Schlüssel-Hierarchie: KEK, CMK und DEK

KeyCave nutzt eine mehrstufige Schlüssel-Hierarchie, damit Passwortänderungen und getrennte Tresore möglich sind, ohne alle Dateien neu zu verschlüsseln.

KEK (Key Encryption Key)

Wird aus Ihrer PIN/Passphrase und einem Salt abgeleitet (z. B. PBKDF2). Lebt nur kurz im RAM des Clients — wird nicht auf dem Server gespeichert.

CMK (Customer Master Key)

Ihr Identitätsschlüssel (AES-256). Liegt auf dem Server nur in gewrappter Form — entschlüsselbar nur mit dem KEK beim Login.

DEK (Data Encryption Key)

Jeder Tresor hat einen eigenen zufälligen Schlüssel für die Dateien. Der DEK wird mit dem CMK verschlüsselt gespeichert. Beim Teilen kann der DEK für Empfänger separat gewrappt werden, ohne alle Dokumente neu zu verschlüsseln.

Zero-Knowledge daraus

Ohne Ihre PIN und ohne den entschlüsselten CMK im Client kennt der Server keine DEKs — und kann Ciphertext nicht öffnen.

Einstieg für Laien: Was ist Zero-Knowledge? · Vollständige Beschreibung: Sicherheitskonzept