request_options(): array
|
|
{
|
|
return [
|
|
'challenge' => webauthn_challenge_new('get'),
|
|
'rpId' => webauthn_rp()['id'],
|
|
'timeout' => 120000,
|
|
'userVerification' => 'required',
|
|
'allowCredentials' => [],
|
|
];
|
|
}
|
|
|
|
/** @return array{0:bool,1:string} gemeinsame Prüfung von clientDataJSON */
|
|
function webauthn_check_client_data(string $json, string $type, string $challenge): array
|
|
{
|
|
$cd = json_decode($json, true);
|
|
if (!is_array($cd)) return [false, 'Antwort des Geräts ist ungültig.'];
|
|
if (($cd['type'] ?? '') !== $type) return [false, 'Falscher Vorgang.'];
|
|
if (!hash_equals($challenge, (string) ($cd['challenge'] ?? ''))) return [false, 'Die Anfrage ist abgelaufen. Bitte noch einmal versuchen.'];
|
|
if (($cd['origin'] ?? '') !== webauthn_rp()['origin']) return [false, 'Die Adresse stimmt nicht mit der Website-URL aus den Einstellungen überein (' . webauthn_rp()['origin'] . ').'];
|
|
if (!empty($cd['crossOrigin'])) return [false, 'Eingebettete Seiten sind nicht erlaubt.'];
|
|
return [true, ''];
|
|
}
|
|
|
|
/**
|
|
* Registrierung abschließen. $cred = ['id' => …, 'response' => ['clientDataJSON' => b64u, 'attestationObject' => b64u]].
|
|
* @return array{ok:bool,error?:string,id?:int}
|
|
*/
|
|
function webauthn_register_finish(PDO $pdo, array $staff, array $cred, string $name): array
|
|
{
|
|
$challenge = webauthn_challenge_take('create', (int) $staff['id']);
|
|
if ($challenge === null) return ['ok' => false, 'error' => 'Die Anfrage ist abgelaufen. Bitte noch einmal versuchen.'];
|
|
try {
|
|
$clientData = webauthn_b64u_decode((string) ($cred['response']['clientDataJSON'] ?? ''));
|
|
[$ok, $err] = webauthn_check_client_data($clientData, 'webauthn.create', $challenge);
|
|
if (!$ok) return ['ok' => false, 'error' => $err];
|
|
$att = webauthn_cbor_decode(webauthn_b64u_decode((string) ($cred['response']['attestationObject'] ?? '')));
|
|
if (!is_array($att) || !is_string($att['authData'] ?? null)) return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
$ad = $att['authData'];
|
|
if (strlen($ad) < 55) return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
if (!hash_equals(hash('sha256', webauthn_rp()['id'], true), substr($ad, 0, 32))) return ['ok' => false, 'error' => 'Der Passkey gehört zu einer anderen Domain.'];
|
|
$flags = ord($ad[32]);
|
|
if (!($flags & 0x01)) return ['ok' => false, 'error' => 'Anwesenheit nicht bestätigt.'];
|
|
if (!($flags & 0x04)) return ['ok' => false, 'error' => 'Das Gerät hat Sie nicht geprüft (Fingerabdruck, Gesicht oder PIN nötig).'];
|
|
if (!($flags & 0x40)) return ['ok' => false, 'error' => 'Das Gerät hat keinen Schlüssel geliefert.'];
|
|
$signCount = unpack('N', substr($ad, 33, 4))[1];
|
|
$idLen = unpack('n', substr($ad, 53, 2))[1];
|
|
if ($idLen < 16 || $idLen > 1023 || strlen($ad) < 55 + $idLen) return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
$credId = substr($ad, 55, $idLen);
|
|
$o = 55 + $idLen;
|
|
$cose = webauthn_cbor_decode($ad, $o);
|
|
if (!is_array($cose)) return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
[$pem, $alg] = webauthn_cose_to_pem($cose);
|
|
if (!openssl_pkey_get_public($pem)) return ['ok' => false, 'error' => 'Der öffentliche Schlüssel ist ungültig.'];
|
|
$idText = webauthn_b64u_encode($credId);
|
|
if (hash_equals($idText, (string) ($cred['id'] ?? '')) === false) return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
$dup = $pdo->prepare('SELECT COUNT(*) FROM staff_passkeys WHERE credential_id = ?');
|
|
$dup->execute([$idText]);
|
|
if ((int) $dup->fetchColumn() > 0) return ['ok' => false, 'error' => 'Dieser Passkey ist schon registriert.'];
|
|
$name = trim(mb_substr($name, 0, 80));
|
|
if ($name === '') $name = 'Passkey ' . date('d.m.Y');
|
|
$pdo->prepare('INSERT INTO staff_passkeys (staff_id, credential_id, public_key, alg, sign_count, name, created_at) VALUES (?,?,?,?,?,?,?)')
|
|
->execute([(int) $staff['id'], $idText, $pem, $alg, $signCount, $name, db_now()]);
|
|
return ['ok' => true, 'id' => (int) $pdo->lastInsertId()];
|
|
} catch (Throwable $e) {
|
|
return ['ok' => false, 'error' => $e instanceof RuntimeException ? $e->getMessage() : 'Der Passkey konnte nicht geprüft werden.'];
|
|
}
|
|
}
|
|
|
|
/**
|
|
* Anmeldung prüfen. $cred = ['id', 'response' => ['clientDataJSON', 'authenticatorData', 'signature', 'userHandle']] (alles base64url).
|
|
* @return array{ok:bool,error?:string,staff?:array<string,mixed>,passkey?:array<string,mixed>}
|
|
*/
|
|
function webauthn_login_finish(PDO $pdo, array $cred): array
|
|
{
|
|
$challenge = webauthn_challenge_take('get');
|
|
if ($challenge === null) return ['ok' => false, 'error' => 'Die Anfrage ist abgelaufen. Bitte noch einmal versuchen.'];
|
|
try {
|
|
$st = $pdo->prepare('SELECT * FROM staff_passkeys WHERE credential_id = ?');
|
|
$st->execute([(string) ($cred['id'] ?? '')]);
|
|
$key = $st->fetch();
|
|
if (!$key) return ['ok' => false, 'error' => 'Dieser Passkey ist hier nicht registriert.'];
|
|
$clientData = webauthn_b64u_decode((string) ($cred['response']['clientDataJSON'] ?? ''));
|
|
[$ok, $err] = webauthn_check_client_data($clientData, 'webauthn.get', $challenge);
|
|
if (!$ok) return ['ok' => false, 'error' => $err];
|
|
$ad = webauthn_b64u_decode((string) ($cred['response']['authenticatorData'] ?? ''));
|
|
$sig = webauthn_b64u_decode((string) ($cred['response']['signature'] ?? ''));
|
|
if (strlen($ad) < 37 || $sig === '') return ['ok' => false, 'error' => 'Antwort des Geräts ist ungültig.'];
|
|
if (!hash_equals(hash('sha256', webauthn_rp()['id'], true), substr($ad, 0, 32))) return ['ok' => false, 'error' => 'Der Passkey gehört zu einer anderen Domain.'];
|
|
$flags = ord($ad[32]);
|
|
if (!($flags & 0x01) || !($flags & 0x04)) return ['ok' => false, 'error' => 'Das Gerät hat Sie nicht geprüft (Fingerabdruck, Gesicht oder PIN nötig).'];
|
|
$pub = openssl_pkey_get_public((string) $key['public_key']);
|
|
if (!$pub) return ['ok' => false, 'error' => 'Der gespeicherte Schlüssel ist ungültig.'];
|
|
$data = $ad . hash('sha256', $clientData, true);
|
|
if (openssl_verify($data, $sig, $pub, OPENSSL_ALGO_SHA256) !== 1) return ['ok' => false, 'error' => 'Die Signatur des Passkeys ist ungültig.'];
|
|
$handle = (string) ($cred['response']['userHandle'] ?? '');
|
|
if ($handle !== '' && !hash_equals(webauthn_b64u_encode(webauthn_user_handle((int) $key['staff_id'])), $handle)) {
|
|
return ['ok' => false, 'error' => 'Der Passkey gehört zu einem anderen Konto.'];
|
|
}
|
|
// Zähler gegen kopierte Passkeys: Er muss wachsen, wenn das Gerät überhaupt zählt
|
|
$count = unpack('N', substr($ad, 33, 4))[1];
|
|
$old = (int) $key['sign_count'];
|
|
if (($count !== 0 || $old !== 0) && $count <= $old) return ['ok' => false, 'error' => 'Der Passkey wurde möglicherweise kopiert und ist abgelehnt worden. Bitte einen Administrator informieren.'];
|
|
$sd = $pdo->prepare('SELECT * FROM staff WHERE id = ? AND is_active = 1');
|
|
$sd->execute([(int) $key['staff_id']]);
|
|
$staff = $sd->fetch();
|
|
if (!$staff) return ['ok' => false, 'error' => 'Das Konto ist nicht aktiv.'];
|
|
$pdo->prepare('UPDATE staff_passkeys SET sign_count = ?, last_used_at = ? WHERE id = ?')->execute([$count, db_now(), (int) $key['id']]);
|
|
return ['ok' => true, 'staff' => $staff, 'passkey' => $key];
|
|
} catch (Throwable $e) {
|
|
return ['ok' => false, 'error' => 'Der Passkey konnte nicht geprüft werden.'];
|
|
}
|
|
}
|
|
|
|
/** Alle Passkeys eines Mitarbeiters löschen. @return int Anzahl */
|
|
function webauthn_remove_all(PDO $pdo, int $staffId): int
|
|
{
|
|
$n = webauthn_count_passkeys($pdo, $staffId);
|
|
if ($n > 0) $pdo->prepare('DELETE FROM staff_passkeys WHERE staff_id = ?')->execute([$staffId]);
|
|
return $n;
|
|
}
|