ciphermesh 1.2.0 → 1.2.1

package/README.md

@@ -43,7 +43,7 @@ forwarding, survives CGNAT).
 | 🔐 | **Real E2EE** | Curve25519 + XSalsa20-Poly1305 via libsodium, keys in `sodium_malloc` — never touch disk |
 | 🔄 | **Perfect Forward Secrecy** | Double Ratchet: one key per message, compromise today ≠ read yesterday |
 | 🕶️ | **Metadata resistance** | Fixed-bucket length padding on every ciphertext + opt-in cover traffic (`/cover`) to blur when you chat |
-| 🕵️ | **TOFU + SAS** | Key-change detection (MITM alarm) and 6-digit voice-verifiable codes |
+| 🕵️ | **TOFU + SAS** | Key-change detection (MITM alarm), 6-digit voice-verifiable codes, and inline **✓/✗** trust badges next to names |
 | 🌐 | **LAN & internet** | Auto-detects Tailscale, shows the reachable address in the banner |
 | 📨 | **Invites with QR** | `/invite` prints a `ciphermesh://` string + QR — paste it, you're in the right room |
 | ✓✓ | **Encrypted read receipts** | The ✓✓ travels as ordinary ciphertext — the server can't tell it apart |
@@ -116,6 +116,7 @@ QR code) to whoever you want to pull in.
 | Command | Description |
 |---------|-------------|
 | `/help` | All commands |
+| `/tips` | Show a rotating security/UX tip |
 | `/users` | Who's online (with away/status) |
 | `/msg <nick> <text>` | Private message (DM) |
 | `/reply <text>` | Reply quoting the last received message |
@@ -156,6 +157,8 @@ QR code) to whoever you want to pull in.
 | `/receipts [on\|off]` | Send read receipts (✓✓) |
 | `/audit [n]` | Local audit log |
 
+A green **✓** next to a name marks a SAS-verified peer; a red **✗** flags a key that changed since you last saw it (possible MITM). A newly-arrived unverified peer triggers a one-time reminder to `/verify` them.
+
 </details>
 
 <details>

package/README.pt-BR.md

@@ -43,7 +43,7 @@ forwarding, imune a CGNAT).
 | 🔐 | **E2EE de verdade** | Curve25519 + XSalsa20-Poly1305 via libsodium, chaves em `sodium_malloc` — nunca tocam o disco |
 | 🔄 | **Perfect Forward Secrecy** | Double Ratchet: uma chave por mensagem — comprometer hoje ≠ ler ontem |
 | 🕶️ | **Resistência a metadados** | Padding de comprimento em buckets fixos em todo ciphertext + cover traffic opcional (`/cover`) pra borrar quando você conversa |
-| 🕵️ | **TOFU + SAS** | Alarme de troca de chave (MITM) e código de 6 dígitos verificável por voz |
+| 🕵️ | **TOFU + SAS** | Alarme de troca de chave (MITM), código de 6 dígitos verificável por voz e badges de confiança **✓/✗** inline ao lado dos nomes |
 | 🌐 | **LAN e internet** | Detecta Tailscale sozinho e mostra o endereço alcançável no banner |
 | 📨 | **Convites com QR** | `/invite` gera uma string `ciphermesh://` + QR — colou, caiu na sala certa |
 | ✓✓ | **Read receipts cifrados** | O ✓✓ viaja como ciphertext comum — o servidor não distingue de mensagem |
@@ -116,6 +116,7 @@ quem você quiser puxar pra conversa.
 | Comando | Descrição |
 |---------|-----------|
 | `/help` | Todos os comandos |
+| `/tips` | Mostra uma dica rotativa de segurança/UX |
 | `/users` | Quem está online (com away/status) |
 | `/msg <nick> <texto>` | Mensagem privada (DM) |
 | `/reply <texto>` | Responde citando a última mensagem recebida |
@@ -156,6 +157,8 @@ quem você quiser puxar pra conversa.
 | `/receipts [on\|off]` | Envio de confirmação de leitura (✓✓) |
 | `/audit [n]` | Log de auditoria local |
 
+Um **✓** verde ao lado de um nome indica um peer verificado por SAS; um **✗** vermelho sinaliza uma chave que mudou desde a última vez (possível MITM). Um peer novo não-verificado dispara um lembrete único para `/verify`.
+
 </details>
 
 <details>

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "ciphermesh",
-  "version": "1.2.0",
+  "version": "1.2.1",
   "description": "Secure terminal chat for the local network (LAN) with real end-to-end encryption (E2EE) using libsodium",
   "type": "module",
   "main": "src/client/index.js",

package/src/client/ChatController.js

@@ -908,6 +908,7 @@ export class ChatController {
       case '/help':
         this.#ui.addInfoMessage('Available commands:');
         this.#ui.addInfoMessage('  /help                - Show this help');
+        this.#ui.addInfoMessage('  /tips                - Show a security/UX tip');
         this.#ui.addInfoMessage('  /users               - List online users');
         this.#ui.addInfoMessage('  /msg <nick> <text>   - Send a private message (DM)');
         this.#ui.addInfoMessage('  /reply <text>        - Reply to the last received message');
@@ -925,6 +926,7 @@ export class ChatController {
         this.#ui.addInfoMessage('  /verify-confirm <nick> - Confirm peer verification');
         this.#ui.addInfoMessage("  /trust <nick>        - Accept a peer's new key");
         this.#ui.addInfoMessage("  /trustlist           - Peers' trust status");
+        this.#ui.addInfoMessage('  (✓ = verified peer · ✗ = key changed — shown next to a name)');
         this.#ui.addInfoMessage('  /clear               - Clear the chat');
         this.#ui.addInfoMessage('  /file <path>         - Send a file (max 50MB)');
         this.#ui.addInfoMessage(

package/src/p2p/P2PChatController.js

@@ -677,6 +677,7 @@ export class P2PChatController {
       case '/help':
         this.#ui.addInfoMessage('Available commands (P2P mode):');
         this.#ui.addInfoMessage('  /help                - Show this help');
+        this.#ui.addInfoMessage('  /tips                - Show a security/UX tip');
         this.#ui.addInfoMessage('  /users               - List connected peers');
         this.#ui.addInfoMessage('  /msg <nick> <text>   - Send a private message (DM)');
         this.#ui.addInfoMessage('  /fingerprint         - Show your fingerprint');
@@ -685,6 +686,7 @@ export class P2PChatController {
         this.#ui.addInfoMessage('  /verify-confirm <nick> - Confirm verification');
         this.#ui.addInfoMessage('  /trust <nick>        - Accept a new key');
         this.#ui.addInfoMessage('  /trustlist           - Trust status');
+        this.#ui.addInfoMessage('  (✓ = verified peer · ✗ = key changed — shown next to a name)');
         this.#ui.addInfoMessage('  /clear               - Clear the chat');
         this.#ui.addInfoMessage('  /file <path>         - Send a file (max 50MB)');
         this.#ui.addInfoMessage(