209 lines
13 KiB
PHP
209 lines
13 KiB
PHP
<?php
|
|
declare(strict_types=1);
|
|
|
|
/**
|
|
* Prüft Passkeys (includes/webauthn.php) mit einem nachgebauten Authenticator (ES256 und RS256): Registrierung, Anmeldung und alle
|
|
* Ablehnungsfälle (falsche Challenge/Origin/Domain, fehlende Nutzerprüfung, falsche Signatur, Zähler, fremdes Konto, inaktives Konto),
|
|
* Entfernen durch den Mitarbeiter und durch Administratoren, „Das war ich nicht“.
|
|
* Nicht geprüft werden echte Geräte (Windows Hello, Handy, Sicherheitsschlüssel): Das Zusammenspiel mit dem Browser braucht einen Test von Hand.
|
|
*/
|
|
|
|
if (!extension_loaded('pdo_sqlite') || !extension_loaded('openssl')) { echo "Passkey-Test übersprungen: pdo_sqlite oder openssl fehlt.\n"; exit(0); }
|
|
|
|
putenv('DESKHUB_TESTING=1');
|
|
putenv('DESKHUB_SQLITE_PATH=:memory:');
|
|
require_once dirname(__DIR__) . '/includes/bootstrap.php';
|
|
require_once dirname(__DIR__) . '/includes/webauthn.php';
|
|
|
|
$failures = [];
|
|
$total = 0;
|
|
$check = function (bool $ok, string $what) use (&$failures, &$total): void {
|
|
$total++;
|
|
if (!$ok) $failures[] = $what;
|
|
};
|
|
|
|
$pdo = get_db();
|
|
set_setting('site_url', 'https://support.test');
|
|
$now = date('Y-m-d H:i:s');
|
|
$dept = (int) $pdo->query('SELECT id FROM departments ORDER BY id LIMIT 1')->fetchColumn();
|
|
$pdo->exec('DELETE FROM staff');
|
|
$ins = $pdo->prepare('INSERT INTO staff (name, email, password_hash, role, department_id, is_active, created_at) VALUES (?,?,?,?,?,1,?)');
|
|
$ins->execute(['Eva', 'eva@test.de', 'x', 'agent', $dept, $now]); $eva = (int) $pdo->lastInsertId();
|
|
$ins->execute(['Max', 'max@test.de', 'x', 'agent', $dept, $now]); $max = (int) $pdo->lastInsertId();
|
|
$staffRow = fn(int $id) => $pdo->query('SELECT * FROM staff WHERE id = ' . $id)->fetch();
|
|
|
|
require_once __DIR__ . '/fixtures/fake_authenticator.php';
|
|
$GLOBALS['fa_rp'] = 'support.test';
|
|
$GLOBALS['fa_origin'] = 'https://support.test';
|
|
$bin = fn(string $b) => "\0BIN" . $b;
|
|
|
|
$check(webauthn_cbor_decode(hex2bin('a201020326')) === [1 => 2, 3 => -7], 'CBOR-Leser liest eine COSE-Tabelle');
|
|
$m = webauthn_cbor_decode(t_cbor(['fmt' => 'none', 'n' => 300, 'neg' => -5, 'b' => $bin("\x01\x02")]));
|
|
$check($m['fmt'] === 'none' && $m['n'] === 300 && $m['neg'] === -5 && $m['b'] === "\x01\x02", 'CBOR: Text, Zahlen, negative Zahlen und Bytes werden gelesen');
|
|
$bad = false;
|
|
try { webauthn_cbor_decode("\x5f\x41"); } catch (Throwable $e) { $bad = true; }
|
|
$check($bad, 'CBOR: unbestimmte Länge und abgeschnittene Daten werden abgelehnt');
|
|
$check(webauthn_b64u_decode(webauthn_b64u_encode("\xfb\xff\x00abc")) === "\xfb\xff\x00abc", 'base64url hin und zurück');
|
|
|
|
$rp = webauthn_rp();
|
|
$check($rp['id'] === 'support.test' && $rp['origin'] === 'https://support.test' && $rp['secure'] === true, 'Relying Party stammt aus der Website-URL');
|
|
|
|
$register = function (FakeKey $k, int $sid, array $o = [], string $name = 'Laptop') use ($pdo, $staffRow): array {
|
|
$opt = webauthn_creation_options($pdo, $staffRow($sid));
|
|
return webauthn_register_finish($pdo, $staffRow($sid), t_register($k, $opt, $o), $name);
|
|
};
|
|
$login = function (FakeKey $k, int $sid, array $o = []) use ($pdo): array {
|
|
$opt = webauthn_request_options();
|
|
return webauthn_login_finish($pdo, t_login($k, $opt, $sid, $o));
|
|
};
|
|
|
|
// Subdomain: Wird DeskHub unter einer Subdomain der Website-URL aufgerufen, gilt diese Adresse (der Browser verlangt genau sie)
|
|
$oldHost = $_SERVER['HTTP_HOST'] ?? null;
|
|
set_setting('site_url', 'https://windelweb.org');
|
|
foreach ([
|
|
['support.windelweb.org', 'support.windelweb.org', 'https://support.windelweb.org'],
|
|
['SUPPORT.WindelWeb.org:8443', 'support.windelweb.org', 'https://support.windelweb.org:8443'],
|
|
['support.windelweb.org:443', 'support.windelweb.org', 'https://support.windelweb.org'],
|
|
['windelweb.org', 'windelweb.org', 'https://windelweb.org'],
|
|
['evil.example', 'windelweb.org', 'https://windelweb.org'],
|
|
['windelweb.org.evil.example', 'windelweb.org', 'https://windelweb.org'],
|
|
['evilwindelweb.org', 'windelweb.org', 'https://windelweb.org'],
|
|
['support.windelweb.org/../x', 'windelweb.org', 'https://windelweb.org'],
|
|
['', 'windelweb.org', 'https://windelweb.org'],
|
|
] as [$h, $id, $origin]) {
|
|
$_SERVER['HTTP_HOST'] = $h;
|
|
$r = webauthn_rp();
|
|
$check($r['id'] === $id && $r['origin'] === $origin, "Domain bei Host „{$h}“: {$r['id']} / {$r['origin']}");
|
|
}
|
|
// Reverse-Proxy verändert den Host-Kopf: der Origin-Kopf des Browsers entscheidet
|
|
$_SERVER['HTTP_HOST'] = 'deskhub-intern:8080';
|
|
$_SERVER['HTTP_ORIGIN'] = 'https://support.windelweb.org';
|
|
$r = webauthn_rp();
|
|
$check($r['id'] === 'support.windelweb.org' && $r['origin'] === 'https://support.windelweb.org', 'Origin-Kopf des Browsers gilt, wenn der Host-Kopf intern umgeschrieben wurde');
|
|
$_SERVER['HTTP_ORIGIN'] = 'https://evil.example';
|
|
$r = webauthn_rp();
|
|
$check($r['id'] === 'windelweb.org', 'Fremder Origin-Kopf wird ignoriert');
|
|
unset($_SERVER['HTTP_ORIGIN']);
|
|
if ($oldHost === null) unset($_SERVER['HTTP_HOST']); else $_SERVER['HTTP_HOST'] = $oldHost;
|
|
set_setting('site_url', 'https://support.test');
|
|
|
|
// ── Optionen ───────────────────────────────────────────────────────────────────
|
|
$opt = webauthn_creation_options($pdo, $staffRow($eva));
|
|
$check($opt['rp']['id'] === 'support.test' && $opt['authenticatorSelection']['userVerification'] === 'required' && $opt['authenticatorSelection']['residentKey'] === 'required', 'Registrierung verlangt Nutzerprüfung und einen auffindbaren Schlüssel');
|
|
$check(strlen(webauthn_b64u_decode($opt['challenge'])) === 32 && $opt['user']['id'] !== '' && $opt['user']['name'] === 'eva@test.de' && $opt['user']['displayName'] === 'Eva', 'Challenge hat 32 Bytes, die Benutzerkennung ist gesetzt');
|
|
$check(webauthn_user_handle($eva) !== webauthn_user_handle($max) && strlen(webauthn_user_handle($eva)) === 32, 'Benutzerkennungen sind je Mitarbeiter verschieden');
|
|
|
|
// ── Registrierung ──────────────────────────────────────────────────────────────
|
|
$ec = new FakeKey('ec');
|
|
$r = $register($ec, $eva);
|
|
$check(!empty($r['ok']), 'Registrierung mit ES256 klappt: ' . json_encode($r));
|
|
$check(webauthn_count_passkeys($pdo, $eva) === 1 && webauthn_count_passkeys($pdo, $max) === 0, 'Der Passkey gehört nur Eva');
|
|
$row = webauthn_staff_passkeys($pdo, $eva)[0];
|
|
$check($row['name'] === 'Laptop' && (int) $row['alg'] === -7 && str_contains($row['public_key'], 'BEGIN PUBLIC KEY'), 'Name, Algorithmus und Schlüssel sind gespeichert');
|
|
$r = $register($ec, $max);
|
|
$check(empty($r['ok']) && str_contains((string) $r['error'], 'schon registriert'), 'Derselbe Passkey lässt sich nicht für ein zweites Konto eintragen');
|
|
foreach ([
|
|
'falsche Challenge' => ['challenge' => webauthn_b64u_encode(random_bytes(32))],
|
|
'falscher Origin' => ['origin' => 'https://evil.test'],
|
|
'falsche Domain im Passkey' => ['rpId' => 'evil.test'],
|
|
'ohne Nutzerprüfung' => ['flags' => 0x41],
|
|
'ohne Anwesenheit' => ['flags' => 0x44],
|
|
'falscher Vorgang' => ['type' => 'webauthn.get'],
|
|
] as $label => $o) {
|
|
$k = new FakeKey('ec');
|
|
$r = $register($k, $max, $o);
|
|
$check(empty($r['ok']), 'Registrierung abgelehnt: ' . $label);
|
|
}
|
|
$check(webauthn_count_passkeys($pdo, $max) === 0, 'Abgelehnte Registrierungen hinterlassen nichts');
|
|
// Challenge nur einmal verwendbar
|
|
$opt = webauthn_creation_options($pdo, $staffRow($max));
|
|
$k = new FakeKey('ec');
|
|
$cred = t_register($k, $opt);
|
|
$first = webauthn_register_finish($pdo, $staffRow($max), $cred, 'Handy');
|
|
$k2 = new FakeKey('ec');
|
|
$second = webauthn_register_finish($pdo, $staffRow($max), t_register($k2, $opt), 'Zweit');
|
|
$check(!empty($first['ok']) && empty($second['ok']), 'Eine Challenge gilt nur für einen Versuch');
|
|
$opt = webauthn_creation_options($pdo, $staffRow($eva));
|
|
$check(count($opt['excludeCredentials']) === 1, 'Schon eingetragene Passkeys werden beim Registrieren ausgeschlossen');
|
|
// Challenge eines anderen Mitarbeiters
|
|
$opt = webauthn_creation_options($pdo, $staffRow($eva));
|
|
$r = webauthn_register_finish($pdo, $staffRow($max), t_register(new FakeKey('ec'), $opt), 'Fremd');
|
|
$check(empty($r['ok']), 'Challenge eines anderen Mitarbeiters wird nicht angenommen');
|
|
$_SESSION['webauthn_challenge'] = ['v' => 'x', 'type' => 'create', 'exp' => time() - 1, 'staff' => $eva];
|
|
$check(webauthn_challenge_take('create', $eva) === null, 'Abgelaufene Challenge wird abgelehnt');
|
|
|
|
// ── Anmeldung ──────────────────────────────────────────────────────────────────
|
|
$r = $login($ec, $eva);
|
|
$check(!empty($r['ok']) && (int) $r['staff']['id'] === $eva, 'Anmeldung mit ES256 klappt und liefert das richtige Konto: ' . json_encode($r['error'] ?? ''));
|
|
$check(webauthn_staff_passkeys($pdo, $eva)[0]['last_used_at'] !== null && (int) webauthn_staff_passkeys($pdo, $eva)[0]['sign_count'] === 1, 'Zähler und „zuletzt benutzt“ werden gespeichert');
|
|
$r = $login($ec, $eva, ['count' => 1]);
|
|
$check(empty($r['ok']) && str_contains((string) $r['error'], 'kopiert'), 'Zähler, der nicht wächst, wird als Kopie abgelehnt');
|
|
$r = $login($ec, $eva);
|
|
$check(!empty($r['ok']), 'Danach klappt es mit wachsendem Zähler wieder');
|
|
$login($ec, $eva, ['count' => 50]);
|
|
foreach ([
|
|
'falsche Challenge' => ['challenge' => webauthn_b64u_encode(random_bytes(32))],
|
|
'falscher Origin' => ['origin' => 'https://evil.test'],
|
|
'falsche Domain' => ['rpId' => 'evil.test'],
|
|
'ohne Nutzerprüfung' => ['flags' => 0x01],
|
|
'fremde Signatur' => ['signWith' => (new FakeKey('ec'))->res],
|
|
'fremde Benutzerkennung' => ['userHandle' => webauthn_b64u_encode(webauthn_user_handle($max))],
|
|
'falscher Vorgang' => ['type' => 'webauthn.create'],
|
|
] as $label => $o) {
|
|
$r = $login($ec, $eva, $o + ['count' => (int) $ec->count + 5]);
|
|
$check(empty($r['ok']), 'Anmeldung abgelehnt: ' . $label);
|
|
}
|
|
$r = $login(new FakeKey('ec'), $eva);
|
|
$check(empty($r['ok']), 'Unbekannter Passkey wird abgelehnt');
|
|
$opt = webauthn_request_options();
|
|
$cred = t_login($ec, $opt, $eva, ['count' => 200]);
|
|
$r1 = webauthn_login_finish($pdo, $cred);
|
|
$r2 = webauthn_login_finish($pdo, $cred);
|
|
$check(!empty($r1['ok']) && empty($r2['ok']), 'Dieselbe Antwort lässt sich nicht noch einmal verwenden');
|
|
|
|
// RS256
|
|
$rsa = new FakeKey('rsa');
|
|
$r = $register($rsa, $max, [], 'Sicherheitsschlüssel');
|
|
$check(!empty($r['ok']), 'Registrierung mit RS256 klappt: ' . json_encode($r));
|
|
$r = $login($rsa, $max);
|
|
$check(!empty($r['ok']) && (int) $r['staff']['id'] === $max, 'Anmeldung mit RS256 klappt');
|
|
// Zähler 0 bei Geräten ohne Zähler (Sicherheitsschlüssel/iCloud): bleibt erlaubt
|
|
$zero = new FakeKey('ec');
|
|
$register($zero, $max, [], 'Ohne Zähler');
|
|
$r = $login($zero, $max, ['count' => 0]);
|
|
$r2 = $login($zero, $max, ['count' => 0]);
|
|
$check(!empty($r['ok']) && !empty($r2['ok']), 'Geräte, die immer 0 melden, bleiben anmeldbar');
|
|
|
|
// Inaktives Konto
|
|
$pdo->prepare('UPDATE staff SET is_active = 0 WHERE id = ?')->execute([$max]);
|
|
$r = $login($rsa, $max);
|
|
$check(empty($r['ok']), 'Ein deaktiviertes Konto kann sich nicht mit Passkey anmelden');
|
|
$pdo->prepare('UPDATE staff SET is_active = 1 WHERE id = ?')->execute([$max]);
|
|
|
|
// Nicht unterstützter Schlüssel
|
|
$bad = false;
|
|
try { webauthn_cose_to_pem([1 => 1, 3 => -8]); } catch (Throwable $e) { $bad = true; }
|
|
$check($bad, 'Nicht unterstützte Schlüsselarten werden abgelehnt');
|
|
|
|
// ── Entfernen ──────────────────────────────────────────────────────────────────
|
|
$n = webauthn_remove_all($pdo, $max);
|
|
$check($n === 3 && webauthn_count_passkeys($pdo, $max) === 0 && webauthn_count_passkeys($pdo, $eva) === 1, 'Administrator-Entfernen löscht alle Passkeys des Mitarbeiters und nur seine');
|
|
$r = $login($rsa, $max);
|
|
$check(empty($r['ok']), 'Nach dem Entfernen ist die Anmeldung mit diesem Passkey nicht mehr möglich');
|
|
$check(webauthn_remove_all($pdo, $max) === 0, 'Nochmaliges Entfernen ohne Passkeys ist harmlos');
|
|
|
|
// „Das war ich nicht“ entfernt Passkeys ebenfalls
|
|
$pdo->prepare('INSERT INTO login_events (event, staff_id, email, channel, ip, device, place, created_at, token_hash, token_used) VALUES (?,?,?,?,?,?,?,?,?,0)')
|
|
->execute(['new_device', $eva, 'eva@test.de', 'web', '203.0.113.5', 'Test', 'Testort', $now, hash('sha256', 'x')]);
|
|
$evt = $pdo->query('SELECT * FROM login_events ORDER BY id DESC LIMIT 1')->fetch();
|
|
login_guard_revoke($pdo, $evt);
|
|
$check(webauthn_count_passkeys($pdo, $eva) === 0, '„Das war ich nicht“ entfernt auch die Passkeys');
|
|
|
|
// Protokoll-Beschriftungen
|
|
$labels = login_guard_event_labels();
|
|
$check(isset($labels['passkey_added'], $labels['passkey_removed']), 'Protokoll kennt „Passkey hinzugefügt/entfernt“');
|
|
|
|
echo $failures ? "FEHLGESCHLAGEN:\n - " . implode("\n - ", $failures) . "\n" : '';
|
|
echo "Passkey-Test: " . ($total - count($failures)) . " von {$total} Prüfungen in Ordnung.\n";
|
|
exit($failures ? 1 : 0);
|