我们如何持有那些掌管一切的密钥。

三把更新签名密钥 — 发布、安全和运营 — 是项目所拥有的最具决定性的秘密。若其中任一把被攻击者获取，三签名更新协议依然成立，因为另外两把拒绝共同签名。但若这三把曾经同时身处一处，协议就会崩溃。

仪式的存在是为了确保没有任何单一的人、系统或设施曾接触三把中的不止一把。

• 生成或轮换一把角色密钥：5 名官员中的 3 名
• 签署一份发布清单：每把角色密钥在其各自的 M-of-N 下单独签名
• 官员更替后的重组：5 名官员中的 4 名 + 见证人
• 紧急吊销（任一角色）：3 名资深官员中的 2 名 + 记录在案的理由

• 官员（每角色 5 名具名）。 持有智能卡。分别出行。仅为仪式而相聚。
• 见证人（1 名）。 大声朗读脚本。不掌握任何密钥材料。与官员一同在见证日志上签名。
• 操作员（1 名）。 操作 HSM。不持有智能卡。在房间内外均受审计。

仪式用机器是一台经硬件证明的工作站，从未联网，在两次事件之间密封于防篡改袋中，仅在摄像下开启。

清单☐ Room sweep for radios (Bluetooth, Wi-Fi, cellular, NFC)
☐ Faraday bag enclosure verified
☐ Camera rolling, room recording
☐ Officers identified — photo, smart card present, NDA signed
☐ Operator verified separately
☐ Tamper-evident bag opened on camera
☐ HSM checksum read aloud and matched against the witness log
☐ Script read aloud at each step
☐ Final hash printed and signed by all attendees
☐ Sealed tamper-evident bag, re-secured

单张 A4 纸，纸质，由每位出席者签名。与一个装有 HSM 校验和的密封信封一同归档于公司保险柜中。拍照并交叉发布到两个物理上分离的地点。

• 发布密钥：每 12 个月，外加任一官员离职时
• 安全密钥：每 12 个月
• 运营密钥：每 18 个月
• 中间签名密钥：每 6 个月（无需完整仪式 — 仅操作员）

上一代密钥在分阶段切换期间保持有效 14 天。14 天后，它在公共注册表中被吊销，任何仍信任它的设备进入降级模式。

项目为四种丢失模式做了规划：

• 官员无法联系。 5 选 3 已足够；我们继续进行。
• 怀疑官员被攻陷。 立即紧急吊销；30 天内招募新官员。
• 设施损失。 一个地理上分离的备份站点可用相同官员运行相同仪式。
• 多名官员损失。 5 选 4 的重组仪式增加一名见证人。若此举失败，角色本身将从公共证明中重建。