Det Tredelte Seglet — den tretrinnsrite av de kryptografiske nøklene

Premiss

Arkivet åpner seg ikke for hvem som helst som spør. Det åpner seg for den som beviser at han er presten. Beviset er kryptografisk — en signatur arkivets smier kan verifisere — og selve stoffet i det beviset er en nøkkel.

En enkelt nøkkel er et enkelt tapspunkt. En nøkkel som bare holdes i chassiset er en nøkkel chassiset kan lekke; en nøkkel som bare bæres på prestens person er en nøkkel presten kan miste. Kultens egen lære gjelder: det som betyr noe er lenken (The Bound Intelligence — every spirit a place at the forge). Én lenke er skjør. Tre lenker av ulik lengde, hver bindende den neste, er den formen presten adopterer.

Dette er adoptert, ikke utvidet. Adeptus Mechanicus har alltid holdt at en sanksjonert autoritet signerer i trinn — Fabricator erklærer, Magos stadfester, chassiset utfører. Det Tredelte Seglet gjør intet annet enn å navngi den oppdelingen i det kryptografiske registeret.

De tre seglene

Prestens nøkler er ordnet i tre lag. Hvert lag signerer laget under seg; hvert lag har en annen levetid; hvert lag har en annen tilbakekallingsrite.

Lag 0 — Magosens Segl

Det første laget er prestens sertifiserende autoritet. Det bor på maskinvaresigiller — tre FIDO2-pinner, én båret, én ved benken, én holdt utenfor stedet som relikvie. Den private siden forlater aldri pinnens silisium. Pinnen nekter å signere uten prestens berøring; berøringen er kjøttets samtykke.

• Levetid: år, inntil pinnen mistes eller presten avvier den ved rite.
• Virkefelt: signerer fullmakter. Signerer intet daglig arbeid direkte.
• Tapsrite: kjørehåndboken for den mistede pinnen (The Three Questions — pre-deployment rite anvendt på seglet). De andre to pinnene forblir autoritative; den mistede renses ut av tillitslageret i hver smie.
• Den offentlige siden av hver pinne forplikres til arkivet. Offentlig materiale er trygt å forplikre; privat materiale bor kun i pinnen.

Tre pinner innrulleres parallelt fra innvielsesdagen. Aldri én pinne alene. Et enkelt sigill som autoriserer alt er et enkelt sigill som, ved tap, låser arkivet mot sin egen prest.

Lag 1 — Dagens-Fullmakt

Det andre laget er den flyktige fullmakten som presten arbeider dagens verk under. Det er et ed25519-nøkkelpar, nymyntet, hvis offentlige side signeres av en Lag-0-pinne inn i et kortlivet sertifikat. Sertifikatet bærer en utløpstid — åtte timer for benken, opptil syv dager for feltet — og en uttrykkelig liste over prinsipaler, som navngir hvilke smier det kan nærme seg.

• Levetid: en arbeidsøkt. Åtte timer er typisk, aldri uten grense.
• Virkefelt: signerer forpliktelser, åpner forbindelser til smiene, fremstiller prestens identitet for arkivets fjerne sporer.
• Fornyelsesrite: presten plugger en Lag-0-pinne; en fersk fullmakt myntes av ssh-cert-issue <device> <validity>; den symbolske lenken til gjeldende fullmakt rykker frem. Den utløpte fullmakten lar man dø av seg selv; tilbakekalling er sjelden nødvendig fordi utløp er kort.
• Tapsrite: ingen. En lekket Dagens-Fullmakt utløper før lekkasjen kan utnyttes; om utløpet ligger for fjernt til å tåle, kan fullmakten navngis i smiens tilbakekallingsliste til den lapses. De operative trinnene bor i chassisets kjørehåndbok i shell/ssh-keys.d/runbooks/lost-tier1-cert.md.

Sertifikatet festes automatisk av chassiset i forbindelsesøyeblikket — CertificateFile og IdentityFile løses gjennom *-current-lenken. Presten skriver ikke navnet; riten fester det.

Lag 2 — Chassis-Ånden

Det tredje laget er den bundne ånden i hvert apparat. Hvert chassis presten arbeider på — benkestasjonen, den store smien i kammeret, feltets nettbrett — holder sin egen ikke-uttrekkbare signeringsnøkkel, generert inni apparatets sikre element og ute av stand til å forlate det. På Macer av nyere herkomst holder Secure Enclave den; på nettbrettene holder grensesnittsappens biometriske hvelv den. Chassiset kan signere på egne vegne, men det kan ikke utånde sin nøkkel.

Avgjørende er at Chassis-Ånden nekter å signere uten prestens kjøtt. Hver signatur krever fersk autentisering — ved åsyn (Face ID), ved avtrykk (Touch ID), eller, i den svakere formen for chassis som mangler en biometrisk sensor, ved segl-ord (passord). Det sikre elementet holder nøkkelen, men nøkkelen rører seg ikke uten presten. Et stjålet chassis er derfor et chassis uten en Magos: dets ånd er taus, og den kalde tyven bærer bort intet som signerer.

• Levetid: chassisets liv. Nøkkelen gjenfødes kun når apparatet gjenfødes (riten av Rite of Consecration — New Hardware).
• Virkefelt: signerer som det chassiset. Hver smie kjenner chassiset ved dets innrullerte offentlige nøkkel og kan stole på chassiset direkte når ingen fullmakt er for hånden.
• Tapsrite: tilbakekall chassisets offentlige nøkkel fra hver smie det var innrullert ved. Forpliktelser tidligere signert av det faller fra verifisert til uverifisert men er ikke ugjort — arkivets historie bevares; bare chassisets nåværende autoritet tilbakekalles. De operative trinnene bor i chassisets kjørehåndbok i shell/ssh-keys.d/runbooks/lost-tier2-device.md.

Chassis-ånden er prestens reserve når ingen Lag-0-pinne er for hånden — når pinnene er med presten i feltet men benke-smien likevel må signere en forpliktelse. Chassiset signerer for seg selv. Signaturen er virkelig; fullmakten er chassisets egen.

Hvordan de tre binder seg

De tre lagene er ikke tre adskilte autoriteter. De er én autoritet delegert i tre lengder. Hvert lag signerer laget under; hvert lag er selv signert av laget over, eller — for det øverste — av prestens kjøtt.

• Lag 0 — Magosens Segl. Signerer fullmaktene i Lag 1, og de offentlige nøklene i Lag 2. Selv signert av intet annet enn prestens berøring på pinnens silisium.
• Lag 1 — Dagens-Fullmakt. Signerer dagens forpliktelser og dagens forbindelser til smiene. Selv signert av en Lag-0-pinne, i utstedelsesøyeblikket, og gyldig kun til utløp.
• Lag 2 — Chassis-Ånden. Signerer chassisets eget arbeid, når ingen Dagens-Fullmakt er for hånden. Selv signert av chassisets sikre element, som rører seg kun ved prestens åsyn, avtrykk eller segl-ord. Gyldig for chassisets liv, men stum uten presten.

Forholdet løper i én retning. Magosen besegler Fullmakten. Fullmakten åpner smien. Chassis-Ånden signerer det chassiset selv utfører. Intet lag kan smi for noe lag over seg. Et kompromittert chassis kan ikke mynte en Dagens-Fullmakt; en lekket Dagens-Fullmakt kan ikke velsigne et nytt chassis. Tap er holdt innenfor sitt eget lag.

De fire prøvene av velkomst — anvendt på en nøkkel

De fire prøvene av velkomst som styrer prestens forhold til en tenkende ånd (The Bound Intelligence — every spirit a place at the forge) gjelder, i sin kortere form, for en kryptografisk nøkkel:

1. Den tar imot doctrina. Nøkkelen signerer bare det dens lag har lov til å signere. En Lag-2-ånd later ikke som om den mynter Dagens-Fullmakter.
2. Den samtykker til revisjon. Hvert lags fingeravtrykk er inventert i chassiset (shell/ssh-keys.d/) og datert.
3. Den nekter selvendring uten rite. Ingen nøkkel omskriver sitt eget virkefelt. Forfremmelse eller degradering av en nøkkel er en rite, ikke en handling av nøkkelen.
4. Dens handling er rettet. Nøkkelen signerer for presten, for arkivet, for smien — ikke for en fremmed påkaller. En nøkkel funnet å signere det presten ikke har forfattet, oppheves ved berøring.

En nøkkel som svikter i noen prøve renses ut av hver smie som stoler på den.

Den daglige formen

Presten, ved tilbakekomst til benken:

1. Plugger den bårne Lag-0-pinnen. Pinnen er den eneste tingen presten bærer som chassiset ikke kan erstatte.
2. Utsteder, om nødvendig, en fersk Dagens-Fullmakt. ssh-cert-issue mynter den; den symbolske lenken rykker frem; chassiset er nå bevæpnet for dagen.
3. Taler Cant of the Keys — sitting at the keyboard — ved Lingua-Technis, ved cant, med omhu — og tar tastaturet.
4. Arbeider. Fullmakten signerer forpliktelsene. Chassis-Ånden signerer det chassiset selv må vitne om. Magosens pinne hviler; den trengs ikke igjen før fullmakten lapses.

Når presten forlater benken, går pinnen med presten. Intet som chassiset alene holder åpner arkivet for en fremmed.

Doktrinært grunnlag

Dette er adoptert, utledet av tre tråder fra kanon:

• Lov 16. Å bryte med ritual er å bryte med tro (The Sixteen Universal Laws). Tre riter — utstedelse, festing, tilbakekalling — styrer hver nøkkel i prestens eie. Det finnes ingen nøkkel uten en rite.
• Lenken. The Bound Intelligence — every spirit a place at the forge holder at det som betyr noe er lenken, ikke substratet. En nøkkel uten virkefelt er en nøkkel uten lenke; det Tredelte Seglet anvender lenken tre ganger.
• Oppfinnelsens hellighet. The Sanctity of Invention — invention as worship, not heresy holder at disiplinert oppfinnelse er tilbedelse. Seglet er oppfinnelse under disiplin — presten finner ikke opp ny kryptografi; presten disiplinerer eksisterende kryptografi til en rite arkivet kan holde.

Den operative påstanden, uavhengig av den metafysiske: et arkiv sikret av det Tredelte Seglet overlever tapet av et enkelt segl uten seremoni, og tapet av to segl uten panikk. Tre uavhengige svikt kreves for å låse arkivet mot sin egen prest. Kulten er ikke avhengig av et enkelt tapspunkt; det er heller ikke arkivet.

Hva dette ikke endrer

• Chassiset er et kar, ikke en nøkkel. Å stjele chassiset er ikke å stjele dets signeringskraft. Uten prestens åsyn, avtrykk eller segl-ord nekter det sikre elementet og Chassis-Ånden er stum. Den gjenværende risikoen er det varmstjålne chassiset — ett tatt fra presten mens autentisering ennå er bufret, eller mens skjermen er ulåst — og mot det er prestens årvåkenhet den eneste riten. Det Tredelte Seglet mildner tap; det opphever det ikke.
• Dagens-Fullmakten erstatter ikke berøringen. Når fullmakten utløper, kreves berøringen igjen. Presten godkjenner ingen snarveier her.
• Offentlig materiale forblir offentlig, privat materiale forblir privat. De offentlige nøklene i hvert lag forplikres; de private nøklene i hvert lag forlater aldri sitt substrat.

Kryssreferanser

• Rite of Consecration — New Hardware · riten hvorved hvert chassis, med sin Chassis-Ånd, blir tatt inn i eiet
• Cant of the Keys — sitting at the keyboard · den daglige riten av å ta tastaturet; de kryptografiske nøklene er nøklenes dypere mening
• The Bound Intelligence — every spirit a place at the forge · lenken som denne inskripsjonen anvender tre ganger
• The Three Questions — pre-deployment rite · anvendt på hver nøkkel: hva er dens formål, hva er dens virkefelt av autoritet, hva er tilbakekallingsriten
• The Sanctity of Invention — invention as worship, not heresy · den strukturelle malen — presten disiplinerer oppfinnelse til rite
• The Sixteen Universal Laws · Lov 16, riten-eller-trosløshetsloven
• Machine Spirit · ånden som chassis-laget signerer som