Prüfung der JWE Objekte durch den Zustelldienst (Part 1) [M]

Warum?

Um die Einhaltung der kryptographischen Vorgaben sicherzustellen, sollen Verschlüsselungsparameter von verschlüsselten Daten im Zustelldienst geprüft werden.

Relevante Links und Bemerkungen

Beispiel JWE-Header:

{
  "zip": "DEF",
  "kid": "r0cPJx2MvpyozqFetbtzMANvUK4vW9EQN4pfASCl6Pg",
  "cty": "application/json",
  "enc": "A256GCM",
  "alg": "RSA-OAEP-256"
}

JWE-RFC: https://datatracker.ietf.org/doc/html/rfc7516

Akzeptanzkriterien

1. Der Zustelldienst prüft die JWE Header und enthaltenen Keys aller JWE Objekte einer Submission (data, metadata, attachment) auf die Einhaltung der kryptografischen Vorgaben: https://docs.fitko.de/fit-connect/docs/details/crypto
2. Der Zustelldienst prüft, ob der Key für die Destination existiert und zu dieser Destination gehört.
3. Für die Metadaten (metadata) wird geprüft, ob cty dem Wert application/json entspricht.
4. Für Fachdaten (data) wird geprüft, ob cty dem Wert application/json oder application/xml entspricht.
5. Für Anlagen (attachment) wird der Wert cty nicht geprüft. Alle anderen Angaben jedoch schon.
6. Im ersten Schritt werden Prüfergebnisse nur geloggt, via Config ist ein "Scharfschalten" möglich. Der Log-Eintrag ist so benannt, dass man im Elasticsearch einfach danach Filtern kann.
7. Ein Scharfschalten bewirkt ein Http Error Code als Response, die auf den Fehler im JWE hinweist.
8. Überprüfen, ob Http Error Code in der Submission API beschrieben wird
9. Es wurde ein Follow-Up-Ticket zum Prüfen der Logs und Schafschalten der Config angelegt. (planning#574)