हम उन keys को कैसे रखते हैं जो सब कुछ रखती हैं।

तीन update-signing keys — release, security, और operations — प्रोजेक्ट के पास सबसे परिणामी सीक्रेट्स हैं। अगर इनमें से किसी एक को भी कोई हमलावर पुनर्प्राप्त कर ले, तो तीन-हस्ताक्षर update प्रोटोकॉल फिर भी टिका रहता है क्योंकि अन्य दो co-sign करने से मना कर देती हैं। लेकिन अगर तीनों कभी एक ही स्थान पर एक साथ होतीं, तो प्रोटोकॉल ढह जाता।

ceremony यह सुनिश्चित करने के लिए मौजूद है कि कोई एकल मनुष्य, सिस्टम, या सुविधा कभी तीन में से एक से अधिक को न छुए।

• एक role key उत्पन्न या घुमाएँ: 5 में से 3 अधिकारी
• एक release मैनिफेस्ट पर हस्ताक्षर करें: हर role key अपने स्वयं के M-of-N के तहत व्यक्तिगत रूप से हस्ताक्षर करती है
• अधिकारी परिवर्तन के बाद पुनर्गठन: 5 में से 4 अधिकारी + witness
• आपातकालीन निरस्तीकरण (कोई भी role): 3 में से 2 वरिष्ठ अधिकारी + रिकॉर्ड किया गया औचित्य

• अधिकारी (5 नामित, प्रति role)। स्मार्ट कार्ड रखते हैं। अलग-अलग यात्रा करते हैं। केवल ceremony के लिए मिलते हैं।
• Witness (1)। स्क्रिप्ट को ज़ोर से पढ़ता है। उसके पास कोई key सामग्री नहीं। अधिकारियों के साथ witness लॉग पर हस्ताक्षर करता है।
• Operator (1)। HSM चलाता है। उसके पास कोई स्मार्ट कार्ड नहीं। कमरे के अंदर और बाहर ऑडिट किया जाता है।

ceremony मशीन एक hardware-attested वर्कस्टेशन है जो कभी किसी नेटवर्क पर नहीं रही, घटनाओं के बीच tamper-evident बैग में सील की गई, केवल कैमरे पर खोली जाती है।

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

एक एकल A4 पृष्ठ, कागज़, हर उपस्थित व्यक्ति द्वारा हस्ताक्षरित। कंपनी की तिजोरी में HSM checksum वाले एक सील किए गए लिफ़ाफ़े के साथ दाखिल। फ़ोटो खींची गई और दो भौतिक रूप से अलग स्थानों पर क्रॉस-प्रकाशित।

• Release key: हर 12 महीने, साथ ही किसी भी अधिकारी के जाने पर
• Security key: हर 12 महीने
• Operations key: हर 18 महीने
• Intermediate signing keys: हर 6 महीने (कोई पूर्ण ceremony नहीं — केवल operator)

पिछली-पीढ़ी की key staged rollover के लिए 14 दिनों तक वैध रहती है। 14 दिनों के बाद, इसे सार्वजनिक रजिस्ट्री में निरस्त कर दिया जाता है और कोई भी डिवाइस जो अब भी इस पर भरोसा करता है, degraded मोड में प्रवेश करता है।

प्रोजेक्ट चार हानि पैटर्न के लिए योजना बनाता है:

• अधिकारी अनुपलब्ध। 5-में-3 पर्याप्त है; हम आगे बढ़ते हैं।
• अधिकारी समझौता संदिग्ध। तत्काल आपातकालीन निरस्तीकरण; नया अधिकारी 30 दिनों के भीतर भर्ती।
• सुविधा हानि। एक भौगोलिक रूप से अलग बैकअप साइट उन्हीं अधिकारियों के साथ वही ceremony चला सकती है।
• कई अधिकारियों की हानि। 5-में-4 पुनर्गठन ceremony एक witness जोड़ती है। अगर यह विफल होता है, तो role स्वयं सार्वजनिक attestation से पुनर्निर्मित किया जाता है।