@dotrino/vault 0.1.0 → 0.1.2

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.1.0",
+  "version": "0.1.2",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Contraparte browser del daemon dotrino-vault, reutilizable por cualquier app.",
   "type": "module",
   "main": "src/index.js",

package/src/index.js

@@ -35,6 +35,7 @@ const MSG = {
   ENROLLED: 'vault.enrolled',
   DEVICES: 'vault.devices',
   DEVICES_RESULT: 'vault.devices.result',
+  REVOKED: 'vault.revoked',
   ERROR: 'vault.error'
 }
 
@@ -127,8 +128,19 @@ export async function startDeviceVault (identity, { proxyUrl } = {}) {
     send(from, { type: MSG.ENROLL_CHALLENGE, deviceId })
   }
 
+  // Emite un REVOKED FIRMADO por la maestra a la máquina revocada para que se
+  // auto-borre. Va por `sendByPubkey` → si está offline, el proxy lo encola 24 h; y
+  // si reaparece más tarde, `handleDevices` lo re-emite en su siguiente consulta.
+  // El auto-borrado remoto SOLO se dispara con esta firma (no con un error cualquiera).
+  async function emitRevoke (dpub, nonce) {
+    const body = { op: 'revoke', sub: dpub, nonce, iat: Date.now(), exp: Date.now() + DEVICE_TTL_MS }
+    const { signature } = await identity.signData(body)
+    try { client.sendByPubkey(dpub, { type: MSG.REVOKED, body, signature }) } catch (_) {}
+  }
+
   // Consulta de revocaciones (igual que `vault.devices` del daemon): responde la lista
-  // de dispositivos enrolados + revocados para que el dispositivo refresque su set.
+  // de dispositivos enrolados + revocados para que el dispositivo refresque su set. Y si
+  // QUIEN consulta es una máquina ya revocada (reapareció), le re-emite el REVOKED firmado.
   async function handleDevices (from, p) {
     const d = p?.data
     if (!d || !p.signature || !p.cert) return send(from, { type: MSG.ERROR, error: 'petición inválida' })
@@ -141,6 +153,9 @@ export async function startDeviceVault (identity, { proxyUrl } = {}) {
       label: x.label || '', scope: x.scope, exp: x.exp, nonce: x.nonce
     })))
     send(from, { type: MSG.DEVICES_RESULT, devices, revoked: (revoked || []).map((r) => r.nonce || r) })
+    // ¿el que consulta es una máquina revocada que reapareció? → re-emite el REVOKED firmado.
+    const mine = (issued || []).find((x) => x.sub === chk.device && x.revokedAt)
+    if (mine) emitRevoke(chk.device, mine.nonce)
   }
 
   client.on('message', (_from, p) => {
@@ -205,7 +220,7 @@ export async function startDeviceVault (identity, { proxyUrl } = {}) {
     const now = Date.now()
     const bySub = new Map()
     for (const x of (issued || [])) {
-      if (!x.sub || (x.exp && x.exp <= now)) continue
+      if (!x.sub || x.revokedAt || (x.exp && x.exp <= now)) continue // revocada = fuera de la lista
       if (!Array.isArray(x.scope) || !x.scope.includes(SIGN_SCOPE)) continue
       if (!x.label || x.label === 'cli') continue
       if (!bySub.has(x.sub) || (x.exp || 0) > (bySub.get(x.sub).exp || 0)) bySub.set(x.sub, x)
@@ -214,7 +229,14 @@ export async function startDeviceVault (identity, { proxyUrl } = {}) {
   }
 
   async function revoke (nonce) {
-    return identity.revokeDelegation(nonce)
+    // Deja el registro persistente (revokedAt en la delegación) y AVISA a la máquina
+    // con un REVOKED firmado para que se auto-borre (ahora si está online, o al
+    // reaparecer vía handleDevices). Ver emitRevoke.
+    const { issued } = await identity.listDelegations()
+    const dele = (issued || []).find((d) => d.nonce === nonce)
+    const res = await identity.revokeDelegation(nonce)
+    if (dele?.sub) await emitRevoke(dele.sub, nonce)
+    return res
   }
 
   return {