@dotrino/vault 0.51.0 → 0.52.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.51.0",
+  "version": "0.52.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/atrest.js

@@ -14,8 +14,14 @@
  *   · `secrets.json`   secretos de servicios (tokens y llaves de producción)
  *   · `service-identity.json` en la máquina del SERVICIO (`@dotrino/vault/env`):
  *     lleva la llave privada de su dispositivo, así que va igual de cifrado.
- * Queda fuera a propósito `activity.log`: es la bitácora de auditoría y no guarda
- * payloads (solo op, dispositivo y hora), y se quiere legible para diagnosticar.
+ *   · `activity.log`   la bitácora de auditoría, cifrada LÍNEA A LÍNEA (ver `LINE_FILES`)
+ *   · `state.json`, `acta.json`, `secret-request.json`… el canal local con la CLI
+ *     (`src/ipc.js`), por donde pasan la contraseña del perfil y los valores
+ *   · `transport.json` el par de transporte de `@dotrino/proxy-client`, con su privada
+ *
+ * La bitácora estuvo fuera hasta 0.89, con el argumento de que «no guarda payloads». No
+ * guarda valores, pero sí el mapa de la cuenta —qué aparatos, con qué permisos, contra
+ * qué cajones y a qué hora—, que es lo que mira quien elige por dónde entrar.
  *
  * Qué NO resuelve, dicho sin adornos: **no protege contra alguien con acceso a esta misma
  * máquina como tu usuario o como root** — puede leer el mismo material que leemos nosotros.
@@ -178,15 +184,31 @@ export function migrateFile (file, key) {
 }
 
 /** Los archivos de este directorio que están cifrados por nosotros. */
+/**
+ * Archivos que van cifrados **línea a línea**, no de una pieza.
+ *
+ * La bitácora se ESCRIBE AÑADIENDO. Cifrarla entera obligaría a reescribir el archivo
+ * completo en cada anotación, así que cada entrada se cierra sola. Eso la deja fuera del
+ * barrido de abajo (una lectura de todo el archivo no descifra: son muchos textos pegados)
+ * y la mete en su propio camino al cambiar de proveedor.
+ */
+export const LINE_FILES = Object.freeze(['activity.log'])
+
 export function encryptedFilesIn (dir) {
   let names = []
   try { names = fs.readdirSync(dir) } catch (_) { return [] }
   return names.filter((n) => {
     if (n === CONFIG_FILE || n === WRAPPED_FILE || n === SALT_FILE || n === MACHINE_FILE) return false
+    if (LINE_FILES.includes(n)) return false
     try { return isEncrypted(fs.readFileSync(path.join(dir, n), 'utf8')) } catch (_) { return false }
   })
 }
 
+/** Las bitácoras presentes en `dir`, con sus líneas. `[]` si no hay ninguna. */
+export function lineFilesIn (dir) {
+  return LINE_FILES.filter((n) => { try { return fs.statSync(path.join(dir, n)).isFile() } catch (_) { return false } })
+}
+
 /**
  * CAMBIAR DE PROVEEDOR: descifra todo con la clave vieja y lo vuelve a cifrar con la nueva.
  *
@@ -219,6 +241,19 @@ export function rekeyDir (dir, newConfig, { password = '' } = {}) {
       throw new KekError('kek-rekey', `cannot decrypt ${n} with the current provider (${oldCfg.provider}): ${e.message}`)
     }
   }
+  // Las bitácoras, por líneas. `decryptText` deja pasar el texto en claro, así que una
+  // mitad vieja sin cifrar cruza intacta y sale cifrada con la clave nueva.
+  const lineFiles = lineFilesIn(dir)
+  const plainLines = new Map()
+  for (const n of lineFiles) {
+    const p = path.join(dir, n)
+    try {
+      const lines = fs.readFileSync(p, 'utf8').split('\n')
+      plainLines.set(n, lines.map((l) => (l ? decryptText(l, oldKey) : l)))
+    } catch (e) {
+      throw new KekError('kek-rekey', `cannot decrypt ${n} with the current provider (${oldCfg.provider}): ${e.message}`)
+    }
+  }
 
   // 2. La clave nueva, todavía sin escribir su envoltorio.
   let newKey; let newBlob = null
@@ -236,6 +271,15 @@ export function rekeyDir (dir, newConfig, { password = '' } = {}) {
     if (decryptText(blob, newKey) !== text) throw new KekError('kek-verify', `re-encryption check failed for ${n}: nothing was written`)
     out.set(n, blob)
   }
+  for (const [n, lines] of plainLines) {
+    const blobs = lines.map((l) => (l ? encryptText(l, newKey) : l))
+    for (let i = 0; i < lines.length; i++) {
+      if (lines[i] && decryptText(blobs[i], newKey) !== lines[i]) {
+        throw new KekError('kek-verify', `re-encryption check failed for ${n} (line ${i + 1}): nothing was written`)
+      }
+    }
+    out.set(n, blobs.join('\n'))
+  }
 
   // 4. A disco. Copia de seguridad, temporal, renombrar.
   const backups = []
@@ -266,6 +310,6 @@ export function rekeyDir (dir, newConfig, { password = '' } = {}) {
 
 export default {
   machineKey, kekFor, atRestFor, migrateFile, isEncrypted, encryptText, decryptText,
-  rekeyDir, encryptedFilesIn, readConfig, writeConfig, probe, KekError
+  rekeyDir, encryptedFilesIn, lineFilesIn, LINE_FILES, readConfig, writeConfig, probe, KekError
 }
 export { readConfig, writeConfig, probe, configFromEnv, KekError, CONFIG_FILE, WRAPPED_FILE }