Her şeyi tutan anahtarları nasıl tuttuğumuz.

Üç güncelleme-imzalama anahtarı — release, security ve operations — projenin sahip olduğu en sonuç doğuran sırlardır. Bunlardan herhangi biri bir saldırgan tarafından ele geçirilirse, üç-imza güncelleme protokolü hâlâ ayakta kalır çünkü diğer ikisi birlikte imzalamayı reddeder. Ama üçü bir kez bile aynı yerde olsaydı, protokol çökerdi.

Tören, hiçbir tek insanın, sistemin veya tesisin üçten birden fazlasına asla dokunmamasını sağlamak için vardır.

• Bir rol anahtarı oluştur veya döndür: 5 görevliden 3'ü
• Bir sürüm manifestini imzala: her rol anahtarı kendi M-of-N'i altında ayrı ayrı imzalar
• Görevli değişiminden sonra yeniden oluştur: 5 görevliden 4'ü + tanık
• Acil iptal (herhangi bir rol): 3 kıdemli görevliden 2'si + kayıtlı gerekçe

• Görevliler (rol başına 5 adlandırılmış). Akıllı kart tutar. Ayrı seyahat eder. Yalnızca tören için bir araya gelir.
• Tanık (1). Betiği yüksek sesle okur. Anahtar materyali yoktur. Tanık günlüğünü görevlilerle birlikte imzalar.
• Operatör (1). HSM'yi çalıştırır. Akıllı kartı yoktur. Oda içinde ve dışında denetlenir.

Tören makinesi, hiç ağda bulunmamış, olaylar arasında kurcalama-belirten torbalara mühürlenmiş, yalnızca kamera önünde açılan donanım-doğrulamalı bir iş istasyonudur.

checklist☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

Tek bir A4 sayfa, kâğıt, her katılımcı tarafından imzalı. HSM sağlama toplamını içeren mühürlü bir zarfla birlikte şirket kasasında dosyalanır. Fotoğraflanır ve fiziksel olarak ayrı iki konuma çapraz yayımlanır.

• Release anahtarı: her 12 ayda bir, artı herhangi bir görevli ayrılışında
• Security anahtarı: her 12 ayda bir
• Operations anahtarı: her 18 ayda bir
• Ara imzalama anahtarları: her 6 ayda bir (tam tören yok — yalnızca operatör)

Önceki nesil anahtar, aşamalı geçiş için 14 gün geçerli kalır. 14 günden sonra kamuya açık kayıt defterinde iptal edilir ve hâlâ ona güvenen herhangi bir cihaz degraded moduna girer.

Proje dört kayıp örüntüsü için plan yapar:

• Görevliye ulaşılamıyor. 5-üzerinden-3 yeterlidir; devam ederiz.
• Görevli ele geçirilmesinden şüpheleniliyor. Anında acil iptal; 30 gün içinde yeni görevli işe alınır.
• Tesis kaybı. Coğrafi olarak ayrı bir yedek tesis aynı töreni aynı görevlilerle çalıştırabilir.
• Birden çok görevli kaybı. 5-üzerinden-4 yeniden oluşturma töreni bir tanık ekler. Bu başarısız olursa, rolün kendisi kamuya açık doğrulamadan yeniden inşa edilir.