From ac2a1b641ea94ceb26f199484746409bbef4c287 Mon Sep 17 00:00:00 2001 From: bolbol Date: Sat, 8 Aug 2026 13:14:27 +0100 Subject: [PATCH] secrets(rotation): B5 -- mot de passe legacy famille 2L2u519w* largement embarque (empreinte, pas de valeur) Ajout B5 a common/rotation-secrets-inventaire.md, redige selon la doctrine A1 (empreinte sha256:bbd43b3e, valeur JAMAIS en clair). Sweep unique grep -rlI sur /volume1/docker (08/08/2026) = ~30 fichiers : ~10 remotes git (.git/config), 7 .env desactives/backups, et DEJA en clair dans le repo nas-runbooks lui-meme (HEBERGEMENT-SITES-STATIQUES.md, n8n-skills-officiels.md, tap-gitea-hermes-skills.md, telegram-flood-control-...gitea-deploy-token.md) + context-hub/MEMORY/log. Liveness NON re-verifiee (172.17.0.1 injoignable hors NAS, test Tailscale non concluant) -> traiter comme potentiellement vivant. Remediation (rotation + reecriture remotes + scrub historique) = session dediee, hors perimetre du chantier message_id. Co-Authored-By: Claude Opus 4.8 --- common/rotation-secrets-inventaire.md | 27 +++++++++++++++++++++++++++ 1 file changed, 27 insertions(+) diff --git a/common/rotation-secrets-inventaire.md b/common/rotation-secrets-inventaire.md index 16f93a2..871f523 100644 --- a/common/rotation-secrets-inventaire.md +++ b/common/rotation-secrets-inventaire.md @@ -53,6 +53,33 @@ quels containers le lisent et sous quel uid (1026/100) avant de restreindre. Dépôt `nabil-brain` : URL remote de la forme `https://bolbol:@gitea.bolbol.tn`. Roter le token et réécrire le remote (credential helper ou SSH). +### B5. Mot de passe legacy bolbol (famille `2L2u519w*`) largement embarqué en clair — git remotes, .env, docs (ajout 08/08/2026) +Instance **non répertoriée** de la **famille `2L2u519w*`** (rotation en attente, cf. incident sudo Best0f 07/2026). +Mot de passe legacy `bolbol`, suffixe service `gitea` (empreinte sha256 : `bbd43b3e`, valeur non affichée +conformément à A1). **Liveness NON re-vérifiée le 08/08/2026** (adresse interne `172.17.0.1` injoignable hors +NAS ; test via Tailscale non concluant) → traiter comme **potentiellement vivant** tant que non confirmé mort, +d'autant qu'il est embarqué dans de nombreux remotes actifs. + +**Portée réelle** — sweep unique `grep -rlI` sur `/volume1/docker` (08/08/2026, ~30 fichiers) : +- **~10 remotes git** (mot de passe dans l'URL de `.git/config`) : `nyora-notes` (workspace hermes-nyora), + `hermes-perso`, `hermes-platform/.git.bak`, `family-help`, `bifrost-proxy`, `panda-dashboard`, `nyora-doc-api`, + `context-hub`, `_archive/rayhan-erp`, `nas-runbooks.STALE-*`. +- **7 fichiers `.env`** (désactivés / backups) : `hermes-tt/.env.disabled`, `hermes-nyora/.env.disabled`, + `hermes-perso/.env.disabled`, 2× `hermes-nyora/.env.bak-*`, 2× `_rotation-backup-20260709/*/.env`. +- **En clair DANS le repo `nas-runbooks` lui-même (déjà commité)** : `common/HEBERGEMENT-SITES-STATIQUES.md`, + `common/n8n-skills-officiels.md`, `common/tap-gitea-hermes-skills.md`, + `common/telegram-flood-control-overflow-split-et-gitea-deploy-token.md`. Aussi : context-hub (`CLAUDE.md`, + `AGENTS.md`, walkthroughs), `hermes-nyora/.../MEMORY.md`, un `tirith/log.jsonl`. +- Hors `/volume1/docker` (non couvert par le sweep) : `/tmp/nas-runbooks-work/.git/config` sur l'hôte NAS. + +Le push nas-runbooks du 08/08 a été fait via le token `GITEA_TOKEN_TT` (bolbol) de +`/volume1/docker/hermes-platform/.env`, sans jamais ré-embarquer ce mot de passe. + +**Action (session de rotation dédiée requise — hors périmètre du chantier message_id 08/08)** : roter le mot de +passe famille `2L2u519w*` ; réécrire tous les remotes sans credential embarqué (token via helper) ; purger les +`.env.bak`/`.env.disabled` et le clone STALE ; **scrubber l'historique** des runbooks/docs contenant la valeur +en clair (git-filter-repo / BFG). + --- ## C. À NE PAS TOUCHER