zero-lab entfernt XMLDSig aus ti-pki; app-vzd-cli erhält add-base --from-cert

app-vzd-cli

Neuer Branch: origin/feature/add-base-from-cert (15 Commits)

• Neues Feature add-base --from-cert: Einträge werden direkt aus ENC-Zertifikaten erzeugt. Die Commits dazu: Ableitung des Basis-Eintrags aus dem ENC-Zertifikat-Subject, Zusammenbau des add_Directory_Entry-Requests aus ENC-Zertifikaten, Dokumentation.
• Zertifikate laden und prüfen:
  • Zertifikate werden aus DER, PEM und PKCS#12 geladen.
  • cert-info akzeptiert PKCS#12 und --passin.
  • professionOID wird auf entryType abgebildet, und der Zertifikatstyp ist in CertificateInfo sichtbar.
  • Zertifikatstyp und entryType werden vor dem add-cert-Upload lokal geprüft.
• Validierung und Mapping:
  • Basis-Einträge werden vor dem Upload gegen die Regeln aus gemILF_Pflege_VZD validiert.
  • ILF-Sektor-Mapping nach TelematikID mit Pflichtattributen.
  • Apotheken-Spezialisierungscodes werden über PharmacyTypeLDAPCS aufgelöst, das Code-System Region wird geladen.
• Weitere Änderungen:
  • Der Setter für Basis-Eintrag-Attribute wurde in die directory-lib verschoben.
  • Bekannte VZD-Serverfehler werden mit erlaubten Werten erläutert.
  • Review-Anpassungen: Verworfene Zertifikate werden gemeldet, entryType bleibt im pers-Extract erhalten, Prompt-Schleife und cert-info wurden angepasst.
  • Neue Regressionstests mit KV-Praxis-Testkartenzertifikaten.

gematik.github.io

Branch origin/master: 1 neuer Commit („created new html pages“), 2 Dateien geändert (+24/−24).

zero-lab

Branch origin/main: 59 neue Commits, 408 Dateien geändert (+18.826/−7.843). Gemergt wurden die Pull Requests #77 (feat/ti-cli-help-and-search) und #78 (feat/ti-xmldsig-removal).

• TSL mit detached Signatur (ti-pki, ti, ti-report, ti-wasm):
  • Die TSL wird mit detached Signatur und Signer-Status geladen (TSLDET-010, 020, 021).
  • Der veröffentlichte .ocsp dient als Signer-Status der TSL.
  • parse_verified_detached teilt die Teile B bis G mit dem Enveloped-Pfad.
  • Neu: pki tsl verify --signature und --signer-status.
  • Der Detached-Pfad erreicht die CLI, das Hash-Gate schlägt geschlossen fehl (fail closed).
  • Die TSL-Ansicht in ti-report und ti-wasm basiert auf der detached Signatur.
  • Neue Release Notes und Guides sowie Fuzz-Targets für Detached-Signatur, TSL-XML und OCSP-Responses.
  • Behoben: Ein GeneralizedTime mit Multibyte-Zeichen lässt den OCSP-Parser nicht mehr paniken.
  • XMLDSig wurde aus ti-pki entfernt (PR #78): Die TSL wird nur noch über die detached Signatur verifiziert.
• ti-cli:
  • -h entspricht --help; die Kurzhilfe erscheint nur ohne Subcommand. Die Kurzhilfe zeigt das Kommando, --help die gemeinsamen Optionen (TASK-150).
  • Neu: connector config show, test, new, edit, set und pin (TASK-136.1, 136.2). config test erlaubt http außerhalb der Produktionsumgebung, new fragt nach einem fehlgeschlagenen Test den Aufrufkontext erneut ab. Sonst gilt wieder nur https.
  • --card nimmt seinen Konnektor wie die Connector-Kommandos über -c/--connector-config.
  • Der Vertrauensbaum zeigt eine nach Ausstellung eines SMC-B-/HBA-Zertifikats abgelaufene CA als Warnung (TASK-153). Dazu kommt das Kompromissmodell für nonQES-Zertifikate von HBA und SMC-B in ti-pki.
  • Die AUT-Identität eines HBA wird wie die einer SMC-B in Hilfe, Guide und Tests behandelt (TASK-151).
  • Neu: Owner-Token einer Karten-Identität für die Search API beim ti directory login search (TASK-149).
  • Neu: Regeln für Agents, jede Fehlerart mit Exit-Code und das .kon-Format (TASK-148).
  • Keine SOCKS-Proxies; Proxy-Variablen erreichen den Konnektor nicht (TASK-55, TASK-163).
• Sicherheit:
  • ti-connector-client: Ein Aufruf geht nur an den Origin der .kon-URL, nicht an Ziele aus dem Service-Verzeichnis (TASK-160). Fuzz-Targets für das Service-Verzeichnis und die Konnektor-Antworten; ein Rewrite lässt keinen Endpoint außerhalb des .kon-Origins (TASK-47).
  • ti-pkcs12: Nur noch PBES2 mit pbkdf2, aes und cbc; pkcs5, scrypt und salsa20 entfallen (TASK-56). Neues Fuzz-Target für decode, befüllt aus spec/pkcs12 (TASK-46).
  • ti-xmldsig: Attribute werden vor dem Parser begrenzt (TASK-161).
  • Rust: Kein unsafe in den Abhängigkeiten der Cores außerhalb einer freigegebenen Liste, geprüft durch unsafe-audit (TASK-156). Dazu Aufnahme der initialen Ausnahmen.
• Abhängigkeiten:
  • crypto-bigint 0.7.10 und ctutils 0.4.6 (nach dem zurückgezogenen 0.7.6, TASK-155).
  • arc-swap durch einen std-Lock ersetzt, jiff bleibt, zwei XML-Parser mit dokumentierter Begründung (TASK-57, TASK-58).
  • ti-pki: Die ungenutzten reqwest- und tokio-Features wurden entfernt (TASK-122).
• Backlog:
  • HITL-Tests mit echtem Konnektor, HBA, RU und GEM.SMCB-CA9-Zertifikat für TASK-119, 136.1, 136.2, 149, 151, 153, 160 als erledigt markiert.
  • TASK-136 erledigt; migrate wechselt zu TASK-157 (geparkt). TASK-136.3 ist bis zum Secret-Management (TASK-104, decision-7) geparkt.
  • TASK-152 zurückgenommen.
  • ti-cli 0.6.0 übernimmt TASK-46, 156 und 122; TASK-39 und 7 wechseln heraus.

Auf einen Blick

• app-vzd-cli: Neuer Branch feature/add-base-from-cert mit 15 Commits für add-base --from-cert.
• zero-lab: 59 Commits auf main (408 Dateien, +18.826/−7.843); XMLDSig aus ti-pki entfernt, TSL-Verifikation nur noch über die detached Signatur (PR #78).
• zero-lab: Neue connector config-Kommandos in ti-cli (PR #77 u. a.) und mehrere Sicherheitsänderungen (Origin-Bindung der .kon-URL, PBES2-only in ti-pkcs12, unsafe-audit).
• gematik.github.io: 1 Commit (2 Dateien).