Annuaire de l’écosystème Nostr

Les notes de version indiquent que les sauvegardes de type 30078 utilisent désormais une clé dédiée dérivée par HKDF, hors de l’espace de noms de dérivation des clés NIP-44. Les applications disposant d’une permission nip44_decrypt mémorisée ne peuvent ainsi pas lire les sauvegardes contenant les secrets NIP-46 propres à chaque application et les clés locales. La restauration de l’ancien format reste disponible jusqu’à ce qu’une publication ultérieure remplace l’ancienne sauvegarde.

La version publiée inclut les offres BOLT12 dans les paiements de profil et le sélecteur de zaps, avec repli sur BOLT11 en cas d’offre refusée, ainsi qu’un tableau de bord personnel Health Connect. Des fichiers Android et ordinateur téléchargeables sont joints ; le fonctionnement des fonctionnalités n’a pas été testé indépendamment.

Les notes de version indiquent que la récupération des profils et les rappels de démarrage pouvaient contacter directement les relais avant la fin du chargement du paramètre Tor. Cette version limite aussi les tentatives d’initialisation de Tor et rétablit les connexions aux relais au retour du démon. Aucune exploitation n’est alléguée.

Le diff de la version ajoute FiltersCounter.CountEventsFilters pour plusieurs filtres. Le calcul exact de l’union dépend de l’implémentation de cette interface par le moteur de stockage ; les anciens moteurs additionnent encore les comptages individuels.

• Diff de la version

Les notes de version décrivent la gestion des permissions sans champ kind et le renvoi des identifiants de requête avec les demandes de signature rejetées, afin que les appelants puissent associer les réponses.

Le diff fusionné indique que limit: 0 DOIT (MUST) ignorer les événements stockés, envoyer tout de même EOSE après les requêtes initiales et maintenir l’abonnement actif pour les nouveaux événements correspondants.

Les notes de version indiquent que les requêtes au signataire local dont l’identité de signature ne correspond pas sont rejetées, et que l’authentification des requêtes Nostr Wallet Connect entrantes est renforcée avant leur traitement. Aucune exploitation n’est alléguée.

Le texte fusionné couvre les types 78 et 30078 : les relais DEVRAIENT (SHOULD) exiger NIP-42 AUTH avant de les accepter ou de les servir, et DEVRAIENT (SHOULD) les servir uniquement à l’auteur authentifié. Un changement de spécification ne démontre pas son application dans les déploiements.

Le diff fusionné autorise les tags i de NIP-73 pour les sources structurées et les tags r contenant des URL ou du texte. Il remplace aussi MUST par SHOULD pour le rendu des citations surlignées.

Les modifications fusionnées de NIP-42 et NIP-67 autorisent un indicateur d’authentification lorsque celle-ci peut révéler des résultats supplémentaires ; le relais DOIT (MUST) envoyer son défi AUTH avant l’EOSE contenant cet indicateur.

Les notes de version ajoutent la préapprobation individuelle des permissions avec la politique d’approbation manuelle, une demande de confirmation pour les connexions NIP-46 lorsque l’arrêt d’urgence est activé, et l’authentification biométrique avant de modifier le paramètre biométrique.

Après la fusion du 26 août, le commit du 27 août modifie le tag payto pour qu’il contienne le type et l’adresse, marque le NIP comme brouillon et facultatif, et autorise les schémas URI propres aux réseaux avec payto en repli. Ce résumé suit la révision, et non les instructions initiales remplacées.

• Fusion initiale

Le journal des modifications tagué répertorie une correction de déni de service mémoire par fragments WebSocket, une correction de plantage dû à la réutilisation d’un identifiant d’abonnement negentropy et une correction de reconnexion. La date est celle du commit tagué ; l’API des versions renvoie 404 et la date de création du tag léger n’a pas été établie.

Base de la date : Commit étiqueté; date du commit, et non date de publication vérifiée.

• Référence du tag
• Commit associé au tag daté du 27 août
• Correction du tampon de fragments WebSocket

Les notes de version décrivent le choix des personnes suivies, du réseau de confiance ou de relais sélectionnés pour la découverte dans Divine, Photos et Yaks, un contrôle d’activation du réseau de confiance et le masquage des réponses hors réseau dans les fils imbriqués. Le comportement n’a pas été testé indépendamment.

Les notes de version du responsable de maintenance décrivent le passage des sauvegardes de type 30078 à une clé dédiée dérivée par HKDF, hors des permissions NIP-44 des applications. Cette mesure est classée comme renforcement ; la source ne rapporte aucune exploitation observée.

Couverture : Actuelle

Les notes de version du responsable de maintenance indiquent que l’activité réseau au démarrage pouvait atteindre directement les relais avant le chargement de la préférence Tor. Il s’agit d’une correction documentée de confidentialité, et non d’une preuve d’incident exploité.

Couverture : Actuelle

Les notes de version du responsable de maintenance rapportent le rejet des identités non concordantes et le renforcement de l’authentification. Elles n’établissent pas de compte compromis, de fonds volés ni d’exploitation.

Couverture : Actuelle

Les recommandations du protocole emploient SHOULD pour l’authentification et la transmission des types 78 et 30078 au seul propriétaire. Ce n’est ni un rapport d’incident ni une preuve qu’un relais applique ces recommandations.

Couverture : Actuelle

Les notes de version décrivent l’authentification biométrique avant d’activer ou de désactiver le paramètre biométrique. Classé comme renforcement, sans allégation d’exploitation observée.

Couverture : Actuelle

Le journal des modifications tagué identifie la correction de vulnérabilité ; le diff amont ajoute une vérification de la taille cumulée du tampon de fragments WebSocket. Les sources examinées n’établissent ni exploitation ni incident ayant fait des victimes.

Couverture : Actuelle

Base de la date : Commit étiqueté; date du commit, et non date de publication vérifiée.

• Référence du tag
• Commit associé au tag daté du 27 août
• Correction du tampon de fragments WebSocket

Quatre avis publiés couvrent l’autorisation d’authentification des relais, la protection NIP-46 contre le rejeu, le stockage en clair des secrets de connexion et des mesures de défense en profondeur. Les plages des avis indiquent les versions <= 6.4.0 ; les champs patched_versions valent null. Les notes de version 6.5.0 énumèrent explicitement les corrections correspondantes. Il s’agit de divulgations et de corrections rapportées, et non d’incidents exploités confirmés.

Couverture : Examen de référence

• Avis sur l’autorisation d’authentification des relais
• Avis sur la protection contre le rejeu
• Avis sur le stockage des secrets de connexion
• Avis sur la défense en profondeur