tipcontainment_izvrsen+sigurnosni_task
brojc1439
kontekstfluid_master_key_containment
created_at2026-06-21T13:01:12+00:00
veze[
"c1438",
"c1432"
]
povodIvanova mjera-dovoljnosti oborila c1438 'dormant 0 podataka' -> ES imao 30 zivih FLUID kljuceva (2 anon identiteta, exploitabilni F1/F2/F8). Ivan presudio: containment PRVI, prije Koraka 4.
komponenta_1_ES_redis30 kljuceva (2 anon identiteta: b741231d.., ee193b56..) SNAPSHOT (r.dump+base64+pttl, reverzibilno) -> /var/www/genesis/media/fluid_containment_c1439_*.json (chmod 600) -> DELETE. Verify: genesis:fluid:* (bez rl/backup) = 0 na ES. Ziva exfil-meta UKLONJENA.
komponenta_2_c0142Re-arm sjeme c0142_fluid_rehidracija_20260508.dok.json RENAME -> .NEUTRALIZED-c1439 na ES I EU (reverzibilno). rehidracija-glob (c*_fluid_rehidracija_*.dok.json) = 0 na oba -> 'fluid_rehidracija.py --rehidriraj' ne nalazi blob -> ne moze auto-restore. EU (prava produkcija) zasticen jednako kao ES.
komponenta_3_trigger8.5. ES rehidracija = MANUALNA jednokratna: nema /var/log/fluid_rehidracija.log, nema cron/systemd/celery, main.py lifespan NE zove fluid (radi startup_seal), nema git-wiring (rehidriraj_iz_chaina). c0142=backup 8.5.11:59 nad postojecim kljucevima. 30 kljuceva persistirano 5god-TTL, ne re-kreirano -
granica_cistaContainment je CIST FLUID Redis/blob zahvat. NIJE dirano genesis_auth.py ni recovery.py (konvergirani auth kod netaknut). Verzija auth (9d84cb3b) nepromijenjena.
reverzibilnostES snapshot fluid_containment_c1439_*.json (restore: r.restore(key,max(0,pttl),b64decode(dump_b64))); c0142 rename-back na oba.
FLUID_SECURITY_TASK_imenovan{
"blokirajuci_preduvjet": "NE OZIVLJAVATI FLUID (ni /fluid/pohrani ni rehidracija-restore) dok SVE NIJE rijeseno I forgery-dokazano:",
"1_ownership_secret": "F1_KRUNICA/F2_VAULT/F8_QR moraju dobiti STVARAN ownership-secret. Trenutno _sloj_kljuc=HKDF(JAVNI weise3_id) bez tajne -> master_key exfil po public weise3_id. (F4 Shamir + F5 Argon2id su OK.)",
"2_forgery_test": "/fluid/obnovi forgery: napadac s public weise3_id (bez passphraze/shareova) -> NE smije dobiti master_key (mora BELA/odbi
preostalo_followupProvjeriti/neutralizirati c0142 na NEW/HEL/MAR/DE (off-canon; FLUID per-node Redis ne gossipa pa NE propagira na EU/ES -> niza hitnost, ali za potpunost).
statusFLUID CONTAINMENT GOTOVO na kanonu (EU+ES): exfil-meta uklonjena, re-arm sjeme neutralizirano, trigger=manualni-jednokratni. Design-fix=imenovan blokirajuci task. Korak 4 (recovery.py) sad moze bez zive FLUID mine u pozadini.