@dotrino/vault 0.16.0 → 0.17.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.16.0",
+  "version": "0.17.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/service.js

@@ -27,6 +27,7 @@ import {
 import { MSG, secretsScope, isValidSecretsNs } from './protocol.js'
 import { makeEphemeralKey, openSealed } from './sealed.js'
 import { parseInvite } from './invite.js'
+import { atRestFor } from './atrest.js'
 
 const IDENTITY_FILE = 'service-identity.json'
 const FRESH_WINDOW_MS = 5 * 60 * 1000
@@ -169,15 +170,26 @@ function waitForMsg (client, predicate, timeoutMs = 30000) {
 
 const identityFileOf = (dir) => path.join(dir, IDENTITY_FILE)
 
-/** Lee la identidad persistida del servicio ({device, cert, iss, proxy, ns}) o null. */
+/**
+ * Lee la identidad persistida del servicio ({device, cert, iss, proxy, ns}) o null.
+ *
+ * CIFRADA EN REPOSO (`atrest.js`) con una clave ligada a ESTA máquina: el archivo
+ * lleva la llave privada del dispositivo, así que copiarlo a otro equipo no sirve.
+ * Un archivo de una versión anterior (en claro) se lee igual y queda cifrado en la
+ * primera escritura.
+ */
 export function readServiceIdentity (dir) {
-  try { return JSON.parse(fs.readFileSync(identityFileOf(dir), 'utf8')) } catch (_) { return null }
+  try {
+    const text = fs.readFileSync(identityFileOf(dir), 'utf8')
+    return JSON.parse(atRestFor(dir).decrypt(text))
+  } catch (_) { return null }
 }
 
 function writeServiceIdentity (dir, obj) {
   fs.mkdirSync(dir, { recursive: true, mode: 0o700 })
   const f = identityFileOf(dir)
-  fs.writeFileSync(f, JSON.stringify(obj, null, 2), { mode: 0o600 })
+  const blob = atRestFor(dir).encrypt(JSON.stringify(obj, null, 2))
+  fs.writeFileSync(f, blob, { mode: 0o600 })
 }
 
 /**