Changeset f63cbc2 in Klonkt for src/services/CircleService.js

Timestamp:

06/16/2026 06:33:38 AM (3 months ago)

Author:

roboburr <roboburr@…>

Branches:

main

Children:

4fee228

Parents:

1b4d5dd

Message:

Circles: protocol version enforced via signature binding (update enforcement)

KLONKT_PROTO is now part of the signed basis (signingInput:
"klonkt/proto/N\n"+body). An instance on a different proto cannot verify
the signed outbox and vice versa → staying up to date is cryptographically
enforced, not a patchable check. Both sides verify the proto
(actor.klonkt.proto + Klonkt-Proto header → 426); too-old/too-new sources
are excluded with status 'outdated' + a clear message. Couple security to
every proto bump. Proto starts at 2; roll out in lockstep.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@…>

File:

• src/services/CircleService.js (modified) (5 diffs)

src/services/CircleService.js

@@ -6 +6 @@
 
 import db from '../config/database.js';
-import { verifyBody } from './CircleFederation.js';
+import { verifyBody, KLONKT_PROTO, MIN_PROTO } from './CircleFederation.js';
 import { getTenancy } from './SettingsService.js';
 
@@ -25 +25 @@
 function baseOf(remoteUrl) {
   return String(remoteUrl).replace(/\/+$/, '');
+}
+
+// Bron buiten de cirkel zetten met een leesbare reden (geen stille mislukking).
+// Aparte status 'outdated' zodat de Beheer-UI er een nette "update vereist"-
+// melding van kan maken i.p.v. een generieke fout.
+function markOutdated(link, msg) {
+  db.prepare("UPDATE circle_links SET status='outdated', last_error=?, last_synced=CURRENT_TIMESTAMP WHERE id=?")
+    .run(String(msg).slice(0, 300), link.id);
+  return { ok: false, outdated: true, link: link.remote_url, error: msg };
 }
 
@@ -36 +45 @@
       signal: ac.signal,
       redirect: 'follow',
-      headers: { Accept: 'application/activity+json, application/json' },
+      headers: {
+        Accept: 'application/activity+json, application/json',
+        // Vertel de publisher onze proto → die kan ons met 426 weren als we te oud zijn.
+        'Klonkt-Proto': String(KLONKT_PROTO),
+      },
     });
     if (!res.ok) throw new Error(`HTTP ${res.status}`);
@@ -84 +97 @@
   if (originOf(actorId) !== originOf(actorUrl)) throw new Error('actor.id heeft andere origin dan de actor-URL');
 
+  // Protocol-versie-gate. De proto zit óók in de outbox-handtekening-grondslag,
+  // dus liegen in de (ongetekende) actor helpt niet: bij een echte mismatch faalt
+  // de verificatie verderop alsnog. Hier vooral voor een DUIDELIJKE melding +
+  // buitensluiten zonder stille mislukking.
+  const remoteProto = Number(actor.klonkt && actor.klonkt.proto) || 1;
+  if (remoteProto > KLONKT_PROTO) {
+    return markOutdated(link,
+      `Jouw Klonkt (proto ${KLONKT_PROTO}) is ouder dan ${base} (proto ${remoteProto}). Werk je eigen instance bij om te blijven federeren.`);
+  }
+  if (remoteProto < MIN_PROTO) {
+    return markOutdated(link,
+      `${base} draait een oudere Klonkt (proto ${remoteProto}; minimaal ${MIN_PROTO} vereist). Vraag ze te updaten.`);
+  }
+
   // TOFU: een sleutelwissel vereist expliciete herbevestiging (anti-hijack)
   const existing = db.prepare('SELECT public_key FROM remote_actors WHERE id = ?').get(actorId);
@@ -104 +131 @@
   const sigHeader = o.headers.get('klonkt-signature') || '';
   const sig = (sigHeader.match(/ed25519=(.+)\s*$/) || [])[1];
-  if (!sig || !verifyBody(o.text, sig, pubKey)) {
+  if (!sig || !verifyBody(o.text, sig, pubKey, remoteProto)) {
     throw new Error('outbox-handtekening ongeldig of ontbreekt');
   }