feat(ca-server): lien interne (routes, mTLS) et enregistrement de clé des opérateurs

[PhilippeVienne]

Contenu

Trois tranches de l'étape 0 du socle de confiance de la console (docs/WEBUI.md §15), livrées ensemble.

Routes internes (second port, désactivé par défaut : OPENEIDAS_INTERNAL_LISTEN)

• POST /internal/v1/challenge et /internal/v1/actions : oe_actions::Service câblé sur le journal réel. L'exécution n'accepte aucun corps, seul celui figé à l'émission du challenge s'exécute.
• POST /internal/v1/register/begin|finish : enregistrement de la clé avec le jeton d'invitation. L'invitation d'amorçage place la clé dans le registre ; toute autre la range dans pending_credentials (migration 0004, expiration 72 h).
• Chargeur de la liste blanche de modèles de clés (OPENEIDAS_WEBAUTHN_MODELS_FILE).

mTLS du lien interne, terminé par ca-server (TLS 1.3 seul)

• Profils internal_client (CN imposé ra-console) et internal_server (SAN repris du CN) : EKU unique et politique dédiée, contrôlés par oe-conformance sur le certificat réellement signé.
• À chaque connexion, avant toute requête : EKU, politique, nom courant, présence dans certificates sous le bon profil, identique octet pour octet, non révoqué.
• Sans TLS, le port interne reste limité à la boucle locale.
• ca-server internal-cert server <dns> : clé logicielle (0600), demande, écriture du certificat après approbation.

oe-castore : ajout d'un build.rs. sqlx::migrate! n'est pas recompilé à l'ajout d'un fichier de migration : une nouvelle migration pouvait être absente du binaire selon l'état du cache (tests instables).

Points d'attention pour la relecture

• OID de politique provisoires (1.3.6.1.4.1.0.1.1 et .2, sous le numéro d'entreprise 0 réservé) : 2.999 est refusé par const-oid. À remplacer par l'arc de l'association avant toute mise en production, dans oe_conformance::OID_POLICY_INTERNAL_*.
• Le certificat du serveur n'est lu qu'au démarrage : le renouvellement (3 mois) est manuel pour l'instant.
• Le CPS et la matrice de conformité ne sont volontairement pas modifiés (cf. TODO §5).

Vérifications

• cargo fmt --check, cargo clippy --workspace --all-targets -- -D warnings, cargo test --workspace (avec PostgreSQL), cargo audit --ignore RUSTSEC-2023-0071 : verts.
• Contrôle par mutation : chaque contrôle de sécurité retiré fait échouer le test visé (CN, structure et politique, statut de révocation, présence en table, deny_unknown_fields de l'exécution, administrateur actif, jeton à usage unique, aiguillage registre / clé en attente).
• Essai réel avec SoftHSM, PostgreSQL et curl : le certificat ra-console atteint la route à travers le mTLS ; sans certificat, avec un certificat de serveur ou en HTTP clair, la connexion est refusée ; après ca-server revoke, elle est refusée avec le motif « certificat révoqué ».