fix(station): deploy.sh prueft Bildsatz 'ohne-wlan' auf Zugangsdaten

release.sh prueft sein fertiges Archiv binaer gegen die Werte aus
config.local.cmake und bricht ab, wenn es etwas findet. deploy.sh signierte
dagegen ungeprueft, was in build-nocreds/ lag - und genau dieser Satz ist die
sichere Vorgabe, die im Automatikmodus an fremde Lampen in Funkreichweite geht.

Der Weg dorthin ist Bedienfehler, nicht Programmfehler: ein von Hand
konfiguriertes build-nocreds/<ziel>, ein gesetztes
NINLIGHT_NOCREDS_BUILD_REL=build. Das Ergebnis waere, dass das Panel
"ohne WLAN" anzeigt, waehrend das WLAN-Passwort des Bedieners unwiderruflich
in fremde Lampen wandert.

Derselbe Pruefkoerper wie in release.sh, angewandt auf $STAGE/migrate-nocreds
und VOR dem Uebertragen - bei einem Treffer geht kein Byte an den Pi. Szenario
33 stellt den undichten Abzug nach (mit Gegenprobe, dass der Abzug die
Zugangsdaten wirklich traegt), Szenario 34 grenzt ab, dass migrate-wlan sie
weiterhin tragen darf.

Mutationsproben: Pruefblock entfernt = 6 Zusagen rot (die Zugangsdaten landen
beim Ziel); Pruefung auf den ganzen STAGE ausgeweitet = 4 Zusagen rot.

tools/station/deploy.sh

@@ -241,6 +241,64 @@ else
   echo "Hinweis: Schluesselverzeichnis $SIGN_DIR nicht gefunden - keine Migrationsimages erzeugt" >&2
 fi
 
+# Der Bildsatz "ohne-wlan" ist die SICHERE VORGABE: er geht im Automatikmodus an jede
+# alte Klyqa-Lampe in Funkreichweite, auch an fremde, und das Flashen ist nicht
+# umkehrbar. tools/release.sh prueft sein fertiges Archiv deshalb binaer gegen die Werte
+# aus config.local.cmake (dort "Auf Zugangsdaten pruefen") - deploy.sh signierte
+# dagegen ungeprueft, was in build-nocreds/ lag.
+#
+# Der Weg dorthin ist Bedienfehler, nicht Programmfehler: ein von Hand konfiguriertes
+# build-nocreds/<ziel>, oder ein gesetztes NINLIGHT_NOCREDS_BUILD_REL=build. Das
+# Ergebnis waere, dass das Panel "ohne WLAN" anzeigt, waehrend das WLAN-Passwort des
+# Bedieners unwiderruflich in fremde Lampen wandert - der teure, nicht rueckholbare
+# Fehler. Lieber ein abgebrochener Deploy.
+#
+# Geprueft wird VOR dem Uebertragen, es ist also noch nichts beim Pi angekommen. Nur
+# dieser eine Satz: migrate-wlan/ SOLL die Zugangsdaten enthalten, das ist sein Zweck.
+# Der Pruefkoerper ist bis auf die Meldung derselbe wie in tools/release.sh.
+if [ -d "$STAGE/migrate-nocreds" ]; then
+  echo "== Bildsatz 'ohne-wlan' auf Zugangsdaten pruefen =="
+  LOCAL="$ROOT/config.local.cmake"
+  if [ -f "$LOCAL" ]; then
+    python3 - "$STAGE/migrate-nocreds" "$LOCAL" <<'CHECKPY' || exit 1
+import os
+import re
+import sys
+
+stage, local = sys.argv[1], sys.argv[2]
+text = open(local, encoding="utf-8", errors="replace").read()
+# Nur die drei Werte, die wirklich geheim sind. NINLIGHT_AP_PASSWORD und der
+# Vorgabetoken stehen oeffentlich im Repo (README, Bruno) - sie hier mitzupruefen
+# haette nur falsche Alarme erzeugt.
+SECRETS = ("NINLIGHT_WIFI_SSID", "NINLIGHT_WIFI_PASSWORD", "NINLIGHT_TOKEN")
+PUBLIC = {"", "ninlight", "aabbccddeeff0011223344", "ninlight-recovery", "change-me-please"}
+needles = []
+for name in SECRETS:
+    m = re.search(r'^\s*set\s*\(\s*%s\s+"([^"]*)"' % name, text, re.M)
+    if m and m.group(1) not in PUBLIC:
+        needles.append((name, m.group(1).encode()))
+
+hits = []
+for root, _dirs, files in os.walk(stage):
+    for fn in sorted(files):
+        path = os.path.join(root, fn)
+        with open(path, "rb") as fh:
+            data = fh.read()
+        for name, needle in needles:
+            if needle in data:
+                hits.append("%s in %s" % (name, os.path.relpath(path, stage)))
+if hits:
+    sys.stderr.write(
+        "Fehler: Zugangsdaten aus config.local.cmake im Bildsatz 'ohne-wlan' gefunden, "
+        "nichts uebertragen:\n  " + "\n  ".join(hits) + "\n")
+    sys.exit(1)
+print("  sauber (%d geprueft)" % len(needles))
+CHECKPY
+  else
+    echo "  uebersprungen - $LOCAL nicht vorhanden" >&2
+  fi
+fi
+
 echo "== uebertragen =="
 # -c (Inhaltsvergleich per Checksumme statt Groesse+Zeitstempel): ein neues
 # Image kann zufaellig dieselbe Byte-Groesse wie das alte haben, und bei

tools/station/tests/test_deploy.sh

@@ -247,6 +247,61 @@ with open(path, 'wb') as fh:
 " "$path"
 }
 
+# Wegwerf-Zugangsdaten fuer die Pruefung des Bildsatzes "ohne-wlan" - niemals die
+# echten aus dem Repo. Dieselbe Rolle wie SECRET_* in tools/tests/test_release.sh.
+SECRET_SSID="TestWLAN-9c2e-geheim"
+SECRET_PASS="testpasswort-9c2e"
+SECRET_TOKEN="0badc0de9c2e0badc0de9c2e"
+
+# Legt config.local.cmake im Sandbox-Repo an - genau die Datei, gegen die deploy.sh den
+# Bildsatz "ohne-wlan" prueft.
+write_local_cmake() {
+  local sandbox=$1
+  cat >"$sandbox/config.local.cmake" <<EOF
+set(NINLIGHT_WIFI_SSID "$SECRET_SSID")
+set(NINLIGHT_WIFI_PASSWORD "$SECRET_PASS")
+set(NINLIGHT_TOKEN "$SECRET_TOKEN")
+EOF
+}
+
+# Wie make_gz_file, aber mit einkompilierten WLAN-Zugangsdaten - das, was ein Abzug aus
+# einem falsch konfigurierten build-nocreds/ (oder aus NINLIGHT_NOCREDS_BUILD_REL=build)
+# wirklich enthielte. Der "Compiler" dieser Suite, analog zum Docker-Stub in
+# test_release.sh: nur weil er die Werte tatsaechlich einbaut, sagt ein bestandener
+# Pruefdurchlauf ueberhaupt etwas.
+make_gz_file_with_creds() {
+  local path=$1 fill=${2:-A}
+  SSID="$SECRET_SSID" PASS="$SECRET_PASS" TOKEN="$SECRET_TOKEN" python3 -c "
+import os, sys
+path, fill = sys.argv[1], sys.argv[2].encode()
+creds = (os.environ['SSID'] + '\\0' + os.environ['PASS'] + '\\0'
+         + os.environ['TOKEN'] + '\\0').encode()
+data = bytearray((fill * 2048)[:2048])
+data[64:64 + len(creds)] = creds
+data[-512:-508] = b'\\x00\\x00\\x00\\x00'  # nie zufaellig wie 'NINL' aussehen
+with open(path, 'wb') as fh:
+    fh.write(bytes(data))
+" "$path" "$fill"
+}
+
+# Sucht eine Zeichenkette BINAER in jeder Datei unterhalb eines Verzeichnisses.
+# Rueckgabe 0 = gefunden. Wie contains_secrets() in test_release.sh.
+tree_contains() {
+  local dir=$1 needle=$2
+  NEEDLE="$needle" python3 - "$dir" <<'PY'
+import os
+import sys
+
+needle = os.environ["NEEDLE"].encode()
+for root, _dirs, files in os.walk(sys.argv[1]):
+    for fn in files:
+        with open(os.path.join(root, fn), "rb") as fh:
+            if needle in fh.read():
+                sys.exit(0)
+sys.exit(1)
+PY
+}
+
 echo "=== Szenario 1: Image besteht die Trailer-Pruefung nicht -> nichts uebertragen ==="
 SANDBOX="$TMPROOT/s1"; STUBBIN="$TMPROOT/bin1"; LOG="$TMPROOT/s1.log"; SANDBOX_STATE="$TMPROOT/s1-state"
 setup_sandbox "$SANDBOX"
@@ -1271,6 +1326,99 @@ grep -Fq "systemctl enable ninlight-poweroff" "$LOG" \
 [ ! -e /tmp/ninlight-poweroff.service ] && [ ! -e /tmp/ninlight-reboot.service ] \
   && pass "die Ablage wurde aufgeraeumt" || fail "Unit-Dateien blieben unter /tmp liegen"
 
+echo
+echo "=== Szenario 33 (Abschlussreview, I3): Zugangsdaten im Bildsatz 'ohne-wlan' brechen den Deploy ab ==="
+# Der Satz "ohne-wlan" ist die SICHERE VORGABE - im Automatikmodus geht er an jede alte
+# Klyqa-Lampe in Funkreichweite, auch an fremde, und das Flashen ist nicht umkehrbar.
+# release.sh prueft sein Archiv binaer gegen config.local.cmake; deploy.sh signierte
+# bisher ungeprueft, was in build-nocreds/ lag. Ein von Hand konfiguriertes
+# build-nocreds/<ziel> genuegt, damit das Panel "ohne WLAN" anzeigt, waehrend das
+# WLAN-Passwort des Bedieners unwiderruflich in fremde Lampen wandert.
+SANDBOX="$TMPROOT/s33"; STUBBIN="$TMPROOT/bin33"; LOG="$TMPROOT/s33.log"; SANDBOX_STATE="$TMPROOT/s33-state"
+setup_sandbox "$SANDBOX"
+setup_stubbin "$STUBBIN" "$LOG"
+write_local_cmake "$SANDBOX"
+mkdir -p "$SANDBOX/build/foo" "$SANDBOX/build-nocreds/foo"
+make_gz_file "$SANDBOX/build/foo/ninlight_foo_gz.img" W
+echo "foo-ota" >"$SANDBOX/build/foo/ninlight_foo_ota.img"
+# Der undichte Abzug: enthaelt SSID, Passwort und Token.
+make_gz_file_with_creds "$SANDBOX/build-nocreds/foo/ninlight_foo_gz.img" N
+# GEGENPROBE (ohne sie waere dieses Szenario wertlos): der "Compiler" dieser Suite muss
+# die Zugangsdaten wirklich einbauen. Genau diese Gegenprobe gibt es in test_release.sh
+# fuer den Docker-Stub - dort hat sie belegt, dass Fall 5 nicht nur deshalb gruen ist,
+# weil nie jemand etwas einbaut.
+if tree_contains "$SANDBOX/build-nocreds" "$SECRET_PASS"; then
+  pass "Gegenprobe: der Abzug in build-nocreds/ enthaelt das WLAN-Passwort wirklich"
+else
+  fail "Gegenprobe fehlgeschlagen - der Abzug enthaelt gar keine Zugangsdaten, Szenario 33 waere wertlos"
+fi
+# Der Pi hat schon einen (sauberen) Bestand aus einem frueheren Deploy - er darf durch
+# den Abbruch weder ersetzt noch geloescht werden.
+mkdir -p "$SANDBOX_STATE/opt/ninlight-station/images/migrate-nocreds"
+echo "alter-sauberer-abzug" >"$SANDBOX_STATE/opt/ninlight-station/images/migrate-nocreds/foo_dev.img"
+: >"$LOG"
+set +e
+OUT=$(TEST_SIGN_DIR="$KEYDIR_FULL" run_deploy "$SANDBOX" pi-test foo 2>&1)
+RC=$?
+set -e
+[ "$RC" -ne 0 ] && pass "Exit-Code != 0 ($RC)" || fail "Exit-Code war 0 - der undichte Bildsatz waere ausgeliefert worden: $OUT"
+echo "$OUT" | grep -q "Zugangsdaten" \
+  && pass "Fehlermeldung nennt die gefundenen Zugangsdaten" \
+  || fail "keine Fehlermeldung zu Zugangsdaten: $OUT"
+echo "$OUT" | grep -q "NINLIGHT_WIFI_PASSWORD" \
+  && pass "Fehlermeldung nennt den betroffenen Schluessel" \
+  || fail "Fehlermeldung nennt den Schluessel nicht: $OUT"
+if ! grep -q "STUB ssh\|STUB rsync\|STUB scp" "$LOG"; then
+  pass "kein ssh/rsync/scp aufgerufen - nichts wurde uebertragen"
+else
+  fail "es wurde trotz gefundener Zugangsdaten uebertragen: $(cat "$LOG")"
+fi
+[ "$(cat "$SANDBOX_STATE/opt/ninlight-station/images/migrate-nocreds/foo_dev.img")" = "alter-sauberer-abzug" ] \
+  && pass "der Bestand auf dem Pi blieb unangetastet" \
+  || fail "der Bestand auf dem Pi wurde veraendert"
+if ! tree_contains "$SANDBOX_STATE" "$SECRET_PASS"; then
+  pass "kein Zugangsdatum hat es in die Sandbox-Zielablage geschafft"
+else
+  fail "Zugangsdaten sind trotz Abbruch beim Ziel gelandet"
+fi
+
+echo
+echo "=== Szenario 34 (Abgrenzung zu 33): ein sauberer Satz 'ohne-wlan' geht raus, migrate-wlan DARF die Zugangsdaten tragen ==="
+# Die Pruefung muss genau einen Satz betreffen. migrate-wlan/ enthaelt die Zugangsdaten
+# absichtlich - das ist sein ganzer Zweck ("Lampe haengt sofort im eigenen WLAN"). Eine
+# Pruefung, die auch ihn abweist, waere unbenutzbar und wuerde nach kurzer Zeit
+# abgeschaltet.
+SANDBOX="$TMPROOT/s34"; STUBBIN="$TMPROOT/bin34"; LOG="$TMPROOT/s34.log"; SANDBOX_STATE="$TMPROOT/s34-state"
+setup_sandbox "$SANDBOX"
+setup_stubbin "$STUBBIN" "$LOG"
+write_local_cmake "$SANDBOX"
+mkdir -p "$SANDBOX/build/foo" "$SANDBOX/build-nocreds/foo"
+# build/ MIT Zugangsdaten (wie im echten Betrieb), build-nocreds/ ohne.
+make_gz_file_with_creds "$SANDBOX/build/foo/ninlight_foo_gz.img" W
+echo "foo-ota" >"$SANDBOX/build/foo/ninlight_foo_ota.img"
+make_gz_file "$SANDBOX/build-nocreds/foo/ninlight_foo_gz.img" N
+: >"$LOG"
+set +e
+OUT=$(TEST_SIGN_DIR="$KEYDIR_FULL" run_deploy "$SANDBOX" pi-test foo 2>&1)
+RC=$?
+set -e
+[ "$RC" -eq 0 ] && pass "Exit-Code 0" || fail "Exit-Code $RC - die Pruefung weist einen sauberen Satz ab: $OUT"
+[ -f "$SANDBOX_STATE/opt/ninlight-station/images/migrate-nocreds/foo_dev.img" ] \
+  && pass "der saubere Satz 'ohne-wlan' kam an" || fail "der saubere Satz 'ohne-wlan' fehlt: $OUT"
+[ -f "$SANDBOX_STATE/opt/ninlight-station/images/migrate-wlan/foo_dev.img" ] \
+  && pass "migrate-wlan kam trotz einkompilierter Zugangsdaten an" \
+  || fail "migrate-wlan wurde faelschlich mit abgewiesen: $OUT"
+if tree_contains "$SANDBOX_STATE/opt/ninlight-station/images/migrate-wlan" "$SECRET_PASS"; then
+  pass "Gegenprobe: migrate-wlan traegt die Zugangsdaten wirklich - die Pruefung haette anschlagen KOENNEN"
+else
+  fail "Gegenprobe fehlgeschlagen - migrate-wlan traegt gar keine Zugangsdaten, die Abgrenzung waere wertlos"
+fi
+if ! tree_contains "$SANDBOX_STATE/opt/ninlight-station/images/migrate-nocreds" "$SECRET_PASS"; then
+  pass "und der Satz 'ohne-wlan' auf dem Pi ist frei davon"
+else
+  fail "der Satz 'ohne-wlan' auf dem Pi enthaelt Zugangsdaten"
+fi
+
 echo
 if [ "$FAILED" -eq 0 ]; then
   echo "Alle Tests bestanden."