Wie wir die Schlüssel halten, die alles halten.

Die drei Update-Signierschlüssel — Release, Security und Operations — sind die folgenschwersten Secrets, die das Projekt besitzt. Wird einer von ihnen von einem Angreifer erlangt, hält das Drei-Signaturen-Update-Protokoll dennoch, weil die anderen beiden sich weigern mitzusignieren. Wären aber jemals alle drei zugleich am selben Ort, würde das Protokoll kollabieren.

Die Zeremonie existiert, um sicherzustellen, dass kein einzelner Mensch, kein System und keine Einrichtung je mehr als einen der drei berührt.

• Einen Rollenschlüssel erzeugen oder rotieren: 3 von 5 Officern
• Ein Release-Manifest signieren: jeder Rollenschlüssel signiert einzeln unter seinem eigenen M-aus-N
• Nach Officer-Wechsel rekonstituieren: 4 von 5 Officern + Zeuge
• Notfall-Widerruf (beliebige Rolle): 2 von 3 leitenden Officern + protokollierte Begründung

• Officer (5 benannt, pro Rolle). Halten Smartcards. Reisen getrennt an. Treffen sich nur für die Zeremonie.
• Zeuge (1). Liest das Skript laut vor. Hat kein Schlüsselmaterial. Unterzeichnet das Zeugenprotokoll neben den Officern.
• Operator (1). Bedient das HSM. Hat keine Smartcard. Wird innerhalb und außerhalb des Raums geprüft.

Die Zeremonie-Maschine ist eine hardware-attestierte Workstation, die nie in einem Netzwerk war, zwischen Ereignissen in manipulationssicheren Beuteln versiegelt und nur vor laufender Kamera geöffnet.

Checkliste☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

Eine einzige A4-Seite, Papier, unterzeichnet von jedem Anwesenden. Im Firmentresor abgelegt mit einem versiegelten Umschlag, der die HSM-Prüfsumme enthält. Fotografiert und an zwei physisch getrennte Orte cross-publiziert.

• Release-Schlüssel: alle 12 Monate, plus bei jedem Officer-Abgang
• Security-Schlüssel: alle 12 Monate
• Operations-Schlüssel: alle 18 Monate
• Zwischengeschaltete Signierschlüssel: alle 6 Monate (keine volle Zeremonie — nur Operator)

Der Schlüssel der Vorgängergeneration bleibt 14 Tage lang für gestaffeltes Rollover gültig. Nach 14 Tagen wird er in der öffentlichen Registry widerrufen, und jedes Gerät, das ihm noch vertraut, geht in den Degraded-Modus.

Das Projekt plant für vier Verlustmuster:

• Officer nicht erreichbar. 3 von 5 genügen; wir fahren fort.
• Officer-Kompromittierung vermutet. Sofortiger Notfall-Widerruf; neuer Officer innerhalb von 30 Tagen rekrutiert.
• Verlust der Einrichtung. Ein geografisch getrennter Backup-Standort kann dieselbe Zeremonie mit denselben Officern durchführen.
• Verlust mehrerer Officer. Die 4-von-5-Rekonstitutionszeremonie fügt einen Zeugen hinzu. Schlägt dies fehl, wird die Rolle selbst aus öffentlicher Attestierung neu aufgebaut.