zuevav
7ce4c2c79f
Реализация варианта B из аудита защиты знаний. Прямой garble всего bj-server ломает html/template (он обращается к полям структур по имени, garble их переименовывает). Решение — селективная обфускация: GOGARBLE обфусцирует ТОЛЬКО пакет с секретами, шаблоны и обработчики не затрагиваются. 95 SQL-запросов к DEPO/SPECTRE/QUIK и трансферным таблицам FTV_M2M вынесены из lkgateway в отдельный пакет internal/lkgateway/fsql как переменные (именно var, не const: const компилятор вставил бы обратно в необфусцируемый пакет, и шифрование бы не сработало — проверено). Сами обработчики, типы и параметры sql.Named остались на месте; пакет держит только строки запросов. build-release.sh собирает bj-server с `GOGARBLE=.../fsql garble -literals` (нужен отдельный SDK go1.26 — модуль-кэшный тулчейн garble не подходит); если garble/go1.26 не найдены — обычная сборка с предупреждением. Проверено на реальном garble-бинаре (запускается, /admin и страницы на структурах работают): рецепт чтения чужих систем из бинаря исчез — OD_RESTS 13→0, OD_WIRING 5→0, OD_TURNS 1→0, OD_BALANCES 3→0, D_B_CONTRACTS 1→0, OD_CLIENTS_PORTS 10→0, DepoLimits/MoneyLimits →0. Остаток FTV_M2M — упоминания имён таблиц в операторских embed-шаблонах и логах, не сам рецепт. Стенд собран обычной сборкой (без garble) — трассировки остаются читаемыми. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
scripts — служебные скрипты
setup-dev-vm.sh
Первичная подготовка dev-ВМ.
Поддерживаемые ОС:
- РЕД ОС 7.x — целевая прод-ОС.
- Ubuntu 22.04+ / Debian 12+ — бюджетная альтернатива для разработки и для компаний без лицензий на сертифицированные ОС.
- Astra Linux (deb-семейство) — поддерживается базовый сценарий.
- RHEL-совместимые (Rocky, Alma) — для разработки.
Что ставит:
- базовый dev-стек (git, make, jq, xmlstarlet и т. п.),
- Podman + podman-compose,
- Go 1.23,
- Liberica JDK 21 (BellSoft),
- Node.js 20 LTS,
- Claude Code CLI (
@anthropic-ai/claude-code).
Что готовит:
- пользователя
devс домашней директорией, без sudo по умолчанию, - рабочий каталог
/srv/dev, - bash-историю с timestamp для аудита,
/etc/profile.d/go.shдля PATH к Go.
Запуск:
sudo bash scripts/setup-dev-vm.sh
Тонкая настройка через переменные окружения — см. шапку скрипта.
Идемпотентен — повторный запуск ничего не ломает.
Что НЕ делает скрипт
Эти шаги — вручную, по мере получения артефактов:
- Установка КриптоПро CSP и КриптоПро JCP под целевую ОС.
- Установка дистрибутива Интеграционного шлюза НРД.
- Импорт тестовых сертификатов GUEST/TEST3 (ГОСТ + RSA).
- Настройка исходящего файрвола / прокси (whitelist для НРД, git.zetit.ru, npmjs, golang, anthropic).
Прод-ограничения
Скрипт удобен для разработки на любой из перечисленных ОС, но для прод-стенда в финансовом секторе требуется сертифицированная РЕД ОС или Astra SE + лицензированный КриптоПро КС1. Ubuntu/Debian/Rocky для прода финсектора не подходят.