Von Grund auf verteilt. Kryptografisch abgesichert.

Basierend auf dem Kerckhoffs’schen Prinzip — nicht auf blindem Vertrauen

Das Kerckhoffs’sche Prinzip besagt, dass Systeme sicher bleiben müssen, selbst wenn alles über das System bekannt ist — mit Ausnahme des Schlüssels.

Keyra wendet dieses Prinzip auf das Enterprise Secrets Management an:

• Die Vault-Struktur ist kein Geheimnis

• Der Serverstandort ist kein Geheimnis

• Eine Kompromittierung der Infrastruktur legt keine Secrets offen

• Nur kryptografische Schlüssel gewähren Zugriff

Dadurch entfällt die Abhängigkeit von der Geheimhaltung der Infrastruktur.

Blast-Radius-Intelligenz

DevOps und Platform Engineering

Für Automatisierung entwickelt, nicht für manuelle Vault-Verwaltung. Beinhaltet:

• CLI-Tool

• SDK

• Secret-Migration aus KeePass und anderen Vaults

• Git-Repository für Ciphertext-Domänen

• Vollständig skriptbare Vault-Operationen

Traditionelles PAM vs. Fat Vaults vs. Keyra

Authentifizierung und kryptografischer Schlüsselschutz

Flexible Authentifizierung über unabhängige Vertrauensdomänen hinweg

Keyra unterstützt mehrere Authentifizierungs- und Schlüsselschutzmechanismen. Damit lässt sich der Zugriff für einzelne Benutzer, Teams und Unternehmensumgebungen konfigurieren, ohne die kryptografische Isolation der einzelnen Tresore aufzuheben.

Active Directory und Unternehmensidentitäten

Die Integration mit Active Directory ermöglicht eine identitätsbasierte Zugriffsverwaltung für mehrere Benutzer und Gruppen. Unternehmensidentitäten unterstützen die Zusammenarbeit und den kontrollierten Zugriff über Organisationsgrenzen hinweg.

Mehrere YubiKeys mit Challenge–Response

Keyra unterstützt mehrere YubiKey-Hardware-Sicherheitsschlüssel mittels kryptografischem Challenge–Response-Verfahren. Hardwaregenerierte Antworten bieten eine zusätzliche Möglichkeit, kryptografisches Schlüsselmaterial zu schützen, ohne ausschliesslich auf Passwörter angewiesen zu sein.

Mehrere Passwörter

Keyra unterstützt mehrere passwortbasierte Authentifikatoren und ermöglicht damit flexible Konfigurationen von Zugangsdaten und Schutzstrategien.

Plattformabhängige Hardware-Authentifikatoren

Keyra unterstützt zusätzliche hardwaregestützte Authentifikatoren, abhängig vom Betriebssystem und den verfügbaren Plattformfunktionen. Diese ergänzen den passwortbasierten Schutz und das YubiKey-Challenge–Response-Verfahren, ohne eine bestimmte Authentifizierungstechnologie vorauszusetzen.

Trennung von Identität, Authentifizierung und kryptografischem Vertrauen

Keyra unterscheidet zwischen Identitätsverwaltung, Authentifizierung und kryptografischem Schlüsselschutz. Zugriffsrichtlinien bestimmen, wer berechtigt ist, während kryptografische Mechanismen die zugrunde liegenden Tresor-Geheimnisse schützen.

Jeder Tresor bleibt eine unabhängige kryptografische Vertrauensdomäne mit eigenem Schlüsselmaterial und Schutzkontext. Flexible Authentifizierung führt nicht zu einem gemeinsamen Hauptschlüssel über mehrere Tresore hinweg.

Schutz vor quellcodebasierten Angriffen und KI-gestütztem Reverse Engineering

Kompilierter Rust-Kern

Der sicherheitskritische Kern von Keyra wird in Rust entwickelt und zu nativem Maschinencode kompiliert. Der proprietäre Quellcode ist nicht Bestandteil der ausgelieferten Software.

Dies entzieht Angreifern den direkten Zugriff auf eine der wertvollsten Informationsquellen für gezielte Softwareangriffe: die ursprüngliche Implementierung.

Ohne Zugang zum Quellcode können Angreifer weder die Rust-Implementierung direkt durchsuchen noch deren Abhängigkeiten, kryptografische Parametrisierungen, interne Kontrollflüsse oder potenzielle Implementierungsfehler auf Quellcodeebene untersuchen.

Auch KI-gestützte Analysewerkzeuge erhalten dadurch keinen direkten Einblick in die ursprüngliche Codebasis. Eine Untersuchung erfordert stattdessen aufwendigere Binäranalysen, Laufzeituntersuchungen und die Rekonstruktion relevanter Programmabläufe.

Dies erhöht den technischen Aufwand, die benötigte Zeit und die Unsicherheit gezielter Angriffe auf die proprietäre Implementierung erheblich.

Geschützte Entwicklungsinfrastruktur

Der vollständige proprietäre Quellcode von Keyra wird auf speziell abgesicherten Servern innerhalb einer kontrollierten On-Premises-Infrastruktur aufbewahrt.

Die privaten kryptografischen Schlüssel zur Signierung der Softwarepakete werden ebenfalls innerhalb der geschützten On-Premises-Infrastruktur verwaltet.

Die Trennung zwischen geschützter Entwicklungsumgebung und ausgelieferten Binärdateien verhindert die direkte Offenlegung der ursprünglichen Implementierung über die Softwaredistribution.

Kryptografisch signierte Softwarepakete ermöglichen zusätzlich die Überprüfung ihrer Herkunft und Integrität.

Mehrere unabhängige Schutzebenen

Keyra kombiniert die kryptografische Isolation unabhängiger Vertrauensdomänen mit dem Schutz seiner proprietären Implementierung und einer kontrollierten Software-Lieferkette.

Die fehlende Offenlegung des Quellcodes reduziert die Möglichkeiten einer unmittelbaren Quellcodeanalyse und erschwert die gezielte Suche nach Implementierungsschwachstellen.

Damit entsteht eine zusätzliche, bewusst eingesetzte Schutzebene gegen quellcodebasierte Angriffe und KI-gestützte Analyseverfahren.

Protected Signing Keys

Die privaten Schlüssel zur Signierung der Keyra-Softwarepakete werden ebenfalls innerhalb einer kontrollierten On-Premises-Infrastruktur aufbewahrt und nicht öffentlich bereitgestellt.

Die kryptografische Signierung ermöglicht die Überprüfung der Herkunft und Integrität signierter Softwarepakete. Damit wird die Software-Lieferkette unabhängig von der Vertraulichkeit des Quellcodes zusätzlich abgesichert.

Security by Design — Not by Obscurity

Keyra verlässt sich nicht auf die Geheimhaltung seiner Implementierung als Grundlage der kryptografischen Sicherheit.

Die Sicherheit der geschützten Daten beruht auf kryptografischen Schlüsseln, unabhängigen Vertrauensdomänen und klar definierten Sicherheitsgrenzen.

Der geschützte Quellcode, die native Kompilierung und die kontrollierte Signierung ergänzen dieses Sicherheitsmodell durch den Schutz der proprietären Implementierung und der Software-Lieferkette.

Keine Vault-Datei. Kein Vault-Server.

Sondern eine kryptografische Vertrauensplattform.

Keyra basiert auf kryptografischer Vertrauens­trennung, nicht auf Vault-Härtung.