In einer Zero-Knowledge-Architektur ist die Verwaltung der Verschlüsselungsschlüssel eine kritische betriebliche Entscheidung. StateWarden überträgt die volle Hoheit über die Schlüsselverwahrung an Sie.
Wir bieten zwei unterschiedliche Verschlüsselungsmodi, die die betrieblichen Anforderungen großer Deployments gegen die strikte mathematische Isolation einzelner Endpunkte abwägen: Device Key Mode und Global Key Mode.
1. Device Key Mode (Maximale Isolation)
Standardmäßig sind StateWarden-Realms im Device Key Mode konfiguriert.
Funktionsweise
Wenn ein neuer Agent mit dem Realm gekoppelt wird, löst der Administrator die Schlüsselbereitstellung auf der Seite Geräte aus (die Aktion Schlüssel erforderlich). Für dieses Gerät wird ein eindeutiger Master Key generiert, dem Administrator einmalig angezeigt und an den Agenten übermittelt; die Control Plane speichert den Schlüssel selbst niemals. Der Administrator muss diesen Schlüssel an einem sicheren Ort aufbewahren (z. B. in einem Enterprise-Passwort-Manager).
Das Sicherheitsprofil
- Kryptografische Isolation: Jeder einzelne Server, jede Workstation und jeder Datenbankknoten besitzt seinen eigenen Verschlüsselungsschlüssel.
- Begrenzung des Blast Radius: Wird der Master Key für das Backup von
web-server-01kompromittiert oder von einem Mitarbeiter offengelegt, erhält der Angreifer keinerlei Einblick in die Backups vondatabase-node-primary. - Der Nachteil: Administrativer Aufwand. Die Wiederherstellung von 50 verschiedenen Servern erfordert, dass ein Administrator 50 verschiedene Master Keys in die jeweiligen Agenten oder Recovery ISOs eingibt.
Der Device Key Mode bietet die stärkste Abgrenzung der beiden Modi und wird für Umgebungen mit strengen Isolationsanforderungen empfohlen, etwa bei der Verarbeitung regulierter oder eingestufter Daten.
2. Global Key Mode (Enterprise-Betrieb)
Für große Enterprise-Umgebungen, in denen schnelle Bereitstellung und vereinfachte Disaster Recovery im Vordergrund stehen, bietet StateWarden den Global Key Mode.
Funktionsweise
Statt dass jeder Agent einen eindeutigen Schlüssel generiert, stellt der Realm-Administrator einen einzigen kryptografischen Global Master Key bereit.
Entscheidend: Da StateWarden ein Zero-Knowledge-System ist, wird dieser Schlüssel NIEMALS in der Datenbank der Artemis Control Plane gespeichert.
Der Bereitstellungsprozess („Late-Joiner")
Wenn sich ein neuer Agent (ein „Late-Joiner") mit einem Realm im Global Key Mode koppelt, kann er keine Backups ausführen, bis er den Schlüssel erhält. Auf der Seite Geräte wird das Gerät mit dem Chip SCHLÜSSEL ERFORDERLICH markiert, und seine Aktionsschaltfläche lautet Masterschlüssel synchronisieren. (Wurde der Global Master Key des Realms noch nicht generiert, zeigt die Aktion stattdessen Schlüssel global verwaltet, und der Schlüssel muss zuerst auf der Seite Sicherheit & Compliance generiert werden.)
- Der Administrator klickt beim betroffenen Gerät auf Masterschlüssel synchronisieren.
- Der Administrator fügt den Global Master Key in den Bereitstellungsdialog ein und sendet ihn ab.
- Die Control Plane übermittelt den Schlüssel an den Agenten. Bei Agenten, die dies unterstützen, wird der Schlüssel mit dem ML-KEM-(Kyber-)Public-Key des Geräts gekapselt (PQ-Hybrid); ältere Agenten erhalten ihn über den bestehenden mTLS-Kanal.
- Der Agent übernimmt den Schlüssel, und das Gerät wird compliant (GESICHERT). Während eine Synchronisierung läuft, zeigt der Chip SYNCHRONISIERUNG... an.
- Das Dashboard löscht den Schlüssel nach dem Absenden aus dem Dialog; die Control Plane speichert den Schlüssel selbst niemals.
Eine gerätebezogene Schlüsselrotation ist im Global Key Mode nicht verfügbar. Die Schlüsselrotation erfolgt auf Realm-Ebene auf der Seite Sicherheit & Compliance, und die Rotation des Global Master Key macht alle bestehenden Backups im Realm ungültig.
Das Sicherheitsprofil
- Betriebliche Geschwindigkeit: Die Wiederherstellung eines ganzen Rechenzentrums (500 VMs) in einer Krise erfordert nur einen einzigen Master Key, der verwaltet und in die Wiederherstellungsprozesse eingespeist werden muss.
- Deduplizierungseffizienz: Da alle Agenten denselben Verschlüsselungsschlüssel verwenden, erreicht die PrimeKEM-Engine maximale geräteübergreifende Deduplizierung auf den Driad-Speicherknoten. Ein Windows-Update, das auf 500 Workstations installiert ist, wird global nur einmal gespeichert.
- Der Nachteil: Wird der Global Master Key kompromittiert, ist das gesamte Backup-Repository des Realms offengelegt.
3. Die Verschlüsselungsstrategie wechseln
Die Verschlüsselungsstrategie wird auf der Seite Sicherheit & Compliance (/security) unter Verschlüsselungsstrategie ausgewählt: Isolierung pro Gerät oder Globaler Masterschlüssel.
Der Wechsel der Strategie ist in beide Richtungen ein destruktiver Vorgang und durch Step-up-MFA geschützt:
- Alle bestehenden Backups im Realm werden ungültig gemacht (Soft Delete).
- Die Verschlüsselungsschlüssel aller gekoppelten Geräte werden widerrufen; jedes Gerät muss unter der neuen Strategie neu provisioniert werden, bevor Backups fortgesetzt werden können.
Behandeln Sie einen Strategiewechsel als geplante Wartungsmaßnahme, nicht als Schalter. Wählen Sie die Strategie, die zum Bedrohungsmodell und zu den Disaster-Recovery-SLAs Ihrer Organisation passt, bevor Sie den Realm mit Produktions-Backups befüllen.
StateWarden: Resilience Engineered.