Seminar KERI – Key Event Logs, Rotation, Delegation und Recovery

Ein KERI-Identifier bleibt nur dann langfristig vertrauenswürdig, wenn jeder Wechsel seines Schlüsselzustands eindeutig, geordnet und endseitig prüfbar ist. Das Key Event Log liefert diese Kontrollprovenienz und macht Rotation zu einem Protokollprozess statt zu einer bloßen Zertifikatsneuausstellung.

Inhaltsübersicht

• Seminarprofil
• Zielgruppe
• Lernziele
• Seminarinhalte
• Praxisanteile
• Voraussetzungen

Seminarprofil

Der Kurs arbeitet mit vollständigen Event-Sequenzen und Störfällen. Teilnehmer rekonstruieren Key States, führen Rotationen durch, validieren Delegationsbeziehungen und erstellen Notfallverfahren für kompromittierte oder verlorene Schlüssel.

Zielgruppe

KERI-Entwickler, Security-Architekten, Key-Management-Verantwortliche, Plattformingenieure, Auditoren und technische Incident-Responder.

Lernziele

• Key Event Logs sequenziell und kryptographisch validieren
• Pre-Rotation und Next-Key-Commitments korrekt anwenden
• geplante Rotation, Recovery und Abandonment unterscheiden
• delegierte AIDs und kooperative Kontrolle prüfen
• Forks, Replay, Stale State und Duplicity erkennen

Seminarinhalte

Schritt 1: Eventtypen und Logregeln ordnen

Inception, Rotation, Interaction und delegierte Ereignisse werden nach Funktion und zulässigen Feldern unterschieden. Sequenznummer, Previous Event Digest und Event SAID bilden eine manipulationssichere Kette.

• Establishment und Non-Establishment Events trennen
• Vorgängerbindung prüfen
• zulässige Eventübergänge definieren

Schritt 2: Key State deterministisch ableiten

Aus einem gültigen Log wird der aktuelle Zustand mit Signierschlüsseln, Threshold, Next-Key-Commitment und Witness-Konfiguration rekonstruiert. Caches dürfen das Ergebnis beschleunigen, aber nicht die Nachprüfbarkeit ersetzen.

• State aus Ereignissen berechnen
• Checkpoint und vollständige Validierung vergleichen
• Stale-State-Risiken behandeln

Schritt 3: Pre-Rotation implementieren

Die Bindung an ein noch nicht exponiertes nächstes Schlüsselset wird Schritt für Schritt erzeugt und geprüft. Der Schutz des Next-Key-Materials wird als zentraler Sicherheitsfaktor herausgearbeitet.

• Next-Key-Digest berechnen
• aktuelle und zukünftige Schlüssel trennen
• Offline- und HSM-Schutzkonzepte bewerten

Schritt 4: Geplante Rotation durchführen

Ein kontrollierter Schlüsselwechsel wird vorbereitet, signiert, veröffentlicht und validiert. Änderungen an Thresholds, Witnesses und nächsten Schlüsseln werden auf zulässige Kombinationen geprüft.

• Rotation vorab testen
• Race Conditions und Reihenfolge sichern
• nachgelagerte Systeme synchronisieren

Schritt 5: Kompromittierung und Recovery behandeln

Szenarien unterscheiden den Verlust aktueller Signierschlüssel, die Kompromittierung des Next-Key-Materials und inkonsistente Event-Veröffentlichungen. Für jeden Fall werden Handlungsspielraum, Beweislast und Abbruchkriterien festgelegt.

• Rotation unter Angriff durchführen
• Recovery-Grenzen dokumentieren
• neuen Identifier und Re-Onboarding planen

Schritt 6: Delegierte AIDs validieren

Delegator und Delegatee erzeugen kooperativ einen nachvollziehbaren Kontrollpfad. Delegationsevents, Anchoring und spätere Rotationen werden über beide Logs hinweg geprüft.

• Delegationserlaubnis nachweisen
• Delegator-Seals und Eventkopplung prüfen
• Widerruf und Neudelegation modellieren

Schritt 7: Forks und Duplicity untersuchen

Widersprüchliche Events mit gleicher Sequenzposition werden als Duplicity-Evidenz behandelt. Teilnehmer unterscheiden Netzverzögerung, unvollständige Sicht und echte doppelte Kontrolle.

• Konfliktbeweise sammeln
• Quellen und Receipts vergleichen
• Quarantäne- und Eskalationslogik definieren

Schritt 8: Betriebs- und Incident-Prozesse entwickeln

Rotation, Schlüsselceremonies, Backup, Wiederherstellung, Alarmierung und forensische Aufbewahrung werden in Runbooks überführt. Technische Schritte erhalten klare Freigaben und Vier-Augen-Kontrollen.

• Key Ceremony planen
• RTO und RPO bestimmen
• Evidenzen für Audit und Incident sichern

Praxisanteile

• Key State aus vollständigem KEL rekonstruieren
• geplante Rotation mit Threshold-Änderung durchführen
• delegierte Eventkette validieren
• Kompromittierungs- und Fork-Szenarien diagnostizieren

Voraussetzungen

KERI-Grundlagen zu AIDs, Inception, SAIDs, Signaturen und Thresholds. Gute Kenntnisse in Public-Key-Kryptographie.