@dotrino/vaultd 0.74.0 → 0.75.1

package/lib/src/admin.js

@@ -46,7 +46,7 @@
 export const ADMIN_OPS = Object.freeze([
   // `pending`, `pair`, `approve` y `reject` NO están, y no es un olvido: agregar aparatos
   // a distancia se quitó (ver la cabecera). Lo que queda es mirar, quitar y configurar.
-  'status', 'revoke', 'audit',
+  'revoke', 'audit',
   // Variables de entorno: verlas (nombres siempre; valor solo de las públicas) y
   // ponerles valor (de las dos). Borrar NO está, y es a propósito: un aparato robado
   // no debe poder dejar sin configuración a los servicios.
@@ -72,7 +72,7 @@ export const ADMIN_OPS = Object.freeze([
  * Se dejan las de LEER a propósito: si se cortaran todas, la consola no podría ni
  * enterarse de por qué no funciona y parecería rota. Así puede decir «está cerrada».
  */
-export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['status', 'audit', 'vars'])
+export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars'])
 
 /** Cuánto se recuerda un nonce ya usado (el doble de la ventana de frescura). */
 export const ADMIN_NONCE_TTL_MS = 10 * 60 * 1000
@@ -159,10 +159,6 @@ export function createAdminDesk ({
     }
 
     try {
-      // Lo mínimo que la consola necesita saber de la bóveda para explicarse: si está
-      // cerrada, lo que queda (revocar, configurar) no se puede, y hay que decir por qué en
-      // vez de dejar pulsar un botón para recibir un error.
-      if (data.op === 'status') return { ok: true, result: { locked: !!isLocked() } }
 
       if (data.op === 'audit') {
         const limit = Math.min(Math.max(Number(data.limit) || 100, 1), AUDIT_MAX)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.74.0",
+  "version": "0.75.1",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/vault.js

@@ -228,7 +228,11 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   try {
     const info = await identity.profileActa?.()
     const acta = info?.acta
-    if (info?.isMaster && acta && (!acta.sealPub || !sealKeys.has(acta.sealPub))) {
+    // CON EL PERFIL ABIERTO. Estrenar la llave de sellado SELLA EL ACTA, y una bóveda
+    // cerrada no sella nada — la misma regla que el bloque de abajo. Cerrada se queda sin
+    // llave y los sobres salen sin firma (lo que ya pasaba antes de §8.8), y se arregla sola
+    // la primera vez que alguien abra el perfil.
+    if (info?.isMaster && acta && !isLocked() && (!acta.sealPub || !sealKeys.has(acta.sealPub))) {
       const r = await identity.rotateSealKey()
       // Sin `%s`: este `log` va con un prefijo por delante, así que el formato no es lo
       // primero y `console.log` no lo sustituye (salía «record #%s 2»).
@@ -252,7 +256,14 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   try {
     const info = await identity.profileActa?.()
     const acta = info?.acta
-    if (acta && !identity.masterLocked) {
+    // CON EL PERFIL ABIERTO, y `isLocked()` es la pregunta correcta — no `masterLocked`.
+    //
+    // Se coló así: en la PRIMERA arrancada tras actualizar, la maestra todavía está guardada
+    // en claro (se sella al abrir el perfil), o sea que `masterLocked` es `false` aunque el
+    // perfil esté cerrado. Con ese guardián, la bóveda de producción admitió su llave de
+    // comunicación y SELLÓ UN ACTA NUEVA (#76 → #77) estando cerrada — justo lo que la regla
+    // prohíbe, y encima rotando de paso la llave de sellado sin que nadie lo pidiera.
+    if (acta && !isLocked() && !identity.masterLocked) {
       const pub = await commKey.ensure()
       const yaEsta = (acta.members || []).some((m) => m?.pub === pub)
       if (!yaEsta && info?.isMaster) {
@@ -604,14 +615,29 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     if (!isFresh(p.data)) return staleReply(from)
     const chk = await verifyChain({ data: p.data, signature: p.signature, cert: p.cert, ...(await contextoActa()), revoked: await revocationSet() })
     if (!chk.ok) return denyChain(from, chk, p, null)
-    // La lista de aparatos es el perfil: quién eres, cómo se llama cada máquina y qué puede.
-    // Este mostrador no preguntaba al acta, así que un aparato al que le quitaste `lee`
-    // seguía viendo tu inventario entero hasta que caducara su papel.
-    if (!await actaAllows(from, chk, SCOPE.READ, 'devices')) return
+    // DOS RESPUESTAS, PORQUE SON DOS PREGUNTAS DISTINTAS.
+    //
+    // Un SERVICIO pregunta aquí para enterarse de dos cosas suyas: si le revocaron el papel
+    // y cuál es el acta vigente. Eso no es tu inventario y no puede exigir `lee` — se lo
+    // exigí, y en producción dejó ciegos a los servicios (`rejected devices/acta` en la
+    // bitácora del VPS, dos veces, antes de que lo viera).
+    //
+    // La LISTA DE APARATOS sí es el perfil —cómo se llama cada máquina y qué puede— y esa
+    // sigue pidiendo `lee`. Antes no preguntaba nada, así que un aparato al que le quitaste
+    // el permiso seguía viéndolo todo hasta que su papel caducara.
+    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+    const puedeVerTodo = !!record && Acta.memberCanScope(record, chk.device, SCOPE.READ)
     const { issued, revoked } = await identity.listDelegations()
+    if (!puedeVerTodo) {
+      if (!record) {
+        audit('rejected', { what: 'devices', reason: 'sin-acta' })
+        return reply(from, { type: MSG.ERROR, error: 'unauthorized: this vault has no record to decide with' })
+      }
+      audit('devices', { device: await deviceIdOf(chk.device).catch(() => null), solo: 'revocaciones' })
+      return reply(from, { type: MSG.DEVICES_RESULT, devices: [], revoked, acta: record })
+    }
     // El acta viaja con la lista: así cada dispositivo se entera de los cambios de
     // política (quién manda, quién puede qué) sin un canal aparte.
-    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
     // Si el dispositivo estuvo apagado y viene con un `seq` viejo, se le manda la CADENA
     // que falta (ventana de retención, §1.3) para que compruebe el encadenamiento en vez
     // de tragarse un salto a ciegas. Si se salió de la ventana, llega vacía y toca