From fe30860c58e0f1b1efd457ff5eb5146d1e592da0 Mon Sep 17 00:00:00 2001 From: Christophe Besson Date: Tue, 1 Sep 2026 01:03:43 +0200 Subject: feat: passphrase change and account recovery (auth-confirm) MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit The passphrase derives two independent client-side values: auth_key (the hub verifier) and bundle_key (AES-GCM key for the per-node identity bundles, which live on nodes and never on the hub). Changing or recovering a passphrase is therefore two operations — swap the hub verifier, and re-wrap every reachable node's identity bundle. Flow A — change a known passphrase (Profile page) - POST /v1/users/password re-proves the current passphrase, swaps pw_hash/salt/version, revokes every refresh token and returns a fresh pair so the tab that made the change stays signed in. - MeshBayTransport.rewrapAllNodes: for every group's online node, connect with the old key, read the identity off the handshake, store it back under the new key. Returns updated / unreachable / failed so the UI can point at the operator-unpin fallback for the gaps. Always-shown confirmation dialog listing reachable and unreachable groups. Recovery key - keyderive.js generateRecoveryKey (32 random bytes, grouped Base32) and deriveRecoveryKey (HKDF-SHA256, domain meshbay:recovery:v1:). - Every per-node identity gets a second copy wrapped under the recovery key: keypair_bundles.bundle_enc_recovery (node-only column, added in _SCHEMA_KEYPAIR and via a PRAGMA-guarded ALTER for existing DBs), carried on keypair_bundle_store / _resp. MNP 0.13 -> 0.14, additive. - session.recoveryKey is persisted in IndexedDB (slot rk) and lazy-loaded on connect, so a group joined in any later session still leaves a recovery copy. - Shown once at registration; optionally folded into the verification e-mail as a pass-through the hub never stores or logs, with an opt-out. - Profile -> Recovery key re-loads R and backfills every reachable node via rewrapAllNodes in bundleKey mode (no passphrase re-entry). Flow B — recover a lost passphrase (#/reset, linked from sign-in) - POST /v1/users/password/reset-request {username, email}: both must be the pair on file, checked against the blind email_hash (never decrypted). A mismatch — wrong e-mail, unknown username, non-active account — takes the identical no-op path (no code, no mail, same 200), so it reveals nothing and cannot be used to spray reset mail from a username alone. 5/min, 1-hour single-use code. - POST /v1/users/password/reset {username, code, new_auth_key}: same expiry / attempts / single-use checks as e-mail verification; revokes every session and deletes every registered device key so a stored one cannot sign back in past the reset. - ResetPasswordPage: request code -> code + optional recovery key + new passphrase -> reset + sign-in -> fan-out. connect() falls back to the recovery-wrapped copy when the passphrase key cannot open bundle_enc. Without a recovery key: sign-in is restored and each group needs the operator-unpin fallback. Supporting fixes (found in live testing) - member unpin now also deletes the keypair bundle; connect() mints a fresh identity when handed a bundle it cannot open (unless _rewrapOnly, set by rewrapAllNodes), so a rejoin completes instead of dead-ending before the invite-code prompt. - A browser with no bundle key gets a passphrase prompt on the group page instead of a "go back to the browser you registered on" message. - RegisterPage / LoginPage / ResetPasswordPage trim the username so every key derivation matches the hub's stored form. Docs: docs/auth-confirm.md. Locale keys across all ten catalogues. Tests: test_password_change, test_password_reset, test_recovery_email, test_recovery_key, test_rewrap_fanout, test_bundle_store_recovery, plus additions to test_admin_ops_mnp and test_webrtc_transport. Hub suite 492 passed; node suite 741 passed (the lone test_packaging_units failure is a pre-existing RPM-spec flake, reproducible on main). Co-Authored-By: Claude Sonnet 5 Claude-Session: https://claude.ai/code/session_01GGkxJW9br8Y9bhT8ywJ3oc --- .../src/meshbay_hub/static/locales/pt-BR.js | 62 ++++++++++++++++++++++ 1 file changed, 62 insertions(+) (limited to 'packages/meshbay-hub/src/meshbay_hub/static/locales/pt-BR.js') diff --git a/packages/meshbay-hub/src/meshbay_hub/static/locales/pt-BR.js b/packages/meshbay-hub/src/meshbay_hub/static/locales/pt-BR.js index 3fbbb0b..9d69b85 100644 --- a/packages/meshbay-hub/src/meshbay_hub/static/locales/pt-BR.js +++ b/packages/meshbay-hub/src/meshbay_hub/static/locales/pt-BR.js @@ -30,6 +30,25 @@ export default { 'login.loading': 'Entrando...', 'login.no_account': 'Ainda não tem conta?', 'login.register_link': 'Criar uma conta', + 'login.forgot': 'Esqueceu sua frase secreta?', + 'reset.title': 'Redefinir a frase secreta', + 'reset.request_intro': 'Digite seu nome de usuário e o e-mail da conta. Se coincidirem, um código de redefinição é enviado para esse endereço.', + 'reset.send_code': 'Enviar código', + 'reset.form_intro': 'Digite o código do seu e-mail e escolha uma nova frase secreta. Se você tem sua chave de recuperação, adicione-a para também restaurar o acesso aos seus grupos.', + 'reset.code': 'Código de redefinição', + 'reset.recovery_key': 'Chave de recuperação (opcional)', + 'reset.recovery_key_hint': 'Deixe em branco se não a tiver. Sem ela, seu acesso é restaurado, mas é preciso reingressar em cada grupo.', + 'reset.new_pass': 'Nova frase secreta', + 'reset.new_pass_repeat': 'Repetir a nova frase secreta', + 'reset.submit': 'Redefinir a frase secreta', + 'reset.working': 'Restaurando suas identidades de grupo…', + 'reset.signin_restored': 'Seu acesso foi restaurado.', + 'reset.groups_restored': 'Suas identidades de grupo foram restauradas em todos os nós alcançáveis.', + 'reset.no_recovery': 'Suas identidades de grupo não foram restauradas. Para cada grupo, peça ao operador dele para remover sua fixação e enviar um novo código de convite, e então reingresse.', + 'reset.needs_operator': 'Estes grupos ainda precisam de ação — peça a cada operador para remover sua fixação e enviar um novo código:', + 'reset.go_app': 'Ir para o aplicativo', + 'reset.back_to_login': 'Voltar para o login', + 'reset.err_unsupported': 'A redefinição da frase secreta precisa do módulo de criptografia do navegador, que não está disponível aqui.', // Register 'register.title': 'Criar uma conta', @@ -41,6 +60,16 @@ export default { 'register.loading': 'Criando a conta...', 'register.has_account': 'Já tem uma conta?', 'register.login_link': 'Entrar', + 'register.recovery_title': 'Guarde sua chave de recuperação', + 'register.recovery_intro': 'Esta chave restaura suas identidades de grupo caso você esqueça sua frase secreta. Guarde-a em um gerenciador de senhas ou em local seguro — ela é mostrada apenas uma vez, e o hub nunca a vê.', + 'register.recovery_copy': 'Copiar', + 'register.recovery_copied': 'Copiado', + 'register.recovery_warning': 'Se você perder tanto a frase secreta quanto esta chave, seus arquivos permanecem em seus nós, mas você reingressa em cada grupo com uma nova identidade.', + 'register.recovery_saved': 'Guardei minha chave de recuperação em um local seguro.', + 'register.recovery_continue': 'Continuar', + 'register.recovery_email_opt': 'Enviar também esta chave de recuperação para o meu e-mail como backup', + 'register.recovery_emailed': 'Uma cópia também foi enviada para o seu e-mail, na mesma mensagem que o seu código de verificação.', + 'register.recovery_not_emailed': 'Isto não foi enviado por e-mail. Guarde agora — esta é a única vez que é mostrada.', 'register.success_title': 'Verifique seu e-mail', 'register.success_msg': 'Um código de verificação foi enviado para o seu e-mail. Digite-o abaixo para ativar sua conta.', 'register.go_login': 'Ir para o login', @@ -293,6 +322,36 @@ export default { other: '{n} fixadas', }, 'settings.node_pins_clear': 'Limpar as identidades fixadas', + 'settings.passphrase': 'Frase secreta', + 'settings.passphrase_hint': 'Altera a frase secreta desta conta. Suas chaves de identidade são recriptografadas em cada grupo cujo nó esteja on-line; um grupo cujo nó esteja off-line terá de ser reingressado depois.', + 'settings.passphrase_change': 'Alterar a frase secreta', + 'settings.passphrase_current': 'Frase secreta atual', + 'settings.passphrase_new': 'Nova frase secreta', + 'settings.passphrase_new_repeat': 'Repetir a nova frase secreta', + 'settings.continue': 'Continuar', + 'settings.done': 'Concluído', + 'settings.passphrase_confirm_intro': 'Suas chaves de identidade serão recriptografadas agora em cada grupo cujo nó possa ser alcançado:', + 'settings.passphrase_reachable': 'Atualizado agora', + 'settings.passphrase_unreachable': 'Não pode ser alcançado', + 'settings.passphrase_fallback_note': 'Para um grupo que não pode ser alcançado, peça ao operador dele para remover sua fixação e enviar um novo código de convite, e então reingresse. Seus arquivos e mensagens não são perdidos.', + 'settings.passphrase_confirm_btn': 'Alterar', + 'settings.passphrase_working': 'Recriptografando suas chaves…', + 'settings.passphrase_done': 'Frase secreta alterada.', + 'settings.passphrase_needs_operator': 'Estes grupos ainda precisam de ação — peça a cada operador para remover sua fixação e enviar um novo código:', + 'settings.pw_too_short': 'A nova frase secreta deve ter pelo menos 12 caracteres.', + 'settings.pw_mismatch': 'As duas novas frases secretas não coincidem.', + 'settings.pw_same': 'A nova frase secreta deve ser diferente da atual.', + 'settings.pw_wrong_current': 'A frase secreta atual não está correta. Nada foi alterado.', + 'settings.recovery': 'Chave de recuperação', + 'settings.recovery_hint': 'Adiciona a cada grupo uma cópia da sua identidade criptografada com a sua chave de recuperação. Faça isso uma vez em cada navegador que usar; sem ela, uma frase secreta perdida obriga a reingressar em cada grupo manualmente.', + 'settings.recovery_loaded': 'Carregada neste navegador — grupos novos ficam cobertos automaticamente.', + 'settings.recovery_open': 'Inserir a chave de recuperação', + 'settings.recovery_input_ph': 'Cole a sua chave de recuperação', + 'settings.recovery_submit': 'Adicionar cópias de backup', + 'settings.recovery_working': 'Atualizando os seus grupos…', + 'settings.recovery_done': 'Os seus grupos agora têm uma cópia de recuperação.', + 'settings.recovery_partial': 'Não foi possível alcançar estes grupos. Abra-os mais tarde, ou execute isto de novo:', + 'settings.recovery_need_relogin': 'Saia e entre novamente, depois tente de novo.', 'settings.danger': 'Excluir a conta', 'settings.delete_hint': 'Remove sua conta, suas participações em grupos e suas ' + 'notificações do hub, e libera seu nome de usuário. Não alcança o que está nos ' @@ -524,6 +583,9 @@ export default { 'group.join_code_hint': 'Peça o código de uso único a quem convidou você e digite-o ' + 'aqui. Depois disso este navegador fica reconhecido e a pergunta não se repete.', 'group.join_code_btn': 'Participar', + 'group.pass_title': 'Digite a sua frase secreta', + 'group.pass_hint': 'Este navegador ainda não desbloqueou as suas chaves. Digite a sua frase secreta uma vez para abrir os seus grupos aqui.', + 'group.pass_btn': 'Desbloquear', 'notif.purge': 'Limpar tudo', 'notif.title': 'Notificações', -- cgit v1.2.3