@dotrino/identity 0.83.0 → 0.84.0

package/README.md

@@ -143,6 +143,23 @@ const v = await verifyAssertion(prueba, { audience: 'https://proxy.dotrino.com',
 - **Verificar no necesita el iframe ni clave alguna**: `@dotrino/identity/assertion` es un
   módulo puro y lo puede importar un servidor.
 
+**Y su hermana, para lo que se publica** (0.84.0+). Un pin de geo o una atestación de
+reputación se firman y se sueltan: no hay nadie al otro lado que pueda dar un reto de
+antemano, así que ahí no cabe una prueba entera — lo que falta es el destinatario, y solo
+eso. Sin él, un pin firmado para geo lo acepta igual reputación.
+
+```js
+import { verifySignedFor } from '@dotrino/identity/assertion'
+
+const pin = { op: 'pin', aud: 'https://geo.dotrino.com', lat, lon, iat: Date.now() }
+const { signature, publickey, chain } = await id.signData(pin)
+// en el servidor:
+const v = await verifySignedFor({ data: pin, signature, publickey, chain, audience: 'https://geo.dotrino.com' })
+```
+
+`aud` es obligatorio igual que en la prueba; `exp` es opcional, porque la caducidad de lo
+publicado la lleva el servicio (el TTL del pin) y no el cuerpo.
+
 Diseño y hacia dónde va (inicio de sesión y federación):
 [`dotrino-vault/docs/inicio-de-sesion.md`](../dotrino-vault/docs/inicio-de-sesion.md).
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.83.0",
+  "version": "0.84.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/src/index.d.ts

@@ -270,3 +270,5 @@ export function claimsAllowed (scopes?: string[]): Set<string>
 export function assertionBody (args: { sub: string; aud: string; nonce: string; scopes?: string[]; claims?: AssertionClaims; iat: number; exp: number }): Omit<Assertion, 'signature' | 'publickey' | 'chain'>
 /** ¿Vale esta prueba, PARA MÍ y AHORA? `audience` y `nonce` son obligatorios; sin modo permisivo. */
 export function verifyAssertion (assertion: Assertion, opts: { audience: string; nonce: string; expectedProfileId?: string | null; now?: number; maxSkewMs?: number }): Promise<VerifiedAssertion>
+/** ¿Este contenido firmado (un pin, una atestación) va dirigido a mí? `aud` obligatorio; `exp` opcional. */
+export function verifySignedFor (args: { data: any; signature: string; publickey: string; chain: any[]; audience: string; expectedProfileId?: string | null; now?: number; maxSkewMs?: number }): Promise<{ ok: boolean; reason?: string; profileId?: string; signer?: string; seq?: number; aud?: string }>

package/src/index.js

@@ -740,4 +740,4 @@ export { makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice, ve
 // PARA QUIÉN vale una firma, y hasta cuándo. Verificar NO necesita el iframe ni la clave
 // de nadie, así que un servicio puede importarlo suelto (`@dotrino/identity/assertion`, que
 // no arrastra el cliente del vault); aquí se reexporta para quien ya tiene esto cargado.
-export { verifyAssertion, newAssertionNonce, cleanScopes, claimsAllowed, assertionBody, SCOPES, SCOPE_CLAIMS, ASSERTION_MAX_TTL_MS, ASSERTION_DEFAULT_TTL_MS, ASSERTION_MAX_SKEW_MS } from '../vault/assertion.js'
+export { verifyAssertion, verifySignedFor, newAssertionNonce, cleanScopes, claimsAllowed, assertionBody, SCOPES, SCOPE_CLAIMS, ASSERTION_MAX_TTL_MS, ASSERTION_DEFAULT_TTL_MS, ASSERTION_MAX_SKEW_MS } from '../vault/assertion.js'

package/vault/assertion.js

@@ -174,4 +174,42 @@ export async function verifyAssertion (assertion, opts = {}) {
   return { ok: true, profileId: v.profileId, signer: v.signer, seq: v.seq, scopes: [...a.scopes], claims: { ...(a.claims || {}) }, aud: a.aud, exp: a.exp }
 }
 
-export default { ASSERTION_V, ASSERTION_MAX_TTL_MS, ASSERTION_DEFAULT_TTL_MS, ASSERTION_MAX_SKEW_MS, SCOPES, SCOPE_CLAIMS, newAssertionNonce, cleanScopes, claimsAllowed, assertionBody, verifyAssertion }
+/**
+ * ¿ESTE CONTENIDO FIRMADO VA DIRIGIDO A MÍ? La otra mitad del destinatario, y **no es lo
+ * mismo que una prueba**: conviene tener claras las dos, porque confundirlas lleva a pedir
+ * un reto donde no hay quien lo emita.
+ *
+ *   · **Prueba** (`verifyAssertion`) — autenticación INTERACTIVA: alguien me habla, yo le
+ *     mando un reto y quiero saber quién es AHORA. Lleva `nonce` porque hay dos partes.
+ *   · **Contenido dirigido** (esto) — un pin de geo, una atestación de reputación: se
+ *     firma y se publica, sin nadie al otro lado que pueda dar un reto de antemano. Lo que
+ *     falta ahí es `aud`, y solo `aud`: sin él, un pin firmado para geo lo acepta igual
+ *     reputación.
+ *
+ * `aud` es obligatorio, como en la prueba. `exp` es OPCIONAL, y esa es la diferencia real:
+ * lo publicado tiene su propia caducidad (el TTL del pin, la vigencia de la atestación) y
+ * quien la lleva es el servicio; si el cuerpo trae `exp`, se respeta.
+ */
+/**
+ * @param {{ data?: any, signature?: string, publickey?: string, chain?: any[], audience?: string, expectedProfileId?: string|null, now?: number, maxSkewMs?: number }} [args]
+ */
+export async function verifySignedFor (args = {}) {
+  const { data, signature, publickey, chain, audience, expectedProfileId = null, now = Date.now(), maxSkewMs = ASSERTION_MAX_SKEW_MS } = args
+  if (typeof audience !== 'string' || !audience.trim()) return { ok: false, reason: 'no-audience' }
+  if (!data || typeof data !== 'object') return { ok: false, reason: 'shape' }
+  if (typeof data.aud !== 'string' || !data.aud) return { ok: false, reason: 'sin-destinatario' }
+  if (data.aud !== audience.trim()) return { ok: false, reason: 'otro-destinatario' }
+  if (data.exp != null) {
+    if (!Number.isFinite(data.exp)) return { ok: false, reason: 'shape' }
+    if (data.exp <= now) return { ok: false, reason: 'vencida' }
+  }
+  if (data.iat != null) {
+    if (!Number.isFinite(data.iat)) return { ok: false, reason: 'shape' }
+    if (data.iat > now + maxSkewMs) return { ok: false, reason: 'del-futuro' }
+  }
+  const v = await verifySignedBy({ data, signature, publickey, chain, expectedProfileId })
+  if (!v.ok) return { ok: false, reason: 'firma:' + v.reason }
+  return { ok: true, profileId: v.profileId, signer: v.signer, seq: v.seq, aud: data.aud }
+}
+
+export default { ASSERTION_V, ASSERTION_MAX_TTL_MS, ASSERTION_DEFAULT_TTL_MS, ASSERTION_MAX_SKEW_MS, SCOPES, SCOPE_CLAIMS, newAssertionNonce, cleanScopes, claimsAllowed, assertionBody, verifyAssertion, verifySignedFor }