Dans les environnements cloud modernes, s'appuyer sur de simples clés API ou des jetons bearer statiques pour l'authentification constitue une grave vulnérabilité architecturale. Si une clé API est interceptée en transit, commitée par erreur dans un dépôt de code source ou extraite d'un terminal, l'attaquant obtient un accès permanent et sans restriction à l'infrastructure jusqu'à la révocation manuelle de la clé.
StateWarden traite ce vecteur d'attaque au niveau architectural. L'ensemble de notre architecture distribuée, du plan de contrôle Artemis au plan de données Driad et aux agents locaux, communique exclusivement via le protocole Mutually Authenticated Transport Layer Security (mTLS).
1. Qu'est-ce que le mTLS ?
Le TLS standard (celui qui sécurise votre connexion à un site web comme https://bank.com) est à sens unique. Le serveur prouve son identité à votre navigateur à l'aide d'un certificat numérique, ce qui garantit que vous ne parlez pas à un imposteur malveillant. En revanche, le serveur n'a aucune preuve mathématique de votre identité ; il s'en remet à la saisie ultérieure d'un mot de passe.
Le TLS mutuel (mTLS) est bidirectionnel. Le serveur (Artemis/Driad) et le client (l'agent) doivent chacun prouver cryptographiquement leur identité à l'autre avant qu'un seul octet de données applicatives ne soit échangé.
2. Génération dynamique de certificats
StateWarden n'utilise pas de certificats statiques codés en dur, et nous ne vous demandons pas de générer et distribuer manuellement des clés via un logiciel complexe d'infrastructure à clés publiques (PKI). L'ensemble du processus est entièrement abstrait pendant la phase d'appairage de l'agent.
La poignée de main d'appairage
Lorsque vous exécutez la commande sw init sur un nouveau serveur et fournissez le code d'appairage à usage unique :
- L'agent génère une clé privée standard pour le mTLS, ainsi qu'une paire de clés post-quantique Kyber (ML-KEM). La clé privée Kyber est liée matériellement au terminal via PrimeKEM et ne quitte jamais la machine.
- L'agent génère une demande de signature de certificat (CSR) et la transmet de manière sécurisée, accompagnée de sa clé publique Kyber, au plan de contrôle Artemis.
- Artemis agit comme une autorité de certification (CA) interne. Il valide le code d'appairage, signe la CSR et émet un certificat client unique.
- Artemis renvoie le certificat signé et les secrets de provisionnement de l'agent dans une « charge utile hybride PQ » (PQ-Hybrid Payload) résistante au quantique, sécurisée par l'encapsulation de clés ML-KEM (Kyber).
- L'agent ouvre la charge utile avec sa clé privée Kyber liée au matériel, installe ses certificats et verrouille définitivement ses communications réseau.
3. Les bénéfices de sécurité
En utilisant le mTLS dynamique pour toutes les communications inter-nœuds, StateWarden fournit les propriétés de sécurité suivantes :
- Résistance au vol d'identifiants : un attaquant qui intercepte le trafic réseau ne peut ni établir sa propre session ni usurper l'identité de l'agent, car terminer la poignée de main TLS exige la clé privée locale de l'agent, générée sur le terminal et jamais transmise.
- Contrôle d'accès cryptographique : les nœuds de stockage Driad n'utilisent pas de mots de passe. Si un client non autorisé tente de se connecter à un nœud Driad pour télécharger un bloc de sauvegarde, Driad met brutalement fin à la connexion TCP dès la poignée de main initiale, car le client ne possède pas de certificat signé par Artemis. La connexion est abandonnée avant même le chargement de la couche HTTP.
- Retrait d'appareil : si un serveur est volé ou compromis, un administrateur supprime l'appareil depuis le Dashboard StateWarden, ce qui retire son enregistrement du registre des appareils. Le plan de contrôle résout l'identité de l'appareil à chaque requête, de sorte que les requêtes ultérieures de l'appareil retiré sont rejetées au niveau applicatif. Réinscrire la machine exige un nouvel appairage, qui émet de nouveaux identifiants.
4. Compartimentation totale
StateWarden compartimente strictement la confiance. L'agent (qui gère les sauvegardes) utilise des certificats dynamiques propres à chaque appareil. En revanche, les serveurs de distribution et de mise à jour StateWarden (dist.statewarden.net) utilisent des certificats de dépôt entièrement distincts.
Cette ségrégation stricte garantit qu'une compromission d'un agent sur un terminal ne peut pas servir de pivot vers le pipeline de déploiement CI/CD, et inversement. Chaque composant de l'écosystème StateWarden ne possède que l'autorité cryptographique exacte requise pour remplir sa fonction spécifique.
StateWarden : la résilience par l'ingénierie.