Au premier démarrage d'un nouvel agent StateWarden, celui-ci n'a aucun accès à votre Realm. Il ne peut ni communiquer avec le plan de contrôle (Artemis), ni accéder à votre plan de données (Driad). Il reste totalement isolé jusqu'à une autorisation explicite.
Ce processus d'autorisation s'appelle l'appairage.
Le problème des clés API classiques
Les logiciels traditionnels utilisent souvent des « clés API » statiques et pré-partagées pour authentifier les agents. C'est un risque de sécurité inacceptable dans la philosophie HighSec. Si une clé API est extraite du système de fichiers ou de la mémoire d'une machine compromise, l'attaquant obtient un accès permanent et incontrôlé à l'API de contrôle.
StateWarden élimine complètement les secrets partagés. Nous utilisons une architecture TLS mutuel (mTLS) avec challenge-response.
Le processus d'appairage
Lorsque vous appairez un appareil, vous ne faites pas que vous « connecter ». Vous établissez une identité permanente et mathématiquement prouvée pour cette machine physique précise.
- Générez un code d'appairage : dans le Dashboard, ouvrez la page Appareils de votre Realm (
/devices) et cliquez sur Appairage & Codes dans l'en-tête de la page. Générez un code dans la boîte de dialogue : un OTP (mot de passe à usage unique) temporaire, à usage unique et cryptographiquement sûr, avec une durée d'expiration optionnelle. Les codes sont affichés en majuscules ; l'agent les accepte sans tenir compte de la casse. - Exécutez la commande d'initialisation : sur la machine cible où l'agent est installé, lancez la commande d'appairage initial via notre CLI (par ex.
sw init <YOUR-CODE>). - La poignée de main mTLS (en coulisses) :
- L'agent génère localement en mémoire une paire de clés privée/publique. La clé privée ne quitte jamais la mémoire de l'agent.
- L'agent soumet la clé publique accompagnée de l'OTP au plan de contrôle.
- Le plan de contrôle valide cryptographiquement l'OTP. S'il est valide, il signe la clé publique et émet un certificat client unique, lié exclusivement à cet appareil.
- L'OTP est immédiatement invalidé.
Le résultat : une communication réellement zero-trust
À partir de cet instant, l'agent communique avec StateWarden au moyen de son certificat client unique (mTLS). Il n'y a aucun mot de passe à voler, aucune clé API à faire fuiter et aucun jeton de session à détourner.
Chaque requête API entre l'agent et le plan de contrôle est mutuellement authentifiée et chiffrée au niveau du transport, avant même que la charge utile elle-même soit évaluée. Si un attaquant tente d'intercepter ou de modifier une requête, la vérification de la signature cryptographique échoue et la connexion est immédiatement interrompue par Artemis.