BUG: API key agent stockée en clair dans agent-state.json #21

New issue

Closed

opened 2026-08-10 21:02:20 +02:00 by nonobis · 1 comment

nonobis commented

2026-08-10 21:02:20 +02:00

Owner

🎯 Contexte

L'API key de l'agent est persistée en clair dans agent-state.json (0600). Si le fichier est lu (root, backup, compromission du volume), la clé est exposée.

📚 Référence spec (MASTER_SPECIFICATION.md v2.0)

4.3 Sécurité : API Keys HMACSHA256 P0 ; secrets jamais en clair
Règle .opencode-local/heimdall-agent-pitfalls.md : « AgentState : API key jamais en clair sur disque (IDataProtector) »

🔍 État actuel (vérifié dans le code)

AgentState.Persist() écrit l'API key brute dans agent-state.json (permissions 0600). Le commentaire de code assume et recommande TPM/keystore en production.

🧩 À faire

Chiffrer l'API key au repos (IDataProtector ou clé machine)
Gérer la migration du fichier existant
Option : keystore/TPM documenté pour la prod

🧪 Critères d'acceptation

agent-state.json ne contient plus la clé en clair
L'agent fonctionne après redémarrage (déchiffrement OK)

📁 Fichiers concernés

src/Heimdall.Agent/Services/AgentState.cs, src/Heimdall.Agent/Program.cs

## 🎯 Contexte L'API key de l'agent est persistée **en clair** dans `agent-state.json` (0600). Si le fichier est lu (root, backup, compromission du volume), la clé est exposée. ## 📚 Référence spec (MASTER_SPECIFICATION.md v2.0) **4.3 Sécurité** : API Keys HMACSHA256 P0 ; secrets jamais en clair Règle `.opencode-local/heimdall-agent-pitfalls.md` : « AgentState : API key jamais en clair sur disque (IDataProtector) » ## 🔍 État actuel (vérifié dans le code) `AgentState.Persist()` écrit l'API key brute dans agent-state.json (permissions 0600). Le commentaire de code assume et recommande TPM/keystore en production. ## 🧩 À faire - [ ] Chiffrer l'API key au repos (IDataProtector ou clé machine) - [ ] Gérer la migration du fichier existant - [ ] Option : keystore/TPM documenté pour la prod ## 🧪 Critères d'acceptation - [ ] agent-state.json ne contient plus la clé en clair - [ ] L'agent fonctionne après redémarrage (déchiffrement OK) ## 📁 Fichiers concernés src/Heimdall.Agent/Services/AgentState.cs, src/Heimdall.Agent/Program.cs

nonobis added the

labels

2026-08-10 21:02:20 +02:00

nonobis referenced this issue from a commit

2026-08-14 13:58:27 +02:00

fix(agent): chiffre l'API key au repos (IDataProtector)

nonobis referenced this issue from a pull request that will close it,

2026-08-14 13:59:00 +02:00

fix(agent): chiffre l'API key au repos (IDataProtector) #116

nonobis commented

2026-08-14 13:59:20 +02:00

Author

Owner

Fix implémenté : PR #116 — chiffrement de l'API key au repos via IDataProtector (key ring {StateDirectory}/dp-keys, 0700), migration auto des fichiers legacy en clair, fail-fast si protector absent. Tests Agent 197/197 ✅. Échecs Infrastructure/Integration constatés en suite complète = préexistants sur main (fixture Testcontainers), vérifié sur baseline.

Fix implémenté : **PR #116** — chiffrement de l'API key au repos via IDataProtector (key ring `{StateDirectory}/dp-keys`, 0700), migration auto des fichiers legacy en clair, fail-fast si protector absent. Tests Agent 197/197 ✅. Échecs Infrastructure/Integration constatés en suite complète = préexistants sur main (fixture Testcontainers), vérifié sur baseline.

nonobis referenced this issue from a commit

2026-08-14 14:01:45 +02:00

fix(agent): chiffre l'API key au repos (IDataProtector) (#116)

nonobis closed this issue

2026-08-14 14:01:46 +02:00