Directory dell’ecosistema Nostr

Le note di rilascio indicano che i backup di tipo 30078 ora usano una chiave dedicata derivata con HKDF al di fuori dello spazio dei nomi di derivazione delle chiavi NIP-44, impedendo alle app con autorizzazione nip44_decrypt memorizzata di leggere i backup contenenti segreti NIP-46 specifici per app e chiavi locali. Il ripristino del formato precedente rimane disponibile finché una pubblicazione successiva non sovrascrive il vecchio backup.

La versione pubblicata include offerte BOLT12 nei pagamenti dei profili e nel selettore degli zap, con ripiego su BOLT11 per le offerte rifiutate, oltre a una dashboard personale Health Connect. Sono allegati file scaricabili per Android e desktop; il comportamento delle funzionalità non è stato testato in modo indipendente.

Le note di rilascio indicano che il recupero dei profili e i callback di avvio potevano contattare direttamente i relay prima del completamento del caricamento dell’impostazione Tor. La stessa versione limita i tentativi di inizializzazione di Tor e ripristina le connessioni ai relay quando il demone torna disponibile. Non viene dichiarato alcuno sfruttamento.

Il diff del rilascio aggiunge FiltersCounter.CountEventsFilters per più filtri. Il conteggio esatto dell’unione dipende dall’implementazione di tale interfaccia nel backend di archiviazione; i backend precedenti sommano ancora i singoli conteggi.

• Diff del rilascio

Le note di rilascio descrivono la gestione delle autorizzazioni senza campo kind e la restituzione degli ID delle richieste insieme alle richieste di firma rifiutate, affinché i chiamanti possano associare le risposte.

Il diff integrato indica che limit: 0 DEVE (MUST) saltare gli eventi memorizzati, inviare comunque EOSE dopo le query iniziali e mantenere attiva la sottoscrizione per i nuovi eventi corrispondenti ricevuti.

Le note di rilascio indicano che le richieste al firmatario locale con identità di firma non corrispondente vengono rifiutate e che l’autenticazione delle richieste Nostr Wallet Connect in entrata viene rafforzata prima dell’elaborazione. Non viene dichiarato alcuno sfruttamento.

Il testo integrato copre i tipi 78 e 30078: i relay DOVREBBERO (SHOULD) richiedere NIP-42 AUTH prima di accettarli o servirli e DOVREBBERO (SHOULD) servirli solo all’autore autenticato. Una modifica della specifica non dimostra l’applicazione nei sistemi distribuiti.

Il diff integrato consente i tag i di NIP-73 per le fonti strutturate e i tag r contenenti URL o testo. Cambia inoltre da MUST a SHOULD il requisito di visualizzazione delle citazioni evidenziate.

Le modifiche integrate di NIP-42 e NIP-67 consentono un suggerimento di autenticazione quando questa può rivelare risultati aggiuntivi; il relay DEVE (MUST) inviare la propria sfida AUTH prima dell’EOSE con tale suggerimento.

Le note di rilascio aggiungono la preapprovazione delle singole autorizzazioni con la politica di approvazione manuale, una richiesta di conferma per le connessioni NIP-46 mentre l’interruttore di emergenza è attivo e l’autenticazione biometrica prima di modificare l’impostazione biometrica.

Dopo il merge del 26 agosto, il commit del 27 agosto modifica il tag payto in tipo e indirizzo, contrassegna il NIP come bozza e facoltativo e consente schemi URI specifici per rete con payto come ripiego. Questo riepilogo segue la revisione, non le istruzioni iniziali sostituite.

• Merge iniziale

Il changelog associato al tag elenca una correzione del DoS sulla memoria dei frammenti WebSocket, una correzione del crash causato dal riutilizzo di un ID di sottoscrizione negentropy e una correzione della riconnessione. La data è quella del commit associato al tag; l’API dei rilasci restituisce 404 e non è stata stabilita la data di creazione del tag leggero.

Base della data: Commit con tag; data del commit, non una data di rilascio verificata.

• Riferimento del tag
• Commit associato al tag datato 27 agosto
• Correzione del buffer dei frammenti WebSocket

Le note di rilascio descrivono la scelta tra persone seguite, rete di fiducia o relay selezionati per la scoperta in Divine, Photos e Yaks, un controllo di attivazione della rete di fiducia e la possibilità di nascondere le risposte esterne alla rete nelle discussioni annidate. Il comportamento non è stato testato in modo indipendente.

Le note di rilascio del manutentore descrivono il passaggio dei backup di tipo 30078 a una chiave dedicata derivata con HKDF, al di fuori delle autorizzazioni NIP-44 delle app. La modifica è classificata come rafforzamento; la fonte non segnala sfruttamenti osservati.

Copertura: Attuale

Le note di rilascio del manutentore indicano che l’attività di rete all’avvio poteva raggiungere direttamente i relay prima del caricamento della preferenza Tor. È una correzione documentata della privacy, non una prova di un incidente con sfruttamento.

Copertura: Attuale

Le note di rilascio del manutentore riportano il rifiuto delle identità non corrispondenti e il rafforzamento dell’autenticazione. Non attestano account compromessi, fondi rubati o sfruttamenti.

Copertura: Attuale

Le indicazioni del protocollo usano SHOULD per l’autenticazione e la distribuzione dei tipi 78 e 30078 al solo proprietario. Non si tratta di un rapporto di incidente né di una prova che un relay applichi tali indicazioni.

Copertura: Attuale

Le note di rilascio descrivono l’autenticazione biometrica prima di attivare o disattivare l’impostazione biometrica. Classificato come rafforzamento, senza dichiarazioni di sfruttamento osservato.

Copertura: Attuale

Il changelog associato al tag identifica la correzione della vulnerabilità; il diff a monte aggiunge un controllo sulla dimensione accumulata del buffer dei frammenti WebSocket. Le fonti esaminate non attestano sfruttamenti o incidenti con vittime.

Copertura: Attuale

Base della data: Commit con tag; data del commit, non una data di rilascio verificata.

• Riferimento del tag
• Commit associato al tag datato 27 agosto
• Correzione del buffer dei frammenti WebSocket

Quattro avvisi pubblicati riguardano l’autorizzazione dell’autenticazione dei relay, la protezione NIP-46 dai replay, l’archiviazione in chiaro dei segreti di connessione e misure di difesa in profondità. Gli intervalli degli avvisi indicano le versioni <= 6.4.0; i campi patched_versions sono null. Le note della versione 6.5.0 elencano esplicitamente le correzioni corrispondenti. Si tratta di divulgazioni e correzioni riportate, non di incidenti confermati con sfruttamento.

Copertura: Verifica di riferimento

• Avviso sull’autorizzazione dell’autenticazione dei relay
• Avviso sulla protezione dai replay
• Avviso sull’archiviazione dei segreti di connessione
• Avviso sulla difesa in profondità