Hoe we de sleutels bewaren die alles bewaken.

De drie update-signing-sleutels — release, security en operations — zijn de meest consequentiële secrets die het project bezit. Wordt een van hen door een aanvaller bemachtigd, dan houdt het drie-handtekeningen-update-protocol nog steeds stand omdat de andere twee weigeren mee te tekenen. Maar zouden alle drie ooit tegelijk op dezelfde plek zijn, dan zou het protocol instorten.

De ceremonie bestaat om te garanderen dat geen enkel mens, systeem of faciliteit ooit meer dan één van de drie aanraakt.

• Een rolsleutel genereren of roteren: 3 van 5 officieren
• Een release-manifest tekenen: elke rolsleutel tekent individueel onder zijn eigen M-of-N
• Reconstitueren na officiersverloop: 4 van 5 officieren + getuige
• Noodintrekking (elke rol): 2 van 3 senior-officieren + vastgelegde verantwoording

• Officieren (5 met naam, per rol). Houden smartcards aan. Reizen afzonderlijk. Komen alleen voor de ceremonie samen.
• Getuige (1). Leest het script hardop voor. Heeft geen sleutelmateriaal. Tekent het getuigenlog naast de officieren.
• Operator (1). Bedient de HSM. Heeft geen smartcard. Geauditeerd binnen en buiten de ruimte.

De ceremoniemachine is een hardware-geattesteerd workstation dat nooit op een netwerk heeft gezeten, tussen gebeurtenissen verzegeld in tamper-evident zakken, en alleen voor de camera geopend.

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

Eén A4-pagina, papier, getekend door elke aanwezige. Gearchiveerd in de bedrijfskluis met een verzegelde envelop die de HSM-checksum bevat. Gefotografeerd en kruisgepubliceerd naar twee fysiek gescheiden locaties.

• Release-sleutel: elke 12 maanden, plus bij elk vertrek van een officier
• Security-sleutel: elke 12 maanden
• Operations-sleutel: elke 18 maanden
• Intermediaire signing-sleutels: elke 6 maanden (geen volledige ceremonie — alleen operator)

De sleutel van de vorige generatie blijft 14 dagen geldig voor een gefaseerde rollover. Na 14 dagen wordt hij in het publieke register ingetrokken en gaat elk toestel dat hem nog vertrouwt in degraded-modus.

Het project plant voor vier verliespatronen:

• Officier onbereikbaar. 3-van-5 volstaat; we gaan door.
• Compromittering van officier vermoed. Onmiddellijke noodintrekking; nieuwe officier binnen 30 dagen geworven.
• Verlies van faciliteit. Een geografisch gescheiden back-uplocatie kan dezelfde ceremonie met dezelfde officieren uitvoeren.
• Verlies van meerdere officieren. De 4-van-5-reconstitutieceremonie voegt een getuige toe. Faalt dit, dan wordt de rol zelf opnieuw opgebouwd vanuit publieke attestatie.