Repository navigation
fix(security): ストア/ソケットを owner-only に、PASE 強化、CI・依存更新の締め付け - #25
Merged
Merged
Conversation
- renovate: minimumReleaseAge 7 日（strict）。Cargo.lock 再生成と脆弱性修正 PR は age 検査が効かない／公開直後の版になるため自動マージを止めて人がマージする - workflow: GITHUB_TOKEN を contents: read に明示、docs.yml の id-token は deploy ジョブだけへ。全 action を commit SHA に固定（版はコメントで併記） - Dockerfile / Taskfile / CI の cargo・cross に --locked Co-Authored-By: Claude Fable 5.2 <noreply@anthropic.com>
2026-11-10 のセキュリティ監査の指摘をまとめて修正する。
- store: KVS（root CA 秘密鍵・IPK）/ nodes.json / aliases.toml / lock を毎回 0600 で
書く（tmp は O_EXCL で作り直し）。mat / matv が新規に作る store dir は 0700。
既存 dir の mode は変えない
- matd: socket と lock を 0600 に。XDG_RUNTIME_DIR 不在時の /tmp/matd.sock
フォールバックを廃止（matd は --socket 必須のエラー、mat は候補なし = 直経路）。
リクエスト行は 1 MiB で打ち切り parse_error を返して切断
- mat commission: setup code を MAT_SETUP_CODE でも渡せるように。--help が
MAT_THREAD_DATASET の値を表示していた漏れを hide_env_values で塞ぐ
- mat-device: Pake2 送出後に確立へ至らなかった PASE を失敗と数え、20 回で
commissioning window を閉じる（窓ごとにカウンタ）
- PASE cA/cB・CASE Sigma1 destination id・IPK 照合を定数時間比較（subtle）に
BREAKING(api): mat_core::socket::default_socket_path{,_from} が Option<PathBuf> を
返し、default_socket_candidates{,_from} は XDG 不在で空 Vec を返す。
Co-Authored-By: Claude Fable 5.2 <noreply@anthropic.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
2026-11-10 のセキュリティ監査の指摘をまとめて修正する。
変更
XDG_RUNTIME_DIR不在時の/tmp/matd.sockフォールバックを廃止。リクエスト行は 1 MiB で打ち切りMAT_SETUP_CODEを追加。--helpがMAT_THREAD_DATASETの値を表示していた漏れを修正permissions明示、--locked破壊的変更
mat_core::socket::default_socket_path{,_from}がOption<PathBuf>を返す。default_socket_candidates{,_from}は XDG 不在で空VecXDG_RUNTIME_DIRが無い環境のmatdは--socket必須検証
task check合格🤖 Generated with Claude Code