Backup: не хранить расшифрованные секреты в модели предпросмотра

Open
  • Is something wrong?
#396 0 comments 0 reactions 0 assignees View on GitHub

Maintainers usually reply within 1 day

Nobody has claimed this yet.

Assessment

Difficulty
5/5
Estimated time
Over a week
Newbie friendliness
35/100
Issue type
Refactor
Clarity
Clearly specified
Activity status
Active
Tech stack
csharp
Domain
desktop, security

Research direction

Start by reading BackupArchive.Decrypt and SettingsViewModel._pendingBackup, then trace the preview, apply, cancel, and rollback flows. The issue names no test files, so locate the synthetic backup and restore tests and the benchmark entry point. Done means preview metadata contains no secret values, apply preserves restore and rollback behavior, and session buffers are released across the listed lifecycle paths.

Written by the indexing model from the issue text.

Description

Проблема

BackupArchive.Decrypt создаёт полный BackupData, включая строки UUID, паролей, приватных ключей и исходных конфигураций. SettingsViewModel._pendingBackup удерживает этот граф весь период предпросмотра, хотя интерфейсу для списка изменений нужны идентификаторы, имена и связи. CancelBackup снимает ссылку, но не обнуляет неизменяемые строки. Очистка основного plaintext-массива в Decrypt эти строки не очищает.

Решение

Ввести управляемую C#-сессию импорта с явным жизненным циклом. После проверки аутентичности строить только несекретные метаданные предпросмотра, не материализуя значения секретов в string. Полный BackupData создавать непосредственно перед применением и не сохранять в ViewModel после завершения операции.

Для сохранения сценария с однократным вводом пароля сессия может владеть зашифрованными байтами архива и производным ключом в отдельном очищаемом буфере; сам пароль не нужен после открытия. Это сокращает число и срок жизни plaintext-копий, но не защищает от атакующего с доступом к памяти процесса: ключ позволяет расшифровать архив. Не заявлять гарантированное стирание всех секретов или защиту от дампов.

Готово, когда

  • Предпросмотр сохраняет список добавлений/замен/удалений и переключение Merge/Replace, не возвращая значения секретов в свои DTO или ViewModel.
  • Неверный пароль и повреждённый архив отклоняются до показа предпросмотра; полная проверка содержимого завершается до любых изменений профилей, настроек и секретов.
  • Применение не требует повторного ввода пароля; сессия эксклюзивно владеет ключом и временными plaintext-буферами и очищает их при освобождении.
  • Отмена, выбор другого файла, уход с экрана, успешное применение и завершение приложения освобождают сессию; повторный Dispose безопасен. Поведение после ошибки применения явно определено и не теряет управление ресурсами.
  • Синтетические тесты проверяют жизненный цикл, отсутствие секретов в метаданных, очистку контролируемых буферов и сохранение семантики восстановления/rollback.
  • Бенчмарк показывает изменение аллокаций на предпросмотре отдельно от стоимости применения и повторной расшифровки; нет обещания выигрыша скорости без измерений.

Связано с #18, #344 и PR #375. Решение остаётся на C#, формат архива и сетевое поведение не меняются. Нативная библиотека и Rust/Zig не входят в задачу. Все тесты — BYDLO_SAFE_DEV=1, фейки; UI-проверки только с явным --mock.

Dominant language
C#
Stars
5
Forks
1
Avg merge
30m
Merged PRs (30d)
171

Getting set up

This project ships no dev container, Dockerfile or contributing guide, so setting up is up to you: start from its README, and see our first-contribution guide for the general steps.

First steps

  1. Read the whole issue, then the project's contributing guide.
  2. Comment on the issue to say you are picking it up — it saves two people doing the same work.
  3. Fork the repository and make your change on a branch.
  4. Open a pull request that references the issue number.

More from endercodezz/BYDLO

All issues in endercodezz/BYDLO

Similar issues

More C# issues

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.