Этап 6: закалка — лимиты ADR-021, аудит модели угроз, сверка документов

Лимиты: все четыре правила ADR-021 — регистрация 5/час на IP, вход 10/10 мин
на IP и ник, сообщения 30/мин, прочие изменяющие 60/мин; 429 с Retry-After;
X-Real-IP читается только с loopback, иначе адрес соединения — иначе заголовок
отменял бы лимит на IP; карты вёдер ограничены поколениями.

Аудит нашёл то, что пропустили пять раундов ревью:
ADR-056: nginx вёл access_log с IP и полными путями вопреки обещанию deploy.md.
Ники и социальный граф ложились в /var/log/nginx рядом с чистым журналом bare.
ADR-058: «выйти на других устройствах» не обрывал уже открытый SSE — отозванная
сессия продолжала получать сообщения.
ADR-059: промежуточный ключ комнаты был невосстановим. Участник, пропустивший
офлайн два rekey подряд, навсегда не расшифровал бы сообщения среднего ключа —
вопреки обещанию storage.md о повторной попытке после получения keyId.
ADR-063: ACK уходил по одному на конверт, а не пачкой. Получатель в оживлённой
комнате выедал общее ведро подтверждениями и упирался в 429 на всех изменяющих
запросах, включая выход из комнаты: 116 отказов за прогон стало нулём.
ADR-055, 057, 060, 061, 062: ключи вёдер и границы, +dirty у bare version,
403 unknown_device не хоронит сообщение, усечение имени в подсказке ввода,
kdf как оракул после повышения цели KDF.

Модель угроз пополнена тем, что действительно видит оператор: push-подписки
лежат в базе открытым текстом, и вместе с VAPID-ключом с той же машины это
произвольное уведомление на экране блокировки.

README приведён к v1.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/store/rooms_test.go

@@ -88,7 +88,7 @@ func TestCreateRoomTakenID(t *testing.T) {
 		t.Fatalf("Rooms: %v", err)
 	}
 	if len(rooms) != 1 || rooms[0].Name != "общая" || rooms[0].Owner != "marta" ||
-		rooms[0].Key == nil || rooms[0].Key.KeyID != "k1" {
+		current(rooms[0]) == nil || current(rooms[0]).KeyID != "k1" {
 		t.Errorf("комната после отказа: %+v", rooms)
 	}
 	if got, err := s.Rooms(ctx, "petya"); err != nil || len(got) != 0 {
@@ -96,6 +96,15 @@ func TestCreateRoomTakenID(t *testing.T) {
 	}
 }
 
+// current — текущий ключ участника: последний в Keys, они идут от старого
+// к новому (ADR-059).
+func current(r Room) *RoomKey {
+	if len(r.Keys) == 0 {
+		return nil
+	}
+	return &r.Keys[len(r.Keys)-1]
+}
+
 // У комнаты живут два последних keyId; обрезка при rekey и фоновая чистка
 // держат одни и те же ключи и не трогают текущий ключ участника (ADR-018).
 func TestRoomKeysTrimmedToTwo(t *testing.T) {
@@ -120,13 +129,31 @@ func TestRoomKeysTrimmedToTwo(t *testing.T) {
 		if err != nil {
 			t.Fatalf("Rooms %s: %v", nick, err)
 		}
-		if len(rooms) != 1 || rooms[0].Key == nil {
+		if len(rooms) != 1 || current(rooms[0]) == nil {
 			t.Fatalf("комнаты %s: %+v", nick, rooms)
 		}
-		if rooms[0].Key.KeyID != "k3" || rooms[0].Key.CT != "ct-"+nick {
-			t.Errorf("ключ %s: %+v", nick, rooms[0].Key)
+		if current(rooms[0]).KeyID != "k3" || current(rooms[0]).CT != "ct-"+nick {
+			t.Errorf("ключ %s: %+v", nick, current(rooms[0]))
 		}
 	}
+	// Участнику отдаются оба удерживаемых ключа, от старого к новому:
+	// без прежнего он не прочитает сообщение, отправленное до последнего
+	// rekey, пока его не было (ADR-059).
+	rooms, err := s.Rooms(ctx, "petya")
+	if err != nil {
+		t.Fatalf("Rooms petya: %v", err)
+	}
+	if len(rooms) != 1 || len(rooms[0].Keys) != 2 {
+		t.Fatalf("ключи petya: %+v", rooms)
+	}
+	if rooms[0].Keys[0].KeyID != "k2" || rooms[0].Keys[1].KeyID != "k3" {
+		t.Errorf("порядок ключей: получено %v, ожидалось [k2 k3]",
+			[]string{rooms[0].Keys[0].KeyID, rooms[0].Keys[1].KeyID})
+	}
+	// Ключей чужой комнаты в ответе нет.
+	if got, err := s.Rooms(ctx, "marta"); err != nil || len(got) != 1 || len(got[0].Keys) != 2 {
+		t.Errorf("ключи marta: %+v, %v", got, err)
+	}
 }
 
 // Два rekey в одну миллисекунду: текущим остаётся последний розданный ключ,
@@ -147,11 +174,11 @@ func TestRoomKeysWithinOneMillisecond(t *testing.T) {
 	}
 	for _, nick := range []string{"marta", "petya"} {
 		rooms, err := s.Rooms(ctx, nick)
-		if err != nil || len(rooms) != 1 || rooms[0].Key == nil {
+		if err != nil || len(rooms) != 1 || current(rooms[0]) == nil {
 			t.Fatalf("комнаты %s: %+v, %v", nick, rooms, err)
 		}
-		if rooms[0].Key.KeyID != "aaa" {
-			t.Errorf("текущий ключ %s: получено %q, ожидалось \"aaa\"", nick, rooms[0].Key.KeyID)
+		if current(rooms[0]).KeyID != "aaa" {
+			t.Errorf("текущий ключ %s: получено %q, ожидалось \"aaa\"", nick, current(rooms[0]).KeyID)
 		}
 	}
 	// Свежим ключом можно писать: он остался ключом комнаты.