Kalitlarni boshqarish

function korsat(string $nom, string $qiymat): void
{
    printf("%-24s %s%s", $nom . ':', $qiymat, PHP_EOL);
}

$joylar = [
    ['Manba kodida', 'HALOKATLI', 'git tarixida abadiy qoladi'],
    ['Git ga qoshilgan .env', 'HALOKATLI', 'har bir nusxada bor'],
    ['Docker image ichida', 'JUDA YOMON', 'registrda hamma koradi'],
    ['Jurnal fayllarida', 'JUDA YOMON', 'markaziy jurnalga ketadi'],
    ['Xato hisobotlarida', 'JUDA YOMON', 'uchinchi tomon xizmatida'],
    ['Mijoz tomonida (JS)', 'HALOKATLI', 'har kim koradi'],
    ['Muhit ozgaruvchisida', 'qabul qilinadi', 'jarayon royxatida korinishi mumkin'],
    ['Huquqi 600 boigan faylda', 'yaxshi', 'faqat ilova foydalanuvchisi'],
    ['Sirlar boshqaruvchisida', 'ENG YAXSHI', 'audit, almashtirish, cheklov'],
    ['HSM yoki KMS da', 'ENG YAXSHI', 'kalit umuman chiqmaydi'],
];

printf("%-24s %-16s %s%s", 'QAYERDA', 'BAHO', 'IZOH', PHP_EOL);
echo str_repeat('-', 78), PHP_EOL;
foreach ($joylar as $j) {
    printf("%-24s %-16s %s%s", ...[...$j, PHP_EOL]);
}

final class KalitOmbori
{
    /** @var array<string, string> */
    private array $kalitlar = [];

    /** @param array<string, string> $muhit */
    public function __construct(array $muhit)
    {
        foreach ($muhit as $nom => $qiymat) {
            if (!str_starts_with($nom, 'APP_KEY_')) {
                continue;
            }

            $baytlar = $this->tekshirVaOch($nom, $qiymat);
            $this->kalitlar[substr($nom, 8)] = $baytlar;
        }
    }

    private function tekshirVaOch(string $nom, string $qiymat): string
    {
        if ($qiymat === '') {
            throw new RuntimeException("{$nom} bosh");
        }

        // Muhit o'zgaruvchisi matn, kalit esa baytlar - base64 orqali
        $baytlar = base64_decode($qiymat, true);

        if ($baytlar === false) {
            throw new RuntimeException("{$nom} base64 emas");
        }
        if (strlen($baytlar) !== 32) {
            throw new RuntimeException(
                "{$nom} uzunligi " . strlen($baytlar) . " bayt, 32 kutilgan");
        }
        // Ochiq namunalar bilan chalkashmasin
        if ($baytlar === str_repeat("\x00", 32)) {
            throw new RuntimeException("{$nom} - nol kalit, sozlash unutilgan");
        }

        return $baytlar;
    }

    public function kalit(string $nom): string
    {
        return $this->kalitlar[$nom]
            ?? throw new RuntimeException("kalit topilmadi: {$nom}");
    }

    /** Jurnalga yozish uchun xavfsiz identifikator */
    public function barmoqIzi(string $nom): string
    {
        return substr(bin2hex(hash_hmac('sha256', 'barmoq-izi',
            $this->kalit($nom), true)), 0, 16);
    }

    /** @return list<string> */
    public function nomlar(): array
    {
        return array_keys($this->kalitlar);
    }
}

// Amalda: getenv() dan keladi. Bu yerda qat'iy namunalar.
$muhit = [
    'APP_KEY_V1' => base64_encode(hex2bin(str_repeat('11', 32))),
    'APP_KEY_V2' => base64_encode(hex2bin(str_repeat('22', 32))),
    'DB_HOST' => '127.0.0.1',        // e'tiborga olinmaydi
];

$ombor = new KalitOmbori($muhit);

korsat('yuklangan kalitlar', implode(', ', $ombor->nomlar()));
korsat('V1 barmoq izi', $ombor->barmoqIzi('V1'));
korsat('V2 barmoq izi', $ombor->barmoqIzi('V2'));

// Xato holatlari
foreach ([
    'qisqa kalit' => ['APP_KEY_X' => base64_encode('qisqa')],
    'base64 emas' => ['APP_KEY_X' => '!!! bu base64 emas !!!'],
    'bosh' => ['APP_KEY_X' => ''],
    'nol kalit' => ['APP_KEY_X' => base64_encode(str_repeat("\x00", 32))],
] as $nom => $yomon) {
    try {
        new KalitOmbori($yomon);
        printf('%-14s OTDI - KUTILMAGAN%s', $nom, PHP_EOL);
    } catch (RuntimeException $x) {
        printf('%-14s RAD: %s%s', $nom, $x->getMessage(), PHP_EOL);
    }
}

$ombor = new KalitOmbori([
    'APP_KEY_V1' => base64_encode(hex2bin(str_repeat('11', 32))),
    'APP_KEY_V2' => base64_encode(hex2bin(str_repeat('22', 32))),
]);

// Jurnalga bunday yozish MUMKIN
echo "[info] shifrlash kaliti: ", $ombor->barmoqIzi('V1'), PHP_EOL;
echo "[info] imzo kaliti:      ", $ombor->barmoqIzi('V2'), PHP_EOL;

// Bunday yozish MUMKIN EMAS
echo PHP_EOL, 'XATO USUL (hech qachon qilmang):', PHP_EOL;
echo '  error_log("kalit: " . $kalit);', PHP_EOL;
echo '  var_dump($sozlama);   // ichida kalit bor', PHP_EOL;
echo '  throw new Exception("kalit notogri: {$kalit}");', PHP_EOL;

final class VersiyaliShifr
{
    /** @param array<int, string> $kalitlar */
    public function __construct(
        private readonly array $kalitlar,
        private readonly int $joriy,
    ) {
        if (!isset($kalitlar[$joriy])) {
            throw new InvalidArgumentException('joriy versiya kalitlari yoq');
        }
    }

    public function shifrla(string $matn): string
    {
        $nonce = random_bytes(12);
        $teg = '';
        $shifr = openssl_encrypt($matn, 'aes-256-gcm',
            $this->kalitlar[$this->joriy], OPENSSL_RAW_DATA, $nonce, $teg,
            (string) $this->joriy);   // versiya AAD ga ham kiradi

        return $this->joriy . ':' . base64_encode($nonce . $teg . $shifr);
    }

    public function och(string $saqlangan): string
    {
        [$versiya, $b64] = explode(':', $saqlangan, 2);
        $v = (int) $versiya;

        if (!isset($this->kalitlar[$v])) {
            throw new RuntimeException("kalit versiyasi {$v} mavjud emas");
        }

        $x = base64_decode($b64);
        $matn = openssl_decrypt(substr($x, 28), 'aes-256-gcm',
            $this->kalitlar[$v], OPENSSL_RAW_DATA,
            substr($x, 0, 12), substr($x, 12, 16), $versiya);

        if ($matn === false) {
            throw new RuntimeException('ochib bolmadi');
        }

        return $matn;
    }

    public function eskirganmi(string $saqlangan): bool
    {
        return (int) explode(':', $saqlangan, 2)[0] !== $this->joriy;
    }
}

$kalitlar = [
    1 => hex2bin(str_repeat('11', 32)),
    2 => hex2bin(str_repeat('22', 32)),
];

// Eski kalit joriy bo'lgan davr
$eski = new VersiyaliShifr($kalitlar, 1);
$yozuv = $eski->shifrla('Maxfiy hisobot');
korsat('versiya', explode(':', $yozuv)[0]);

// Kalit almashtirildi
$yangi = new VersiyaliShifr($kalitlar, 2);

korsat('eski yozuv ochildi', $yangi->och($yozuv));
korsat('eskirganmi', $yangi->eskirganmi($yozuv) ? 'ha' : 'yoq');

// O'qish paytida ko'chirish
$kochirilgan = $yangi->eskirganmi($yozuv)
    ? $yangi->shifrla($yangi->och($yozuv))
    : $yozuv;

korsat('yangi versiya', explode(':', $kochirilgan)[0]);
korsat('mazmuni saqlandi', $yangi->och($kochirilgan));

$kalitlar = [2 => hex2bin(str_repeat('22', 32))];   // 1-versiya yo'q!

$shifr = new VersiyaliShifr($kalitlar, 2);

// 1-versiya bilan shifrlangan eski yozuv
$eskiYozuv = '1:' . base64_encode(random_bytes(64));

try {
    $shifr->och($eskiYozuv);
} catch (RuntimeException $x) {
    korsat('natija', 'RAD: ' . $x->getMessage());
}

echo PHP_EOL, 'Kalit yoqolsa - malumot ham YOQOLADI.', PHP_EOL;
echo 'Zaxira nusxa ham yordam bermaydi: u ham shifrlangan.', PHP_EOL;

// Soddalashtirilgan qidiruvchi - kodda qolib ketgan sirlarni aniqlaydi
function sirlarniQidir(string $kod): array
{
    $naqshlar = [
        'AWS kaliti' => '/AKIA[0-9A-Z]{16}/',
        'Ochiq maxfiy kalit' => '/-----BEGIN [A-Z ]*PRIVATE KEY-----/',
        'Uzun hex kalit' => '/[\'"][0-9a-f]{64}[\'"]/',
        'Qattiq yozilgan parol' => '/(parol|password|passwd)\s*=\s*[\'"][^\'"]{8,}[\'"]/i',
        'Slack tokeni' => '/xox[baprs]-[0-9a-zA-Z-]{10,}/',
        'Umumiy API kaliti' => '/(api[_-]?key|secret)\s*=\s*[\'"][^\'"]{16,}[\'"]/i',
    ];

    $topilgan = [];
    foreach ($naqshlar as $nom => $naqsh) {
        if (preg_match($naqsh, $kod)) {
            $topilgan[] = $nom;
        }
    }

    return $topilgan;
}

$namunalar = [
    'toza kod' => '$kalit = getenv("APP_KEY");',
    'qattiq parol' => '$parol = "SuperMaxfiy123";',
    'hex kalit' => '$k = "' . str_repeat('ab', 32) . '";',
    'api kaliti' => '$api_key = "sk_live_abcdefghijklmnop";',
    'pem kalit' => "-----BEGIN PRIVATE KEY-----\nMIIE...",
];

foreach ($namunalar as $nom => $kod) {
    $t = sirlarniQidir($kod);
    printf('%-14s %s%s', $nom,
        $t === [] ? 'toza' : 'TOPILDI: ' . implode(', ', $t), PHP_EOL);
}

// Bitta asosiy kalitdan hamma maqsad uchun kalitlar (6-bo'lim)
$asosiy = hex2bin(str_repeat('42', 32));

$maqsadlar = [
    'sessiya-imzosi', 'fayl-shifri', 'vebxuk-imzosi',
    'kuki-shifri', 'parol-qalampiri',
];

printf("%-18s %s%s", 'MAQSAD', 'BARMOQ IZI', PHP_EOL);
echo str_repeat('-', 38), PHP_EOL;

foreach ($maqsadlar as $m) {
    $k = hash_hkdf('sha256', $asosiy, 32, 'v1:' . $m);
    printf("%-18s %s%s", $m,
        substr(bin2hex(hash('sha256', $k, true)), 0, 16), PHP_EOL);
}

echo PHP_EOL, 'Bitta kalit sizsa - faqat bitta maqsad zarar koradi', PHP_EOL;