*jSrSSKrSSKJr SSKJr SSKJrJrJ r SSK J r SSK J r SSKJrJr S rS \4S jr\"S S 9S \ 4Sj5rS\S \4SjrS\S \\4Sjrg)unAdatbázisban tárolt TITKOS értékek (pl. az SMTP-jelszó) szimmetrikus titkosítása. MIÉRT KELL? A rendszeradmin felületről beállítható SMTP-jelszót az adatbázisban (rendszer_beallitasok tábla) tároljuk. Ha ott nyers szövegként állna, egy adatbázis-mentés, egy elveszett dump vagy egy másik fejlesztő DB-hozzáférése azonnal felfedné. Ezért az érték TITKOSÍTVA kerül a DB-be, a visszafejtéséhez szükséges kulcs viszont NEM az adatbázisban, hanem a szerver környezetében (.env) él - a kettő együtt kell a titok megismeréséhez. HOGYAN MŰKÖDIK? - Algoritmus: Fernet (cryptography csomag) = AES-128-CBC + HMAC-SHA256, hitelesített titkosítás: ha valaki belenyúl a titkosított szövegbe, a visszafejtés hibát ad (nem ad hamis eredményt). - Kulcs-források (MultiFernet, ebben a sorrendben): 1. CONFIG_ENCRYPTION_KEY a .env-ből (OPCIONÁLIS, dedikált kulcs) - ezzel TITKOSÍTUNK, ha meg van adva, és ezt próbáljuk elsőként visszafejtéskor is. 2. A SECRET_KEY-ből HKDF-fel SZÁRMAZTATOTT kulcs - ez mindig rendelkezésre áll, így a funkció új .env-változó nélkül is működik (ezzel titkosítunk, ha nincs dedikált kulcs). A két kulcs egyszerre aktív visszafejtéskor, ezért ha utólag felveszik a CONFIG_ENCRYPTION_KEY-t, a korábban a származtatott kulccsal titkosított értékek továbbra is olvashatók maradnak (a következő mentéskor már az új kulccsal íródnak újra). - Fontos következmény: ha a SECRET_KEY-t megváltoztatják (és nincs dedikált kulcs), a mentett titkos értékek NEM fejthetők vissza többé - ilyenkor a visszafejt() None-t ad, és a rendszeradmin felület jelzi, hogy a jelszót újra be kell írni (az alkalmazás nem omlik össze). MIT NE TEGYÉL? - Ne naplózd/írd ki a visszafejtett értéket (print, hibaüzenet, sablon-kontextus). - Ne cseréld le a SECRET_KEY-t vagy a CONFIG_ENCRYPTION_KEY-t anélkül, hogy tudnád: a már titkosított értékeket újra be kell írni. Részletes leírás: docs/EMAIL_RENDSZER.md N) lru_cache)Optional)Fernet InvalidToken MultiFernet)hashes)HKDF) SECRET_KEYCONFIG_ENCRYPTION_KEYsemelog-config-encryption-v1returnc[[R"5SS[S9R [ R "S55n[R"U5$)u`A SECRET_KEY-ből HKDF-SHA256-tal előállít egy Fernet-kompatibilis (url-safe base64) kulcsot. N) algorithmlengthsaltinfoutf-8) r rSHA256 _HKDF_INFOderiver encodebase64urlsafe_b64encode)nyerss #/var/www/website/titkosito_utils.py_szarmaztatott_kulcsr2sK --/      fZ  w '(   # #E **)maxsizecD/n[=(d SR5nU(a*UR[UR S555 UR[[555 [U5$![ [ 4an[S5UeSnAff=f)uÖsszeállítja (és memóriában tartja) a kulcskészletet. Az ELSŐ kulccsal titkosítunk, visszafejtéskor mindegyiket sorban kipróbáljuk.ruA CONFIG_ENCRYPTION_KEY (.env) nem érvényes Fernet-kulcs. Generálj újat: python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"N) r stripappendrr ValueError TypeError RuntimeErrorrr)kulcsokdedikaltes r_fernetr*=sG%+224H  NN6(//'":; < NN6.012 w I& n  s)A>>B BBszovegcU(dg[5RURS55RS5$)uTitkosít egy szöveget; a visszatérési érték DB-ben tárolható (ASCII) karakterlánc. Üres bemenetre üres szöveget ad (nincs értelme az üres értéket titkosítani).r!rascii)r*encryptrdecode)r+s rtitkositr0Ss1  9  V]]73 4 ; ;G DDrtokencU(dg[5RURS55RS5$![[ [ 4a gf=f)uDVisszafejt egy, a titkosit()-tal készült szöveget. Visszatérés: - "" : üres bemenet esetén, - None : ha a visszafejtés nem sikerül (megváltozott kulcs, sérült/átírt adat) - a hívónak ezt kezelnie kell (pl. "írd be újra a jelszót" üzenettel), - str : a visszafejtett szöveg. r!r-rN)r*decryptrr/rr$ UnicodeError)r1s r visszafejtr5[sO y  g!67>>wGG *l 3s6AAA)__doc__r functoolsrtypingrcryptography.fernetrrrcryptography.hazmat.primitivesr'cryptography.hazmat.primitives.kdf.hkdfr configr r rbytesrr*strr0r5rrr@s@AA184 , +e+ 1   *ESESEchsmr