كيف نحمل المفاتيح التي تحمل كل شيء.

مفاتيح توقيع التحديث الثلاثة — الإصدار والأمن والعمليات — هي أكثر الأسرار خطورةً التي يملكها المشروع. إذا استُعيد أيّ منها على يد مهاجم، فإن بروتوكول التحديث ثلاثي التوقيع يصمد لأن الاثنين الآخرين يرفضان التوقيع المشترك. لكن لو اجتمعت الثلاثة في مكان واحد دفعةً واحدة، لانهار البروتوكول.

توجد المراسم للتأكّد من أنه لا يلمس إنسانٌ أو نظامٌ أو منشأةٌ واحدة أكثر من واحد من الثلاثة أبدًا.

• توليد أو تدوير مفتاح دور: 3 من 5 ضباط
• توقيع بيان إصدار: يوقّع كل مفتاح دور بمفرده ضمن M-of-N الخاص به
• إعادة التكوين بعد تغيّر الضباط: 4 من 5 ضباط + شاهد
• الإلغاء الطارئ (أي دور): 2 من 3 ضباط كبار + تبرير مسجَّل

• الضباط (5 مسمّون، لكل دور). يحملون البطاقات الذكية. يسافرون منفصلين. لا يلتقون إلا للمراسم.
• الشاهد (1). يقرأ النصّ بصوت عالٍ. لا يملك مادة مفاتيح. يوقّع سجلّ الشهود إلى جانب الضباط.
• المُشغِّل (1). يدير HSM. لا يملك بطاقة ذكية. يُدقَّق داخل الغرفة وخارجها.

آلة المراسم محطة عمل مُصدَّق عليها عتاديًا لم تتصل بشبكة قطّ، مختومة في أكياس تكشف العبث بين الأحداث، لا تُفتَح إلا أمام الكاميرا.

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

صفحة A4 واحدة، ورقية، موقّعة من كل حاضر. تُحفَظ في خزنة الشركة مع ظرف مختوم يحوي مجموع تحقّق HSM. تُصوَّر وتُنشَر تبادليًا إلى موقعين منفصلين فيزيائيًا.

• مفتاح الإصدار: كل 12 شهرًا، إضافةً إلى أي مغادرة ضابط
• مفتاح الأمن: كل 12 شهرًا
• مفتاح العمليات: كل 18 شهرًا
• مفاتيح التوقيع الوسيطة: كل 6 أشهر (دون مراسم كاملة — المُشغِّل فقط)

يبقى مفتاح الجيل السابق صالحًا 14 يومًا للتدوير المرحلي. بعد 14 يومًا، يُلغى في السجلّ العام، وأي جهاز لا يزال يثق به يدخل الوضع المتدهور.

يخطّط المشروع لأربعة أنماط فقدان:

• تعذّر الوصول إلى ضابط. 3 من 5 كافٍ؛ نمضي قدمًا.
• الاشتباه باختراق ضابط. إلغاء طارئ فوري؛ تجنيد ضابط جديد خلال 30 يومًا.
• فقدان منشأة. يستطيع موقع نسخ احتياطي منفصل جغرافيًا إجراء المراسم نفسها بالضباط أنفسهم.
• فقدان عدة ضباط. تضيف مراسم إعادة التكوين 4 من 5 شاهدًا. وإذا فشل هذا، يُعاد بناء الدور نفسه من التصديق العام.