@dotrino/vault 0.90.1 → 0.90.3

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.90.1",
+  "version": "0.90.3",
   "description": "La bóveda de Dotrino como librería: el MISMO núcleo que el binario corriendo en el navegador (`@dotrino/vault/browser`), el mostrador de emparejamiento y el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/core/libVersion.js

@@ -5,4 +5,4 @@
  * si no coincide con la del paquete: una versión anunciada que no es la que corre es peor
  * que no anunciar ninguna.
  */
-export const LIB_VERSION = '0.90.1'
+export const LIB_VERSION = '0.90.3'

package/src/deviceInfo.js

@@ -14,12 +14,10 @@
  * Sirve cualquier enlace con la forma común `{ device: { publickey }, cert, iss, proxy }`
  * (el de remote-agent y el de un servicio de dotrino-env).
  */
-import { pubkeyId } from '@dotrino/identity/capabilities'
+import { keyLabel } from '@dotrino/identity/capabilities'
 
 /** El id corto de una llave, como lo enseña la bóveda: `AB12-CD34`. */
-export async function shortId (publickey) {
-  return (await pubkeyId(publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
-}
+export const shortId = keyLabel
 
 /**
  * La información del aparato a partir de su enlace.

package/src/sealed.js

@@ -16,30 +16,13 @@
  * P-256 + AES-GCM, llaves como JWK string.
  */
 
-const subtle = globalThis.crypto.subtle
-
-function b64 (buf) {
-  const bytes = new Uint8Array(buf)
-  let s = ''
-  for (let i = 0; i < bytes.length; i++) s += String.fromCharCode(bytes[i])
-  return btoa(s)
-}
+import { wrapForMember, openWrap } from '@dotrino/identity/content'
 
-function fromB64 (str) {
-  const bin = atob(str)
-  const out = new Uint8Array(bin.length)
-  for (let i = 0; i < bin.length; i++) out[i] = bin.charCodeAt(i)
-  return out
-}
+// El sobre es el MISMO que el de las llaves de contenido de identity (ECDH P-256 efímero
+// → AES-256-GCM, `epk` en JWK): aquí solo se le mete un JSON en vez de una CEK. Antes
+// estaba escrito otra vez en este archivo, byte a byte igual.
 
-async function deriveAesKey (privateKey, publicJwkStr) {
-  const pub = await subtle.importKey(
-    'jwk', JSON.parse(publicJwkStr),
-    { name: 'ECDH', namedCurve: 'P-256' }, false, []
-  )
-  const bits = await subtle.deriveBits({ name: 'ECDH', public: pub }, privateKey, 256)
-  return subtle.importKey('raw', bits, { name: 'AES-GCM' }, false, ['encrypt', 'decrypt'])
-}
+const subtle = globalThis.crypto.subtle
 
 /**
  * Genera la llave ECDH EFÍMERA del solicitante (una por petición).
@@ -57,17 +40,7 @@ export async function makeEphemeralKey () {
  * @returns {Promise<{epk:string, iv:string, ct:string}>}
  */
 export async function seal ({ ek, payload }) {
-  const eph = await subtle.generateKey({ name: 'ECDH', namedCurve: 'P-256' }, false, ['deriveBits'])
-  const key = await deriveAesKey(eph.privateKey, ek)
-  const iv = globalThis.crypto.getRandomValues(new Uint8Array(12))
-  const pt = new TextEncoder().encode(JSON.stringify(payload))
-  const ct = await subtle.encrypt({ name: 'AES-GCM', iv }, key, pt)
-  const epkJwk = await subtle.exportKey('jwk', eph.publicKey)
-  return {
-    epk: JSON.stringify({ kty: epkJwk.kty, crv: epkJwk.crv, x: epkJwk.x, y: epkJwk.y }),
-    iv: b64(iv),
-    ct: b64(ct)
-  }
+  return wrapForMember({ cek: JSON.stringify(payload), memberEncPub: ek })
 }
 
 /**
@@ -78,7 +51,5 @@ export async function openSealed ({ privateKey, enc }) {
   if (!enc || typeof enc.epk !== 'string' || typeof enc.iv !== 'string' || typeof enc.ct !== 'string') {
     throw new Error('invalid sealed envelope')
   }
-  const key = await deriveAesKey(privateKey, enc.epk)
-  const pt = await subtle.decrypt({ name: 'AES-GCM', iv: fromB64(enc.iv) }, key, fromB64(enc.ct))
-  return JSON.parse(new TextDecoder().decode(pt))
+  return JSON.parse(await openWrap({ wrap: enc, myEncPrivateKey: privateKey }))
 }

package/src/service.js

@@ -23,7 +23,7 @@ import path from 'node:path'
 import { createHash } from 'node:crypto'
 import {
   makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice,
-  verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from '@dotrino/identity/capabilities'
+  verifyDeviceSig, makePairingCode, commitCode, pubkeyId, keyLabel } from '@dotrino/identity/capabilities'
 import { openWrap, wrapForMember, decryptWithCek } from '@dotrino/identity/content'
 import { verifyActa, sealKeyAt, memberCan, checkVaultReply } from '@dotrino/identity/acta'
 import { MSG, secretsScope, isValidSecretsNs, VAULT_PROTOCOL, VAULT_SPEAKS } from './protocol.js'
@@ -373,7 +373,7 @@ export async function enrollWithVault ({ qr, label = 'agent', expectedScope = nu
     // aparato entra al acta pero no le llega ningún secreto, y no da error. Un replicador
     // entra así A PROPÓSITO (ver `withEncKey`): reparte sobres cerrados y no abre ninguno.
     const enc = withEncKey ? await makeDeviceEncKey() : null
-    const deviceId = (await pubkeyId(device.publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
+    const deviceId = await keyLabel(device.publickey)
     // Código de emparejamiento ALEATORIO: se muestra y NO se envía. La bóveda lo
     // aprende solo cuando un humano lo tipea → aprobar exige TENER esta máquina.
     const code = makePairingCode()