Backup: не хранить расшифрованные секреты в модели предпросмотра

オープン
  • 何か問題がありますか？
#396 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
5/5
見積もり時間
1週間以上
初心者へのやさしさ
35/100
issue の種類
リファクタリング
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
csharp
領域
desktop, security

調査の方向性

Start by reading BackupArchive.Decrypt and SettingsViewModel._pendingBackup, then trace the preview, apply, cancel, and rollback flows. The issue names no test files, so locate the synthetic backup and restore tests and the benchmark entry point. Done means preview metadata contains no secret values, apply preserves restore and rollback behavior, and session buffers are released across the listed lifecycle paths.

索引モデルが issue の本文から書いたものです。

説明

Проблема

BackupArchive.Decrypt создаёт полный BackupData, включая строки UUID, паролей, приватных ключей и исходных конфигураций. SettingsViewModel._pendingBackup удерживает этот граф весь период предпросмотра, хотя интерфейсу для списка изменений нужны идентификаторы, имена и связи. CancelBackup снимает ссылку, но не обнуляет неизменяемые строки. Очистка основного plaintext-массива в Decrypt эти строки не очищает.

Решение

Ввести управляемую C#-сессию импорта с явным жизненным циклом. После проверки аутентичности строить только несекретные метаданные предпросмотра, не материализуя значения секретов в string. Полный BackupData создавать непосредственно перед применением и не сохранять в ViewModel после завершения операции.

Для сохранения сценария с однократным вводом пароля сессия может владеть зашифрованными байтами архива и производным ключом в отдельном очищаемом буфере; сам пароль не нужен после открытия. Это сокращает число и срок жизни plaintext-копий, но не защищает от атакующего с доступом к памяти процесса: ключ позволяет расшифровать архив. Не заявлять гарантированное стирание всех секретов или защиту от дампов.

Готово, когда

  • Предпросмотр сохраняет список добавлений/замен/удалений и переключение Merge/Replace, не возвращая значения секретов в свои DTO или ViewModel.
  • Неверный пароль и повреждённый архив отклоняются до показа предпросмотра; полная проверка содержимого завершается до любых изменений профилей, настроек и секретов.
  • Применение не требует повторного ввода пароля; сессия эксклюзивно владеет ключом и временными plaintext-буферами и очищает их при освобождении.
  • Отмена, выбор другого файла, уход с экрана, успешное применение и завершение приложения освобождают сессию; повторный Dispose безопасен. Поведение после ошибки применения явно определено и не теряет управление ресурсами.
  • Синтетические тесты проверяют жизненный цикл, отсутствие секретов в метаданных, очистку контролируемых буферов и сохранение семантики восстановления/rollback.
  • Бенчмарк показывает изменение аллокаций на предпросмотре отдельно от стоимости применения и повторной расшифровки; нет обещания выигрыша скорости без измерений.

Связано с #18, #344 и PR #375. Решение остаётся на C#, формат архива и сетевое поведение не меняются. Нативная библиотека и Rust/Zig не входят в задачу. Все тесты — BYDLO_SAFE_DEV=1, фейки; UI-проверки только с явным --mock.

主要言語
C#
スター
5
フォーク
1
平均マージ
30分
マージ済み PR（30日）
171

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

endercodezz/BYDLO のほかの issue

endercodezz/BYDLO の issue をすべて見る

似ている issue

C# の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。