Technische Dokumentation
StateWarden ist eine Disaster-Recovery-Plattform, die auf einer Zero-Trust- und Zero-Knowledge-Architektur aufbaut. Das System ist so konzipiert, dass es selbst dann sicher arbeitet, wenn die Host-Umgebung oder der Hypervisor kompromittiert ist. Die Infrastruktur wird auf OVHcloud-Bare-Metal-Servern in EU-Rechenzentren gehostet und vermeidet Abhängigkeiten von externen Hyperscale-Cloud-Anbietern. Kernkomponenten sind in Rust entwickelt, um Leistung und Sicherheit zu optimieren.
1. Architekturüberblick
Herkömmliche Enterprise-Backup-Strategien setzen häufig auf zentralisierte NAS-Server und dateibasierte Backups. Diese Ansätze können bei umfangreichen Vorgängen an Leistungsengpässe stoßen und sind anfällig für Ransomware, wenn die zentralen Zugangsdaten oder Speicherarrays kompromittiert werden.
StateWarden strukturiert den Datenschutzprozess neu, indem es auf Blockebene arbeitet. Der Agent umgeht die Dateisystem-APIs der oberen Ebene und interagiert direkt mit dem Logical Volume Manager oder der Festplattenhardware. Dieser Ansatz erfasst ein crashkonsistentes Zustandsabbild, ohne auf Dateisperrmechanismen angewiesen zu sein. Eine Change-Block-Tracking-Engine (CBT) identifiziert und überträgt nur geänderte Sektoren und reduziert so I/O-Last und Netzwerk-Overhead.
2. Speicherschutz und Manipulationssicherung
- Memory Zeroing und Schlüsselverschleierung: Kryptografische Schlüssel werden in StateWarden dynamisch generiert und nur während aktiver Ver- oder Entschlüsselungsprozesse im flüchtigen Speicher gehalten. Schlüsselmaterial wird im Speicher verschleiert, und sensible Puffer werden nach der Verwendung explizit überschrieben (Memory Zeroization des Schlüsselmaterials), um die Angriffsfläche für Memory Scraping zu reduzieren.
- Anti-Debugging: Der Agent setzt Selbstschutz zur Laufzeit mit Anti-Debugging-Gegenmaßnahmen ein. Wird ein Debugger erkannt, beendet sich der Prozess selbst, um die Untersuchung des Laufzeitspeichers zu erschweren.
- Control Flow Flattening: Die kompilierten Binärdateien nutzen Control Flow Flattening, um Dekompilierung und statische Analyse zu erschweren.
3. Kaskadierte Kryptografie und Post-Quanten-Algorithmen
Die PrimeKEM-Engine wendet mehrere kryptografische Schichten auf Provisioning-Traffic und Daten im Ruhezustand an:
- Schlüsselbereitstellung (ML-KEM / Kyber): Das Geräte-Pairing verwendet den Post-Quanten-Algorithmus ML-KEM als Teil eines hybriden, ML-KEM-basierten Schlüsselbereitstellungsschemas. Die Netzwerkkommunikation erfolgt über Mutual TLS (mTLS) mit striktem Certificate Pinning.
- Datenverschlüsselung (Kaskade): Daten im Ruhezustand werden durch unabhängige Authenticated-Encryption-Schichten (AES-256-GCM, ChaCha20-Poly1305) geschützt, sodass die Kompromittierung einer einzelnen Verschlüsselungsschicht keinen Klartext offenlegt.
Das System setzt ein Zero-Knowledge-Modell durch; das Master Secret verlässt die Umgebung des Kunden niemals im Klartext.
4. Wiederherstellungsvektoren
StateWarden unterstützt mehrere Wiederherstellungsmethoden, die darauf ausgelegt sind, Recovery Time Objectives (RTO) zu minimieren.
| Wiederherstellungsvektor | StateWarden-Implementierung |
|---|---|
| Instant Mount | Der Agent erstellt ein iSCSI-Target im Arbeitsspeicher. Verschlüsselte Blöcke werden von der Data Plane gestreamt, lokal entschlüsselt und dem Betriebssystem als natives physisches Laufwerk für sofortigen Dateizugriff präsentiert. |
| Bare Metal Recovery (BMR) | Stellt das System auf unveränderte Hardware wieder her, einschließlich dynamischer Anpassung der EFI-/MBR-Bootloader zur Unterstützung unterschiedlicher Speichercontroller und Hardwarekonfigurationen. |
| Dateibasierte Wiederherstellung | Ermöglicht den Download bestimmter Byte-Bereiche, um einzelne Dateien zu extrahieren, ohne das gesamte Volume-Image abrufen zu müssen. |
5. Immutabilität der Data Plane
- Append-Only-Betrieb: Der Speicher-Agent kommuniziert mit der Data Plane im Append-Only-Modus. Kompromittierte Endpunkt-Zugangsdaten können nicht zum Löschen oder Verändern historischer Archive verwendet werden.
- Active Defense (Ransomware-Schutz): Der Agent berechnet die Shannon-Entropie der Daten-Chunks während ihrer Verarbeitung im Backup, um Muster massenhafter Verschlüsselung zu erkennen. Wenn die konfigurierten Erkennungsschwellenwerte überschritten werden, führt der Agent autonom die konfigurierte Reaktionsaktion aus: Nur Alarm (Backup abbrechen und Alarm auslösen), Backup unter Quarantäne stellen (Alarm auslösen und das betroffene Backup in der Wiederherstellungsansicht als möglicherweise infiziert markieren), Netzwerk-Lockdown (Netzwerkverkehr mit Ausnahme des StateWarden-Verwaltungskanals kappen) oder Ausschalten. Reaktionsrichtlinien sind pro Realm und pro Gerät im Dashboard unter "Ransomware-Schutz" konfigurierbar.
- Datenverifizierung: Driad-Speicherknoten führen eine Read-After-Write-Verifizierung (RAW) durch, um sicherzustellen, dass gespeicherte Chunks exakt den vom Client-Agenten erzeugten Hashes entsprechen.
6. Vigil-Telemetrie und -Analytik
Die Systemtelemetrie ist von den Backup-Datenübertragungen getrennt und wird asynchron an die Control Plane übertragen, wo sie in PostgreSQL gespeichert wird. Das Vigil-Subsystem fungiert als lokaler Sicherheitssensor und gleicht das Softwareinventar des Endpunkts mit lokalen Kopien globaler Schwachstellendatenbanken (OSV, NVD) ab, um ungepatchte Software zu identifizieren.