OpenNIT

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

-- ============================================================
-- Signatur-Geheimnis persönlicher Webhooks verschlüsselt ablegen
-- ============================================================
-- Der Wert lag als einziges Geheimnis der Anwendung im Klartext in der
-- Datenbank. Ein Datenbank-Abzug lieferte damit den Schlüssel, mit dem sich
-- Nutzlasten für die hinterlegte Zieladresse gültig signieren lassen.
--
-- Die Umstellung des Bestands geschieht in der Anwendung beim nächsten Zugriff:
-- Ein noch unverschlüsselter Wert wird gelesen, verschlüsselt zurückgeschrieben
-- und bleibt dabei gültig. Ein Datenumbau per SQL ist nicht möglich, da der
-- Schlüssel nur der Anwendung vorliegt.
--
-- Hier wird deshalb nur die Spaltenbreite für die verschlüsselte Form gesichert
-- (VARCHAR(255) fasst sie nicht) und die Beschreibung richtiggestellt.
-- Idempotent: MODIFY COLUMN ist zustandsunabhängig, kein Dateninhalt.

ALTER TABLE `user_webhooks`
    MODIFY COLUMN `secret` TEXT NULL COMMENT 'Optionales HMAC-SHA256-Secret, verschlüsselt (AES-256-GCM)';