Como guardamos as chaves que guardam tudo.

As três chaves de assinatura de atualização — release, security e operations — são os segredos mais consequentes que o projeto possui. Se qualquer uma delas for recuperada por um atacante, o protocolo de atualização de três assinaturas ainda se sustenta porque as outras duas se recusam a co-assinar. Mas se as três estivessem juntas no mesmo lugar de uma vez, o protocolo desmoronaria.

A cerimônia existe para garantir que nenhum ser humano, sistema ou instalação jamais toque mais de uma das três.

• Gerar ou rotacionar uma chave de papel: 3 de 5 oficiais
• Assinar um manifesto de lançamento: cada chave de papel assina individualmente sob seu próprio M-de-N
• Reconstituir após rotatividade de oficiais: 4 de 5 oficiais + testemunha
• Revogação de emergência (qualquer papel): 2 de 3 oficiais seniores + justificativa registrada

• Oficiais (5 nomeados, por papel). Detêm smart cards. Viajam separadamente. Só se encontram para a cerimônia.
• Testemunha (1). Lê o roteiro em voz alta. Não tem material de chave. Assina o log de testemunha junto com os oficiais.
• Operador (1). Opera o HSM. Não tem smart card. Auditado dentro e fora da sala.

A máquina da cerimônia é uma estação de trabalho atestada por hardware que nunca esteve em rede, lacrada em sacos à prova de adulteração entre os eventos, aberta apenas diante de câmera.

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

Uma única página A4, em papel, assinada por todos os presentes. Arquivada no cofre da empresa com um envelope lacrado contendo o checksum do HSM. Fotografada e republicada para dois locais fisicamente separados.

• Chave de release: a cada 12 meses, mais em qualquer saída de oficial
• Chave de security: a cada 12 meses
• Chave de operations: a cada 18 meses
• Chaves de assinatura intermediárias: a cada 6 meses (sem cerimônia completa — apenas o operador)

A chave da geração anterior permanece válida por 14 dias para a transição escalonada. Após 14 dias, ela é revogada no registro público e qualquer dispositivo que ainda confie nela entra em modo degradado.

O projeto se planeja para quatro padrões de perda:

• Oficial inacessível. 3 de 5 é suficiente; prosseguimos.
• Suspeita de comprometimento de oficial. Revogação de emergência imediata; novo oficial recrutado em até 30 dias.
• Perda de instalação. Um site de backup geograficamente separado pode realizar a mesma cerimônia com os mesmos oficiais.
• Perda de múltiplos oficiais. A cerimônia de reconstituição 4 de 5 acrescenta uma testemunha. Se isso falhar, o próprio papel é reconstruído a partir de atestação pública.