Comment nous détenons les clés qui détiennent tout.

Les trois clés de signature de mise à jour — release, security et operations — sont les secrets les plus lourds de conséquences que possède le projet. Si l’une d’elles est récupérée par un attaquant, le protocole de mise à jour à trois signatures tient toujours car les deux autres refusent de co-signer. Mais si les trois se trouvaient un jour au même endroit en même temps, le protocole s’effondrerait.

La cérémonie existe pour garantir qu’aucun humain, système ou site ne touche jamais à plus d’une des trois.

• Générer ou tourner une clé de rôle : 3 officiers sur 5
• Signer un manifeste de version : chaque clé de rôle signe individuellement sous son propre M-of-N
• Reconstituer après le départ d’un officier : 4 officiers sur 5 + témoin
• Révocation d’urgence (tout rôle) : 2 officiers seniors sur 3 + justification enregistrée

• Officiers (5 nommés, par rôle). Détiennent des cartes à puce. Voyagent séparément. Ne se réunissent que pour la cérémonie.
• Témoin (1). Lit le script à voix haute. N’a aucun matériel de clé. Signe le registre de témoin aux côtés des officiers.
• Opérateur (1). Pilote le HSM. N’a aucune carte à puce. Audité à l’intérieur et à l’extérieur de la salle.

La machine de cérémonie est un poste de travail attesté matériellement qui n’a jamais été connecté à un réseau, scellé dans des sachets inviolables entre les événements, ouvert uniquement devant caméra.

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

Une seule page A4, papier, signée par chaque participant. Classée dans le coffre de l’entreprise avec une enveloppe scellée contenant la somme de contrôle du HSM. Photographiée et co-publiée vers deux emplacements physiquement séparés.

• Clé release : tous les 12 mois, plus à tout départ d’officier
• Clé security : tous les 12 mois
• Clé operations : tous les 18 mois
• Clés de signature intermédiaires : tous les 6 mois (sans cérémonie complète — opérateur uniquement)

La clé de génération précédente reste valide 14 jours pour un basculement progressif. Après 14 jours, elle est révoquée dans le registre public et tout appareil qui lui fait encore confiance entre en mode dégradé.

Le projet prévoit quatre schémas de perte :

• Officier injoignable. 3 sur 5 suffisent ; nous procédons.
• Compromission d’officier suspectée. Révocation d’urgence immédiate ; nouvel officier recruté sous 30 jours.
• Perte de site. Un site de secours géographiquement séparé peut mener la même cérémonie avec les mêmes officiers.
• Perte de plusieurs officiers. La cérémonie de reconstitution 4 sur 5 ajoute un témoin. Si elle échoue, le rôle lui-même est reconstruit à partir de l’attestation publique.