@dotrino/remote-agent 0.9.2 → 0.10.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/remote-agent",
-  "version": "0.9.2",
+  "version": "0.10.0",
   "description": "Middleware compartido del ecosistema Dotrino para apps de agente remoto cifrado punto a punto (handshake E2E, emparejamiento SAS con vault, revocación, descubrimiento). Lo consumen dotrino-terminal (PTY) y dotrino-ia (chat con IA).",
   "type": "module",
   "main": "./index.js",
@@ -45,13 +45,13 @@
     "p2p"
   ],
   "peerDependencies": {
-    "@dotrino/identity": ">=0.73.1",
+    "@dotrino/identity": ">=0.92.0",
     "@dotrino/proxy-client": ">=0.18.2",
-    "@dotrino/vault": ">=0.30.0"
+    "@dotrino/vault": ">=0.64.0"
   },
   "devDependencies": {
-    "@dotrino/identity": "0.73.0",
+    "@dotrino/identity": "0.92.0",
     "@dotrino/proxy-client": "0.18.2",
-    "@dotrino/vault": "0.35.0"
+    "@dotrino/vault": "0.64.0"
   }
 }

package/src/agent.js

@@ -21,8 +21,8 @@
  */
 import fs from 'node:fs'
 import path from 'node:path'
-import { verifyChain, signWithDevice, verifyDeviceSig, verifyDelegation, pubkeyId } from '@dotrino/identity/capabilities'
-import { sealersOf, memberCan } from '@dotrino/identity/acta'
+import { verifyChain, signWithDevice, verifyDeviceSig, pubkeyId } from '@dotrino/identity/capabilities'
+import { sealersOf, memberCan, checkVaultReply } from '@dotrino/identity/acta'
 import { installNodeGlobals } from '../node-globals.js'
 import { makeEphemeral, deriveKey, seal, open } from '../e2e.js'
 import { HS, ACK, DATA, PING, PONG, ERROR, VMSG, SIGN_SCOPE, SESSION_TTL_MS, REVOKE_REFRESH_MS } from '../protocol.js'
@@ -191,14 +191,10 @@ export async function startRemoteAgent (opts = {}) {
       const res = await vaultRpc(VMSG.RENEW, VMSG.RENEWED, { op: 'renew', publickey: myPub, ts: Date.now() })
       const cert = res?.cert
       const acta = res?.acta
-      if (!cert || cert.sub !== myPub) throw new Error('the vault returned a cert that is not for this machine')
-      if (!acta) throw new Error('the vault did not send its record: cannot check who signed this cert')
-      if (acta.profileId !== master) throw new Error('the record is from a profile other than the pinned one')
-      const v = await verifyDelegation({
-        cert, expectedSub: myPub, expectedScope: SIGN_SCOPE,
-        actaSeq: acta.seq, sealers: sealersOf(acta)
-      })
-      if (!v.ok) throw new Error(v.reason)
+      // La regla del pilar, contra la bóveda a la que se le pidió (`master`). Aquí se exigía
+      // `acta.profileId === master`, que con una segunda bóveda nunca es verdad.
+      const chk = await checkVaultReply({ acta, cert, vault: master, sub: myPub, scope: SIGN_SCOPE })
+      if (!chk.ok) throw new Error('invalid renewed cert: ' + chk.reason)
       link.cert = cert
       link.actaSeq = acta.seq
       saveLink(dir, link)

package/src/link.js

@@ -16,8 +16,7 @@
 import fs from 'node:fs'
 import path from 'node:path'
 import os from 'node:os'
-import { signWithDevice, pubkeyId, verifyDelegation } from '@dotrino/identity/capabilities'
-import { sealersOf } from '@dotrino/identity/acta'
+import { signWithDevice, pubkeyId } from '@dotrino/identity/capabilities'
 import { requestDevices, requestRenew } from '@dotrino/identity/vault/remote.js'
 import { installNodeGlobals } from '../node-globals.js'
 
@@ -169,17 +168,11 @@ export async function renewLink (link, { dir = dataDir(), force = false } = {})
   if (!force && !legado && !atrasado) return { renewed: false, seq: link.cert.seq, reason: 'not due' }
   installNodeGlobals(dir)
   try {
-    const res = await requestRenew({ master: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com', device: link.device, cert: link.cert })
-    const cert = res?.cert
-    const acta = res?.acta
-    if (!cert || cert.sub !== link.device.publickey) throw new Error('the vault returned a cert that is not for this machine')
-    // El acta viaja con el papel y hace falta para juzgarlo: quien lo firmó tiene que ser
-    // SELLADORA de este perfil. Ya no se compara `cert.iss` con una llave fija — con varias
-    // bóvedas el emisor puede ser otra del mismo perfil; lo que se fija es el PERFIL.
-    if (!acta) throw new Error('the vault did not send its record: cannot check who signed this cert')
-    if (acta.profileId !== link.iss) throw new Error('the record is from a profile other than the pinned one')
-    const v = await verifyDelegation({ cert, expectedSub: link.device.publickey, actaSeq: acta.seq, sealers: sealersOf(acta) })
-    if (!v.ok) throw new Error(v.reason)
+    // `requestRenew` ya JUZGA lo que devuelve (`checkVaultReply` del pilar: acta bien
+    // firmada, esta bóveda puede sellarla, el papel lo firmó ella y es para esta llave) y
+    // lanza si no cuadra. Aquí se comparaba `acta.profileId` con `link.iss`, que solo vale
+    // en una cuenta que nació en esa bóveda: con una segunda bóveda no renovaba nunca.
+    const { cert, acta } = await requestRenew({ master: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com', device: link.device, cert: link.cert })
     // SE GUARDA ANTES DE DAR NADA POR BUENO. Emitir un papel RETIRA el anterior, así que si
     // esto no se persiste la máquina se queda usando uno revocado y fuera para siempre. Le
     // pasó al registro de selladores en la migración, y por eso está dicho aquí.