@dotrino/vaultd 0.162.1 → 0.162.3

package/lib/src/core/libVersion.js

@@ -5,4 +5,4 @@
  * si no coincide con la del paquete: una versión anunciada que no es la que corre es peor
  * que no anunciar ninguna.
  */
-export const LIB_VERSION = '0.90.1'
+export const LIB_VERSION = '0.90.3'

package/lib/src/deviceInfo.js

@@ -14,12 +14,10 @@
  * Sirve cualquier enlace con la forma común `{ device: { publickey }, cert, iss, proxy }`
  * (el de remote-agent y el de un servicio de dotrino-env).
  */
-import { pubkeyId } from '@dotrino/identity/capabilities'
+import { keyLabel } from '@dotrino/identity/capabilities'
 
 /** El id corto de una llave, como lo enseña la bóveda: `AB12-CD34`. */
-export async function shortId (publickey) {
-  return (await pubkeyId(publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
-}
+export const shortId = keyLabel
 
 /**
  * La información del aparato a partir de su enlace.

package/lib/src/sealed.js

@@ -16,30 +16,13 @@
  * P-256 + AES-GCM, llaves como JWK string.
  */
 
-const subtle = globalThis.crypto.subtle
-
-function b64 (buf) {
-  const bytes = new Uint8Array(buf)
-  let s = ''
-  for (let i = 0; i < bytes.length; i++) s += String.fromCharCode(bytes[i])
-  return btoa(s)
-}
+import { wrapForMember, openWrap } from '@dotrino/identity/content'
 
-function fromB64 (str) {
-  const bin = atob(str)
-  const out = new Uint8Array(bin.length)
-  for (let i = 0; i < bin.length; i++) out[i] = bin.charCodeAt(i)
-  return out
-}
+// El sobre es el MISMO que el de las llaves de contenido de identity (ECDH P-256 efímero
+// → AES-256-GCM, `epk` en JWK): aquí solo se le mete un JSON en vez de una CEK. Antes
+// estaba escrito otra vez en este archivo, byte a byte igual.
 
-async function deriveAesKey (privateKey, publicJwkStr) {
-  const pub = await subtle.importKey(
-    'jwk', JSON.parse(publicJwkStr),
-    { name: 'ECDH', namedCurve: 'P-256' }, false, []
-  )
-  const bits = await subtle.deriveBits({ name: 'ECDH', public: pub }, privateKey, 256)
-  return subtle.importKey('raw', bits, { name: 'AES-GCM' }, false, ['encrypt', 'decrypt'])
-}
+const subtle = globalThis.crypto.subtle
 
 /**
  * Genera la llave ECDH EFÍMERA del solicitante (una por petición).
@@ -57,17 +40,7 @@ export async function makeEphemeralKey () {
  * @returns {Promise<{epk:string, iv:string, ct:string}>}
  */
 export async function seal ({ ek, payload }) {
-  const eph = await subtle.generateKey({ name: 'ECDH', namedCurve: 'P-256' }, false, ['deriveBits'])
-  const key = await deriveAesKey(eph.privateKey, ek)
-  const iv = globalThis.crypto.getRandomValues(new Uint8Array(12))
-  const pt = new TextEncoder().encode(JSON.stringify(payload))
-  const ct = await subtle.encrypt({ name: 'AES-GCM', iv }, key, pt)
-  const epkJwk = await subtle.exportKey('jwk', eph.publicKey)
-  return {
-    epk: JSON.stringify({ kty: epkJwk.kty, crv: epkJwk.crv, x: epkJwk.x, y: epkJwk.y }),
-    iv: b64(iv),
-    ct: b64(ct)
-  }
+  return wrapForMember({ cek: JSON.stringify(payload), memberEncPub: ek })
 }
 
 /**
@@ -78,7 +51,5 @@ export async function openSealed ({ privateKey, enc }) {
   if (!enc || typeof enc.epk !== 'string' || typeof enc.iv !== 'string' || typeof enc.ct !== 'string') {
     throw new Error('invalid sealed envelope')
   }
-  const key = await deriveAesKey(privateKey, enc.epk)
-  const pt = await subtle.decrypt({ name: 'AES-GCM', iv: fromB64(enc.iv) }, key, fromB64(enc.ct))
-  return JSON.parse(new TextDecoder().decode(pt))
+  return JSON.parse(await openWrap({ wrap: enc, myEncPrivateKey: privateKey }))
 }

package/lib/src/service.js

@@ -23,7 +23,7 @@ import path from 'node:path'
 import { createHash } from 'node:crypto'
 import {
   makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice,
-  verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from '@dotrino/identity/capabilities'
+  verifyDeviceSig, makePairingCode, commitCode, pubkeyId, keyLabel } from '@dotrino/identity/capabilities'
 import { openWrap, wrapForMember, decryptWithCek } from '@dotrino/identity/content'
 import { verifyActa, sealKeyAt, memberCan, checkVaultReply } from '@dotrino/identity/acta'
 import { MSG, secretsScope, isValidSecretsNs, VAULT_PROTOCOL, VAULT_SPEAKS } from './protocol.js'
@@ -373,7 +373,7 @@ export async function enrollWithVault ({ qr, label = 'agent', expectedScope = nu
     // aparato entra al acta pero no le llega ningún secreto, y no da error. Un replicador
     // entra así A PROPÓSITO (ver `withEncKey`): reparte sobres cerrados y no abre ninguno.
     const enc = withEncKey ? await makeDeviceEncKey() : null
-    const deviceId = (await pubkeyId(device.publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
+    const deviceId = await keyLabel(device.publickey)
     // Código de emparejamiento ALEATORIO: se muestra y NO se envía. La bóveda lo
     // aprende solo cuando un humano lo tipea → aprobar exige TENER esta máquina.
     const code = makePairingCode()

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.162.1",
+  "version": "0.162.3",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -22,10 +22,10 @@
   },
   "dependencies": {
     "@dotrino/compat": "0.4.0",
-    "@dotrino/identity": "0.119.0",
+    "@dotrino/identity": "0.120.0",
     "@dotrino/opaque": "0.1.0",
     "@dotrino/passmanager": "0.18.4",
-    "@dotrino/proxy-client": "0.36.1",
+    "@dotrino/proxy-client": "0.36.2",
     "@dotrino/roadmap": "0.4.30",
     "@dotrino/store": "0.12.3",
     "@dotrino/update": "0.9.0",
@@ -51,7 +51,7 @@
     "!lib/src/types.d.ts"
   ],
   "devDependencies": {
-    "@dotrino/remote-agent": "0.20.1",
+    "@dotrino/remote-agent": "0.21.0",
     "@types/node": "^22.0.0",
     "typescript": "5.9.3"
   },

package/src/client.js

@@ -11,7 +11,7 @@
  * estrictamente (firmado por la maestra que vio en el QR, y para SU clave) antes de
  * guardarlo. La maestra nunca sale del vault.
  */
-import { makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice, verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from '@dotrino/identity/capabilities'
+import { makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice, verifyDeviceSig, makePairingCode, commitCode, keyLabel } from '@dotrino/identity/capabilities'
 import { myContentKey, encryptWithCek, decryptWithKeyring } from '@dotrino/identity/content'
 // Con qué se juzga lo que devuelve la bóveda (papel + acta): la regla del pilar, una sola.
 import { checkVaultReply } from '@dotrino/identity/acta'
@@ -65,7 +65,7 @@ export async function enroll ({ qr, label = '', dir, onChallenge, approveTimeout
     // La llave de CIFRADO del aparato: con su pública en el acta, la bóveda le envuelve la
     // clave de contenido al admitirlo. Sin ella no podría usar el almacén, que solo entra cifrado.
     const enc = await makeDeviceEncKey()
-    const myDeviceId = (await pubkeyId(device.publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
+    const myDeviceId = await keyLabel(device.publickey)
     // ESTE dispositivo genera el código y lo MUESTRA; solo viaja su COMPROMISO. El vault
     // lo aprende cuando un humano lo tipea, y solo firma el cert si el compromiso coincide.
     const code = makePairingCode()

package/src/ctl.js

@@ -26,7 +26,7 @@ import path from 'node:path'
 import { execFileSync } from 'node:child_process'
 import tty from 'node:tty'
 import crypto from 'node:crypto'
-import { pubkeyId } from '@dotrino/identity/capabilities'
+import { pubkeyId, keyLabel } from '@dotrino/identity/capabilities'
 import { dataDir } from './paths.js'
 // EL CANAL LOCAL VA CIFRADO (ver `ipc.js`): por aquí salen la contraseña y los valores.
 import { ipcRead, ipcWrite } from './ipc.js'
@@ -133,10 +133,8 @@ function requireDaemon () {
   if (!alive(s.pid)) { console.error('El daemon no está corriendo. Arráncalo: %s', START_HINT); process.exit(1) }
   return s
 }
-function deviceIdOf (sub) {
-  // mismo formato que el daemon: 8 hex agrupados AB12-CD34
-  return pubkeyId(sub).then((id) => id.slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2'))
-}
+// mismo formato que el daemon: AB12-CD34
+const deviceIdOf = keyLabel
 
 /** Lo que dijo un aprobador sobre sus avisos, para enseñarlo. No decide nada. */
 function avisosTxt (notifiedAt) {

package/src/replica.js

@@ -24,7 +24,7 @@ import fs from 'node:fs'
 import path from 'node:path'
 import os from 'node:os'
 import { WebSocketProxyClient } from '@dotrino/proxy-client'
-import { signWithDevice, verifyDeviceSig, verifyChain, pubkeyId } from '@dotrino/identity/capabilities'
+import { signWithDevice, verifyDeviceSig, verifyChain, pubkeyId, keyLabel } from '@dotrino/identity/capabilities'
 import { verifyActa, memberCan, memberCanReadSecrets, sealKeyAt, sealersOf } from '@dotrino/identity/acta'
 import { MSG, secretsScope, isValidSecretsNs } from '../lib/src/protocol.js'
 import { FRESH_WINDOW_MS } from '../lib/src/enroll.js'
@@ -156,7 +156,7 @@ export async function runReplica ({ dir = replicaDir(), proxyUrl, log = console.
       { code: 'replica-not-enrolled' })
   }
   const url = proxyUrl || link.proxy || process.env.PROXY_URL || 'wss://proxy.dotrino.com'
-  const id = (await pubkeyId(link.device.publickey)).slice(0, 8).toUpperCase().replace(/(.{4})(.{4})/, '$1-$2')
+  const id = await keyLabel(link.device.publickey)
 
   const firmar = (data) => signWithDevice({ privateJwk: link.device.privateJwk, data })
   // CONTESTAR es por la CONEXIÓN (`send`) y no por la llave (`sendByPubkey`): `from` es el