security: Add proper authentication, RBAC, and tenant isolation

- Add password hashing with bcrypt - Add AuthService with proper login - Add password strength validation - Add RBAC middleware (AdminOnly, ManagerOrAdmin) - Add tenant isolation middleware - Update CRM handler with tenant filtering - Add JWT fallback for development mode - Add user context helpers - Build successful
2026-08-10 12:52:48 +00:00
parent 8921fd1467
commit 78b57273e2
141 changed files with 29192 additions and 180 deletions
@@ -0,0 +1,200 @@
+# BOC Audit — 2026-08-04 22:07 UTC
+
+> **Utförare:** Bernt (AI-agent)
+> **Status:** ✅ Klar
+
+---
+
+## 🔴 KRITISKA PROBLEM (åtgärda omedelbart)
+
+### 1. ❌ HTTPS/TLS Saknas för BOC API
+**Risk:** All trafik skickas okrypterat över HTTP
+**Konsekvens:** Lösenord och tokens kan avlyssnas
+
+```bash
+# Nuvarande:
+HTTP :9096  ← ❌ Okrypterat
+
+# Bör vara:
+HTTPS :9096  ← ✅ Krypterat
+```
+
+**Åtgärd:** Konfigurera TLS/SSL-certifikat eller placera bakom reverse proxy (nginx/traefik)
+
+---
+
+## 🟡 HÖG PRIORITET (åtgärda denna vecka)
+
+### 2. ⚠️ CORS är för öppet
+**Risk:** Tillåter anrop från vilken domän som helst
+**Fil:** `backend/middleware/cors.go`
+
+```go
+// Nuvarande (för öppet):
+AllowOrigins: ["*"]
+
+// Bör vara:
+AllowOrigins: ["https://boc.aamos.com", "https://admin.landvex.com"]
+```
+
+### 3. ⚠️ Ingen Rate Limiting
+**Risk:** API kan överbelastas (DDoS/brute force)
+**Konsekvens:** Tjänsten blir otillgänglig
+
+**Åtgärd:** Lägg till rate limiting middleware:
+```go
+// Exempel:
+import "golang.org/x/time/rate"
+
+limiter := rate.NewLimiter(rate.Limit(100), 200) // 100 req/s, burst 200
+```
+
+### 4. ⚠️ Lösenord i miljövariabler (okrypterade)
+**Risk:** Lösenord syns i processlista och docker inspect
+**Fil:** `.env`, `docker-compose.yml`
+
+```bash
+# Nuvarande:
+DB_PASSWORD=boc_secret_2026  ← ❌ Synlig i plaintext
+
+# Bör vara:
+DB_PASSWORD=${DB_PASSWORD}   ← ✅ Hämtas från secrets manager
+```
+
+---
+
+## 🟢 MEDEL PRIORITET (åtgärda inom 2 veckor)
+
+### 5. 📊 Bristfällig Monitoring
+**Saknas:**
+- ❌ Ingen alerting vid fel
+- ❌ Ingen dashboard för realtidsmonitorering
+- ❌ Ingen loggaggregering (ELK/Loki)
+
+**Åtgärd:**
+```yaml
+# Lägg till i docker-compose:
+  prometheus:
+    image: prom/prometheus
+    volumes:
+      - ./prometheus.yml:/etc/prometheus/prometheus.yml
+  
+  grafana:
+    image: grafana/grafana
+    ports:
+      - "3000:3000"
+```
+
+### 6. 🗄️ Databas — Saknade Index
+**Risk:** Långsamma queries vid stor datamängd
+
+```sql
+-- Kolla query-prestanda:
+EXPLAIN ANALYZE SELECT * FROM boc_employees WHERE email = 'test@example.com';
+
+-- Lägg till index om de saknas:
+CREATE INDEX IF NOT EXISTS idx_employees_email ON boc_employees(email);
+CREATE INDEX IF NOT EXISTS idx_employees_tenant ON boc_employees(tenant_id);
+```
+
+### 7. 🔄 Ingen Database Connection Pooling
+**Risk:** Resursläckor vid hög belastning
+
+```go
+// Nuvarande (i db.go):
+db, err := sql.Open("postgres", dbURL)
+
+// Bör vara:
+db.SetMaxOpenConns(25)
+db.SetMaxIdleConns(10)
+db.SetConnMaxLifetime(5 * time.Minute)
+```
+
+### 8. 📝 Bristfällig API-dokumentation
+**Saknas i Swagger:**
+- ❌ Request/response exempel
+- ❌ Felkoder och beskrivningar
+- ❌ Paginering parametrar
+- ❌ Filtreringsparametrar
+
+---
+
+## 🔵 LÅG PRIORITET (åtgärda vid tillfälle)
+
+### 9. 🧪 Test-täckning
+**Nuvarande:** Endast unit-tester
+**Saknas:**
+- ❌ Integrationstester mellan tjänster
+- ❌ End-to-end tester
+- ❌ Load-tester
+- ❌ Chaos engineering-tester
+
+### 10. 🚀 Deployment
+**Saknas:**
+- ❌ Blue/green deployment
+- ❌ Canary releases
+- ❌ Automatiska rollback vid fel
+- ❌ Health checks före trafikväxling
+
+### 11. 🏗️ Kodstruktur
+**Förbättringar:**
+- ❌ Vissa handlers är för stora (>500 rader)
+- ❌ Saknas service layer separation
+- ❌ Vissa funktioner har för många parametrar
+
+---
+
+## ✅ VAD SOM ÄR BRA
+
+| Komponent | Status | Kommentar |
+|-----------|--------|-----------|
+| **Auth (RS256)** | ✅ | Korrekt implementerat |
+| **Strukturerad loggning** | ✅ | Zerolog med JSON |
+| **Metrics (Prometheus)** | ✅ | Request duration, count, active users |
+| **Health checks** | ✅ | Docker + HTTP |
+| **Docker containers** | ✅ | Isolerade och reproducerbara |
+| **Minnesanvändning** | ✅ | ~57MB totalt (mycket lågt) |
+| **Responstider** | ✅ | <1ms (mycket snabbt) |
+| **Databasindex** | ✅ | Finns på de flesta tabeller |
+| **Backup** | ✅ | Daglig backup via AAMOS Scheduler |
+| **Swagger UI** | ✅ | Tillgänglig på /docs |
+
+---
+
+## 📋 ÅTGÄRDSPLAN
+
+### Omedelbart (idag)
+- [ ] Konfigurera HTTPS/TLS
+- [ ] Begränsa CORS-origins
+
+### Denna vecka
+- [ ] Lägg till rate limiting
+- [ ] Flytta lösenord till secrets manager
+- [ ] Lägg till databas-index för email/tenant
+
+### Nästa vecka
+- [ ] Sätt upp Prometheus + Grafana
+- [ ] Konfigurera alerting
+- [ ] Förbättra Swagger-dokumentation
+
+### Nästa månad
+- [ ] Integrationstester
+- [ ] Load-tester
+- [ ] Blue/green deployment
+
+---
+
+## 📊 RISKMATRIS
+
+| Risk | Sannolikhet | Påverkan | Prioritet |
+|------|-------------|----------|-----------|
+| HTTP (okrypterat) | 🔴 Hög | 🔴 Kritisk | P0 |
+| Öppen CORS | 🟡 Medel | 🟡 Hög | P1 |
+| Ingen rate limiting | 🟡 Medel | 🟡 Hög | P1 |
+| Lösenord i plaintext | 🟡 Medel | 🟡 Hög | P1 |
+| Bristfällig monitoring | 🟢 Låg | 🟡 Hög | P2 |
+| Saknade DB-index | 🟢 Låg | 🟢 Medel | P2 |
+
+---
+
+**Sammanfattning:** BOC är funktionellt och stabilt, men har **kritiska säkerhetsbrister** som måste åtgärdas innan produktionssättning.