StateWarden basiert auf einer entkoppelten Zero-Trust-Architektur. Durch die Trennung von Control Plane und Data Plane sowie die Verlagerung von Verarbeitungsaufgaben an den Agenten auf dem Endpunkt skaliert das System linear und wahrt kryptografische Vertraulichkeit.
1. Kernkomponenten
StateWarden arbeitet mit drei spezialisierten Komponenten. Die initiale Bereitstellung erfolgt mittels Post-Quanten-Kryptografie (ML-KEM/Kyber); danach kommunizieren alle Komponenten ausschließlich über gegenseitig authentifizierte TLS-Kanäle (mTLS).
Der Agent: Edge-Computing und Kryptografie
Der StateWarden-Agent ist eine kompilierte Binärdatei, die auf Endpunkten (Windows und Linux) bereitgestellt wird.
- Lokale Deduplizierung: Der Agent zerlegt Daten lokal in Chunks und hasht sie. Er überträgt nur Datenblöcke, die innerhalb des Realms einzigartig sind, und reduziert so den erforderlichen Netzwerkdurchsatz.
- PrimeKEM-Engine: Vor der Datenübertragung verschlüsselt der Agent die Daten nach dem Cascade-Cryptography-Modell. Der Verschlüsselungsschlüssel befindet sich ausschließlich im flüchtigen Speicher des Agenten.
- Direkte Datenübertragung: Der Agent kommuniziert für die Datenübertragung direkt mit der Data Plane; die Daten werden nicht über einen zentralen Server geroutet.
Artemis: Die Control Plane (Orchestrierung)
Artemis ist die Orchestrierungsschicht und verantwortlich für Zeitplanung, Richtliniendurchsetzung, rollenbasierte Zugriffskontrolle (RBAC) und Monitoring.
- Metadaten-Broker: Artemis verwaltet Metadaten (z. B. Backup-Zeitpläne und Status), verarbeitet oder speichert jedoch keine eigentlichen Datenblöcke oder Entschlüsselungsschlüssel. Beim Pairing von Agenten stellt Artemis Identitäten über eine PQ-Hybrid-Nutzlast (Kyber + AES-256-GCM) bereit.
- Quota-Engine: Artemis verteilt die Last auf die Data Plane, plant Aufgaben so, dass Netzwerkspitzen vermieden werden, und setzt Nutzungskontingente pro Gerät durch.
Driad: Die Data Plane (Speicher)
Driad-Knoten stellen die Speicherinfrastruktur für die verschlüsselten Datenblöcke bereit.
- Immutabler Blob-Speicher: Driad empfängt verschlüsselte Chunks von den Agenten und organisiert sie über Content-Addressable Storage (CAS), um Deduplizierung zu ermöglichen.
- Verteilte Architektur: Driad arbeitet nach einem Device-Affinity-Modell. Artemis verteilt eingehende Backup-Streams auf die verfügbaren Speicherknoten.
- Integritätsprüfung: Driad führt eine Read-After-Write-Verifizierung (RAW) der Chunks durch, um sicherzustellen, dass die auf die Festplatte geschriebenen Daten dem vom Agenten erzeugten Hash entsprechen.
2. Ablauf der Interaktion: Backup-Ausführung
- Befehl: Artemis wertet eine Backup-Richtlinie aus und sendet eine Backup-Aufgabe an den Ziel-Agenten.
- Verarbeitung: Der Agent empfängt die Aufgabe, erstellt einen Snapshot (mit Smart CBT oder VSS), zerlegt die Daten in Chunks und verschlüsselt sie mit PrimeKEM.
- Übertragung: Der Agent baut eine mTLS-Verbindung zum zugewiesenen Driad-Knoten auf und streamt die verschlüsselten Chunks.
- Abschluss: Der Agent erstellt ein Backup-Manifest, verschlüsselt es, sendet es an Driad und meldet Fortschritt und Ergebnis an Artemis zurück.
3. Sicherheitsperimeter
Aufgrund der entkoppelten Architektur gilt:
- Die Control Plane (Artemis) hat keinen Zugriff auf Datenblöcke oder Entschlüsselungsschlüssel.
- Die Data Plane (Driad) speichert verschlüsselte, deduplizierte Binärblobs ohne Kontext und ohne Entschlüsselungsschlüssel.
Durch diese Kapselung ist der Zugriff auf die Klartextdaten auf den Agenten am Endpunkt beschränkt.