Sleutels: managed of sovereign

Versleuteld op uw server

Alles wat de agent verstuurt, is op uw server versleuteld (AES-256-GCM) voordat het vertrekt. De opslagpartner ziet alleen versleutelde blokken; Zekura ziet metadata (hoeveel, wanneer, welke snapshot) maar geen inhoud. Het wachtwoord van de versleutelde repository wordt afgeleid uit een klantsleutel van 32 bytes, nooit andersom.

Twee modellen

Bij het aanmaken van een bestemming kiest u wie die klantsleutel heeft:

	Managed (standaard)	Sovereign
Waar wordt de sleutel gemaakt	in het portaal	in uw browser, en verlaat die niet
Wat Zekura bewaart	een vergrendelde kopie plus de vingerafdruk	alleen de vingerafdruk
Wat u krijgt	de sleutel in 5 delen (3 nodig), zichtbaar onder Aan de slag tot u bevestigt	de sleutel (hex) plus 5 delen, één keer getoond
Kan Zekura herstellen als u alles kwijt bent	ja	nee, nooit, en dat tekent u
Wat u op elke server moet doen	niets	de sleutel zetten op elke agent, verifier en worker
Verificatie en onderhoud	door de verifiers en workers van Zekura	alleen door uw eigen verifiers en workers

Managed is voor wie gerustheid wil: u raakt nooit buitengesloten. Sovereign is voor wie het contractueel nodig heeft dat niemand buiten de organisatie ooit kan ontsleutelen.

De vijf delen

De delen zijn stukken van de sleutel volgens Shamir: met drie willekeurige delen is de sleutel volledig te reconstrueren, met twee weet u letterlijk niets. Bewaar ze op vijf plaatsen: twee mensen, een kluis, een wachtwoordmanager, papier. Het portaal toont ze precies één keer en vraagt u te bevestigen dat ze bewaard zijn. Die bevestiging komt in de keten; zonder bevestiging krijgt u na een week een waarschuwing.

De escrow-test

Een sleutel die u niet getest hebt, hebt u niet. Eens per jaar, of wanneer u wil via Instellingen → Opslag → escrow-test, geeft u drie delen op. Zekura bouwt de sleutel in het geheugen, vergelijkt de vingerafdruk en gooit hem weg. Geslaagd of niet, het staat in de keten. Na een jaar zonder test krijgt u een herinnering.

Herstellen zonder Zekura

Installeer de agent op een schone machine, zet de sleutel met uw drie delen (de vingerafdruk moet kloppen), en de agent kan met de bucket-credentials verbinden en terugzetten. Wij hoeven daarvoor niet te bestaan. Dat is de bedoeling.

De handtekeningen onder de keten

De records in de bewijsketen zijn ondertekend met de Ed25519-sleutel van het platform. Die wordt geroteerd; elk record draagt het identificatienummer van de sleutel die het tekende, en de export bevat alle publieke sleutels. Oude records blijven voor altijd verifieerbaar.