66 lines
2.2 KiB
Go
66 lines
2.2 KiB
Go
package crypto
|
|
|
|
import (
|
|
"crypto/rand"
|
|
"encoding/base64"
|
|
"errors"
|
|
"fmt"
|
|
"strings"
|
|
)
|
|
|
|
// TokenPrefix kennzeichnet Enrollment-Tokens.
|
|
const TokenPrefix = "sltn_enroll_"
|
|
|
|
// ErrInvalidToken: Der Token-String hat nicht das Format
|
|
// sltn_enroll_<secret>.<fingerprint>.
|
|
var ErrInvalidToken = errors.New("crypto: ungültiger Enrollment-Token")
|
|
|
|
// EnrollmentToken ist die Einladung für einen neuen Agenten.
|
|
//
|
|
// Secret (inkl. Präfix) ist der geheime Teil: Der Server speichert davon nur
|
|
// den Hash (store.AddEnrollmentToken), der Agent schickt es beim Enrollment.
|
|
// Fingerprint ist nicht geheim; er sagt dem Agenten, welches
|
|
// Server-Zertifikat er beim Erstkontakt erwarten muss.
|
|
type EnrollmentToken struct {
|
|
Secret string
|
|
Fingerprint Fingerprint
|
|
}
|
|
|
|
// String liefert die Form, die der Admin an den Agenten weitergibt.
|
|
func (t EnrollmentToken) String() string { return t.Secret + "." + string(t.Fingerprint) }
|
|
|
|
// NewEnrollmentToken erzeugt einen Token mit 256 Bit Zufall für den Server
|
|
// mit Fingerprint fp.
|
|
func NewEnrollmentToken(fp Fingerprint) (EnrollmentToken, error) {
|
|
if _, err := ParseFingerprint(string(fp)); err != nil {
|
|
return EnrollmentToken{}, err
|
|
}
|
|
var b [32]byte
|
|
if _, err := rand.Read(b[:]); err != nil {
|
|
return EnrollmentToken{}, err
|
|
}
|
|
return EnrollmentToken{Secret: TokenPrefix + base64.RawURLEncoding.EncodeToString(b[:]), Fingerprint: fp}, nil
|
|
}
|
|
|
|
// ParseEnrollmentToken zerlegt einen Token-String. Leerraum am Rand (beim
|
|
// Kopieren) wird ignoriert.
|
|
func ParseEnrollmentToken(s string) (EnrollmentToken, error) {
|
|
parts := strings.Split(strings.TrimSpace(s), ".")
|
|
if len(parts) != 2 {
|
|
return EnrollmentToken{}, fmt.Errorf("%w: erwartet %s<secret>.<fingerprint>", ErrInvalidToken, TokenPrefix)
|
|
}
|
|
secret, rawFP := parts[0], parts[1]
|
|
body, ok := strings.CutPrefix(secret, TokenPrefix)
|
|
if !ok {
|
|
return EnrollmentToken{}, fmt.Errorf("%w: Präfix %s fehlt", ErrInvalidToken, TokenPrefix)
|
|
}
|
|
if b, err := base64.RawURLEncoding.DecodeString(body); err != nil || len(b) != 32 {
|
|
return EnrollmentToken{}, fmt.Errorf("%w: Secret beschädigt", ErrInvalidToken)
|
|
}
|
|
fp, err := ParseFingerprint(rawFP)
|
|
if err != nil {
|
|
return EnrollmentToken{}, fmt.Errorf("%w: %w", ErrInvalidToken, err)
|
|
}
|
|
return EnrollmentToken{Secret: secret, Fingerprint: fp}, nil
|
|
}
|