fix(core): use monocypher lib for password hashing

Author: maksimkurb

.gitmodules

@@ -16,3 +16,6 @@
 [submodule "third_party/rapidxml"]
 	path = third_party/rapidxml
 	url = https://salsa.debian.org/debian/rapidxml.git
+[submodule "third_party/monocypher"]
+	path = third_party/monocypher
+	url = https://github.com/LoupVaillant/Monocypher.git

CMakeLists.txt

@@ -41,7 +41,7 @@ if(NOT KEEN_PBR_RELEASE MATCHES "^[0-9]+$")
   message(FATAL_ERROR "KEEN_PBR_RELEASE must contain only digits")
 endif()
 
-project(keen-pbr VERSION ${KEEN_PBR_VERSION} LANGUAGES CXX)
+project(keen-pbr VERSION ${KEEN_PBR_VERSION} LANGUAGES C CXX)
 
 include(GNUInstallDirs)
 
@@ -214,6 +214,15 @@ set(FMT_FUZZ OFF CACHE INTERNAL "")
 set(FMT_CUDA_TEST OFF CACHE INTERNAL "")
 add_subdirectory(third_party/fmt)
 
+# Monocypher (pinned git submodule, compiled into the final executable)
+add_library(monocypher STATIC third_party/monocypher/src/monocypher.c)
+target_include_directories(monocypher PUBLIC third_party/monocypher/src)
+set_target_properties(monocypher PROPERTIES
+  C_STANDARD 99
+  C_STANDARD_REQUIRED YES
+  C_EXTENSIONS NO
+)
+
 # cpp-httplib (bundled as git submodule, only if WITH_API — no TLS needed)
 if(WITH_API)
   set(HTTPLIB_USE_OPENSSL_IF_AVAILABLE OFF CACHE INTERNAL "")
@@ -391,6 +400,7 @@ target_link_libraries(keen-pbr PRIVATE
   Threads::Threads
   fmt::fmt-header-only
   keen_pbr_libunwind
+  monocypher
   nlohmann_json::nlohmann_json
 )
 keen_pbr_apply_project_options(keen-pbr)

build_scripts/generate_api_types.sh

@@ -19,6 +19,11 @@ process.stdin.on('end', () => {
   const spec = JSON.parse(d);
   const schemas = spec.components.schemas;
 
+  // password_hash is daemon-internal configuration state. Keep it out of the
+  // public OpenAPI contract (and therefore out of browser-generated models),
+  // while retaining it in the C++ configuration representation.
+  schemas.AuthenticationConfig.properties.password_hash = { type: 'string' };
+
   // Remove OpenAPI-specific extensions that QuickType does not understand
   function clean(obj) {
     if (typeof obj !== 'object' || obj === null) return;

docs/content/docs/rest-api.md

@@ -21,7 +21,7 @@ The REST API is available when:
     "listen": "0.0.0.0:12121",
     "authentication": {
       "enabled": true,
-      "password_hash": "pbkdf2-sha256$200000$..."
+      "password_hash": "argon2id$v=19$m=19456,t=2,p=1$..."
     },
     "cors": {
       "allowed_origins": ["https://panel.example.com"]
@@ -42,6 +42,12 @@ The command updates the file atomically and reminds
 you to restart the keen-pbr service. A restart is required for authentication
 and CORS changes to affect the running HTTP server.
 
+Password verifiers use Monocypher's Argon2id implementation. Verifiers from
+older PBKDF2-based releases are not accepted and must be regenerated.
+The config API never returns or accepts the stored verifier. The WebUI reads
+only `GET /api/auth/password` state and sends a new clear-text password only to
+the write-only `POST /api/auth/password` operation; hashing happens in the daemon.
+
 Authenticated API clients may use Basic authentication with username `admin`
 or a Bearer token returned by `POST /api/auth/login`. Only one Bearer session is
 valid at a time; a successful login immediately invalidates the previous UI

docs/content/docs/rest-api.ru.md

@@ -18,11 +18,46 @@ REST API доступен, если:
 {
   "api": {
     "enabled": true,
-    "listen": "0.0.0.0:12121"
+    "listen": "0.0.0.0:12121",
+    "authentication": {
+      "enabled": true,
+      "password_hash": "argon2id$v=19$m=19456,t=2,p=1$..."
+    },
+    "cors": {
+      "allowed_origins": ["https://panel.example.com"]
+    }
   }
 }
 ```
 
+Интерактивно сгенерировать хеш пароля:
+
+```bash
+keen-pbr hash-password
+```
+
+Чтобы включить аутентификацию и сразу записать новый хеш в выбранный
+`config.json`, выполните `keen-pbr --config /path/to/config.json hash-password --update`.
+Команда атомарно обновит файл и напомнит о необходимости перезапуска службы.
+Изменения аутентификации и CORS применяются только после перезапуска keen-pbr.
+
+Для хеширования пароля используется реализация Argon2id из Monocypher. Хеши
+PBKDF2 из предыдущих версий не поддерживаются — их необходимо создать заново.
+API конфигурации никогда не возвращает и не принимает сохранённый хеш. Веб-интерфейс
+получает только состояние через `GET /api/auth/password`, а новый пароль в открытом
+виде отправляет только в `POST /api/auth/password`; хеширование выполняет демон.
+
+Клиенты API могут использовать Basic-аутентификацию с именем пользователя
+`admin` или Bearer-токен, полученный через `POST /api/auth/login`. Одновременно
+действует только одна Bearer-сессия: новый успешный вход немедленно завершает
+предыдущую сессию веб-интерфейса. Сессия истекает через 24 часа и теряется при
+перезапуске демона.
+
+Когда аутентификация отключена, межсайтовые запросы браузера запрещены. Когда
+она включена, разрешены точно указанные источники, а также источники расширений
+Chrome и Firefox. При входе и Basic-аутентификации пароль передаётся API,
+поэтому используйте доверенную сеть или HTTPS reverse proxy.
+
 По умолчанию API прослушивает `0.0.0.0:12121`. Все эндпоинты обслуживаются на настроенном адресе `api.listen`.
 
 ---

docs/openapi.yaml

@@ -55,6 +55,37 @@ paths:
         "204":
           description: Session revoked
 
+  /api/auth/password:
+    get:
+      summary: Get administrator password state
+      operationId: getAuthPasswordStatus
+      responses:
+        "200":
+          description: Password state
+          content:
+            application/json:
+              schema:
+                $ref: "#/components/schemas/AuthPasswordStatus"
+    post:
+      summary: Set the administrator password
+      description: Accepts the clear-text password and stores only its verifier in the staged server configuration.
+      operationId: postAuthPassword
+      requestBody:
+        required: true
+        content:
+          application/json:
+            schema:
+              $ref: "#/components/schemas/AuthPasswordRequest"
+      responses:
+        "200":
+          description: Password updated in the staged configuration
+          content:
+            application/json:
+              schema:
+                $ref: "#/components/schemas/AuthPasswordStatus"
+        "400":
+          description: Invalid or empty password
+
   /api/health/service:
     get:
       summary: Service health and outbound status
@@ -588,9 +619,6 @@ components:
         enabled:
           type: boolean
           default: false
-        password_hash:
-          type: string
-          description: PBKDF2-SHA256 password verifier generated by `keen-pbr hash-password`.
 
     CorsConfig:
       type: object
@@ -627,6 +655,21 @@ components:
           type: integer
           format: int64
 
+    AuthPasswordRequest:
+      type: object
+      required: [password]
+      properties:
+        password:
+          type: string
+          minLength: 1
+
+    AuthPasswordStatus:
+      type: object
+      required: [password_set]
+      properties:
+        password_set:
+          type: boolean
+
     RetryConfig:
       type: object
       properties: