PRISMA_FIELD_DECRYPTION_KEYS is never set, so the AES key cannot be rotated
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 3/5
- Tiempo estimado
- 1-2 días
- Aptitud para principiantes
- 57/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- helm, typescript
Línea de trabajo
Start with .helm/ctrl/templates/backend/deployment.yaml and cron.yaml, where PRISMA_FIELD_ENCRYPTION_KEY is currently set; then check how the application and prisma-field-encryption read environment variables. Configure retired decryption keys through PRISMA_FIELD_DECRYPTION_KEYS while preserving the current key setup. Done when both deployments can load the retired keys needed for gradual rotation and restoring backups.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
We have no way to hold more than one encryption key at a time. PRISMA_FIELD_ENCRYPTION_KEY is set in .helm/ctrl/templates/backend/deployment.yaml and cron.yaml, and that single key is all the app ever sees.
prisma-field-encryption does support more. It takes a current encryption key plus a list of retired decryption keys via PRISMA_FIELD_DECRYPTION_KEYS, and every encrypted value already carries a fingerprint of the key that wrote it, so reads can pick the right one per row. We just never configure the list.
Two things depend on that:
- Rotation. Changing the key means decrypting everything under the old one and re-encrypting under the new one. With only one key loaded, there's no window where both are available, so it can't be done gradually.
- Old backups. A backup stays tied to whichever key was current when it was taken. Restoring one and reading the encrypted columns needs that key, whether or not we've rotated since.
So retired keys would need to outlive the backups that depend on them, and right now there's no mechanism to load them even if we kept them somewhere.
- Lenguaje dominante
- TypeScript
- Estrellas
- 4
- Forks
- 0
- Merge medio
- 14 h 50 min
- PR fusionados (30 d)
- 5
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de Garvan-Data-Science-Platform/ctrl
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 82/100
-
admin-client backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Garvan-Data-Science-Platform/ctrl#970 · 1 comentario ·
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Todos los issues de Garvan-Data-Science-Platform/ctrl
Issues similares
-
bug engine
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
frostney/GocciaScript#1746 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 67/100
agilepathway/label-checker#739 · 4 comentarios ·
Los mantenedores suelen responder en 1 día
-
Wrong key location at startupAbierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 68/100
CopilotKit/OpenBot#800 ·
Los mantenedores suelen responder en 1 día
-
Endpoint links in the tag operations list are below the 24px target sizePosiblemente ocupada @AdzerKI la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 79/100
ehmpathy/rhachet-roles-bhuild#471 ·
Los mantenedores suelen responder en 1 día