Generera ett test keypair för utveckling och testning.

1. Användare begär åtkomst - Öppnar Mount USB-modal i admin-panelen
2. Laddar USB Package - Väljer sin USB Package-fil från lokal USB
3. Challenge begärs - Servern genererar en unik challenge-sträng
4. Signering (klient-sida) - Webbläsaren signerar challenge med privat nyckel
5. Verifiering - Servern verifierar signatur med offentlig nyckel
6. Mount - Vid godkänd verifiering monteras server-USB:n
7. Session skapas - 30-minuters session med automatisk timeout

Inloggningsflöde:

1. Steg 1: Lösenord - Användare anger email + lösenord
2. Validering - Lösenord verifieras mot bcrypt hash i database
3. Pending Session - Temporary session skapas (5 min timeout)
4. Steg 2: USB - USB challenge-response krävs
5. SuperAdmin Check - Endast SuperAdmin USB tillåts för login
6. JWT Token - Vid godkänd 2FA utfärdas JWT token
7. Dashboard Access - Användare är inloggad

Login kräver SuperAdmin USB men monterar INTE automatiskt server USB. Mount är en separat operation efter login.

// USB mount verification middleware
const requireUSBMount = async (req, res, next) => {
  // Check if there's an active SuperAdmin USB session
  const activeSessions = usbSecurity.listActiveSessions();
  const hasActiveSession = activeSessions.some(session =>
    session.businessId === 4 && session.isSuperAdmin
  );

  if (!hasActiveSession) {
    return res.status(403).json({
      error: 'USB måste vara mountad',
      requiresUSBMount: true
    });
  }
  next();
};

// Tier 2 endpoints protected with middleware
app.get('/api/customers', authMiddleware, requireUSBMount, handler);
              

┌─────────────────────────────────────────────────────────────┐
│                    ANVÄNDARE (Remote)                       │
│  ┌───────────────┐          ┌──────────────────┐          │
│  │  Webbläsare   │          │  Fysisk USB      │          │
│  │  (Admin UI)   │◄────────►│  (Private Key)   │          │
│  └───────┬───────┘          └──────────────────┘          │
└──────────┼─────────────────────────────────────────────────┘
           │
           │ HTTPS (Challenge-Response)
           │
┌──────────▼─────────────────────────────────────────────────┐
│                    BACKEND SERVER                           │
│  ┌────────────────────────────────────────────────────┐    │
│  │  server.js (Express)                               │    │
│  │  • API Endpoints                                   │    │
│  │  • Authentication Middleware                       │    │
│  └────────┬──────────────────────────┬────────────────┘    │
│           │                          │                      │
│  ┌────────▼──────────┐      ┌───────▼──────────────┐      │
│  │  usb-security.js  │      │  PostgreSQL Database │      │
│  │  • Challenge Gen  │      │  • usb_devices       │      │
│  │  • Verification   │      │  • usb_sessions      │      │
│  │  • Mount/Unmount  │      │  • businesses        │      │
│  └────────┬──────────┘      └──────────────────────┘      │
└───────────┼─────────────────────────────────────────────────┘
            │
            │ sudo mount
            │
┌───────────▼─────────────────────────────────────────────────┐
│              FYSISK SERVER USB                              │
│  ┌────────────────────────────────────────────────────┐    │
│  │  /dev/sda1 (Kingston DataTraveler 230.9GB)        │    │
│  │  ├─ /mnt/cimbora-secure/ (SuperAdmin)             │    │
│  │  └─ /mnt/cimbora-secure/customers/{slug}/ (Kund)  │    │
│  └────────────────────────────────────────────────────┘    │
└─────────────────────────────────────────────────────────────┘
              

-- USB Devices Table
CREATE TABLE usb_devices (
  id SERIAL PRIMARY KEY,
  business_id INTEGER REFERENCES businesses(id),
  device_type VARCHAR(50) NOT NULL,
  serial_number VARCHAR(100) UNIQUE NOT NULL,
  public_key TEXT NOT NULL,
  is_super_admin BOOLEAN DEFAULT FALSE,
  status VARCHAR(20) DEFAULT 'active',
  created_at TIMESTAMP DEFAULT NOW(),
  revoked_at TIMESTAMP
);

-- USB Sessions Table (in-memory via Map)
{
  sessionId: string,
  businessId: number,
  deviceId: number,
  businessName: string,
  isSuperAdmin: boolean,
  mountPoint: string,
  mountPath: string,
  mountedAt: timestamp,
  lastActivity: timestamp
}

1. Gå till USB-säkerhet
   Klicka på 🔐 USB-säkerhet i navigeringsmenyn
2. Välj kund
   Välj kund från dropdown-menyn (eller välj "Cimbora Admin" för SuperAdmin)
3. Klicka Quick Create
   Klicka på ⚡ Quick Create USB knappen
4. Vänta på generering
   Systemet genererar RSA-2048 keypair i din webbläsare (tar 2-5 sekunder)
5. Ladda ner USB Package
   Filen {namn}-usb-package.txt laddas ner automatiskt
6. Kopiera till fysisk USB
   Flytta den nedladdade filen till kundens fysiska USB-enhet
7. Leverera USB
   Ge USB:n till kunden tillsammans med instruktioner

• 📋 Enhetsinformation (ID, serienummer, företag)
• 🔑 Public Key (registrerad i systemet)
• 🔐 Private Key (⚠️ hemlig, används för autentisering)
• 📖 Användningsinstruktioner
• 🛡️ Säkerhetsriktlinjer
• 🔗 API-exempel för CLI-användning

• Private key genereras ENDAST i webbläsaren (Web Crypto API)
• Private key skickas ALDRIG till servern
• Endast public key sparas i databasen
• USB Package-filen innehåller känslig information - hantera varsamt
• Radera USB Package från Downloads-mappen efter överföring till USB

1. Anslut din USB
   Sätt in din fysiska USB med USB Package-filen
2. Öppna Admin UI
   Gå till https://admin.cimbora.se och logga in
3. Klicka Mount USB
   Klicka på 🔓 Mount USB i övre högra hörnet
4. Välj USB Package
   Klicka "Choose File" och välj din USB Package-fil från USB:n
5. Vänta på autentisering
   Systemet utför automatiskt challenge-response-autentisering (2-3 sekunder)
6. Åtkomst beviljad!
   Du ser nu din session-info och mount-sökväg

• Timeout: Sessioner löper ut efter 30 minuter inaktivitet
• Countdown: Se återstående tid i USB-säkerhets-fliken
• Förläng: All aktivitet (API-anrop, filåtkomst) återställer timern
• Unmount: Klicka "Unmount" i sessionskortet för manuell avmontering
• Auto-cleanup: Automatisk avmontering vid server-omstart

• Klient-sidig kryptografi: Alla känsliga operationer sker i webbläsaren
• Private keys aldrig på servern: Genereras och förblir i användarens kontroll
• Challenge-Response: Varje autentisering använder en unik, tidsbegränsad challenge
• JWT Token Auth: Admin UI-åtkomst skyddad med JSON Web Tokens

Alla USB-relaterade händelser loggas i system_events tabellen:

• usb_device_created - Ny USB-enhet registrerad
• usb_device_revoked - USB-enhet revokerad
• usb_mounted - Server-USB monterad
• usb_unmounted - Server-USB avmonterad
• challenge_requested - Autentiseringsförsök
• challenge_failed - Misslyckad autentisering

Admin UI login

{
  "username": "admin",
  "password": "password"
}

{
  "success": true,
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
}

List all USB devices (requires JWT)

{
  "devices": [
    {
      "id": 1,
      "business_id": 4,
      "business_name": "Cimbora Admin",
      "device_type": "Kingston DataTraveler",
      "serial_number": "SA-001",
      "is_super_admin": true,
      "status": "active",
      "created_at": "2025-11-25T..."
    }
  ]
}

Register new USB device (requires JWT)

{
  "business_id": 4,
  "device_type": "Kingston DataTraveler",
  "serial_number": "SA-001",
  "public_key": "-----BEGIN PUBLIC KEY-----\n...",
  "is_super_admin": true
}

Request authentication challenge (no auth required)

{
  "serial_number": "SA-001"
}

{
  "success": true,
  "challenge_id": "abc123...",
  "challenge": "d4e5f6..."
}

Mount server USB after authentication (no JWT, uses challenge-response)

{
  "challenge_id": "abc123...",
  "signature": "base64_signature..."
}

{
  "success": true,
  "sessionId": "session123...",
  "mountPath": "/mnt/cimbora-secure",
  "isSuperAdmin": true,
  "businessId": 4,
  "deviceId": 1
}

Unmount server USB (no auth required, uses session_id)

{
  "session_id": "session123..."
}

List active mount sessions (requires JWT)

{
  "sessions": [
    {
      "sessionId": "session123...",
      "businessId": 4,
      "deviceId": 1,
      "businessName": "Cimbora Admin",
      "isSuperAdmin": true,
      "mountPath": "/mnt/cimbora-secure",
      "mountedAt": 1732552800000,
      "lastActivity": 1732552850000,
      "timeoutMinutes": 30
    }
  ]
}

Symptom: Fel vid montering: "must be superuser to use mount"

Orsak: sudoers-konfiguration saknas eller är felaktig

Lösning:

1. Kontrollera att /etc/sudoers.d/cimbora-usb existerar
2. Verifiera permissions: sudo ls -la /etc/sudoers.d/ (ska vara 440)
3. Validera syntax: sudo visudo -c
4. Om problemet kvarstår, återskapa filen från dokumentation

Symptom: "Authentication failed" vid mount-försök

Möjliga orsaker:

• Fel USB Package-fil (fel private key)
• Korrupt eller modifierad nyckel
• USB-enheten har revokats
• Challenge har löpt ut (60 sekunder)

Lösning:

1. Verifiera att rätt USB Package används
2. Kontrollera enhetsstatus i USB-säkerhet-fliken
3. Om enheten är revoked, skapa en ny med Quick Create
4. Försök igen med ny challenge

Symptom: Session avslutas oväntat, USB avmonteras

Orsak: 30-minuters inaktivitet

Lösning:

• Montera USB igen via Mount USB-knappen
• För att förlänga session: utför API-anrop eller filåtkomst regelbundet
• Övervaka countdown-timer i USB-säkerhet-fliken

Symptom: Keypair-generering eller signering misslyckas

Orsak: Webbläsaren stöder inte Web Crypto API eller använder HTTP istället för HTTPS

Lösning:

• Använd modern webbläsare (Chrome 60+, Firefox 64+, Safari 11+)
• Säkerställ att admin UI körs över HTTPS
• Kontrollera att window.crypto.subtle är tillgängligt
• Om du testar lokalt, använd localhost (Web Crypto fungerar över HTTP på localhost)

• 🔐 2FA Login - Kräver lösenord + SuperAdmin USB för inloggning
• 🎯 Tiered Security Model - Skiktad åtkomst baserat på datakänslighet
• 🟢 Tier 1: Översikt - Dashboard och system stats utan USB-krav
• 🔒 Tier 2: Känslig Data - Kunddata kräver mountad USB
• 🛡️ Backend Verification - requireUSBMount middleware för alla känsliga endpoints
• ✨ Auto-reload - Data laddas automatiskt efter mount/unmount
• 📊 USB Status Indicator - Live status för fysisk server USB
• 🔓 Session Management - Unmount-knappar i USB-säkerhet tab
• 📝 Proportionell Säkerhet - Lås bara det som behöver skyddas
• 🎨 Förbättrad UX - Tydliga 🔒 meddelanden och Mount USB-knapp

• ✨ Initial release av USB Security System
• 🔐 RSA-2048 Challenge-Response authentication
• ⚡ Quick Create USB functionality
• 🔓 Remote USB mount via webbläsare
• 📱 Client-side keypair generation (Web Crypto API)
• 👑 SuperAdmin och Customer åtkomstnivåer
• 📊 Real-time USB status monitoring
• ⏱️ Session management med 30-min timeout
• 🛡️ Zero-trust security architecture
• 📝 System events audit logging