Torminal
Sicherheit
Die Mathematik knackt niemand per Brute Force
Nur standardisierte, gut geprüfte Primitive — so kombiniert, dass der einzige Weg hinein dein Passwort oder dein Sicherheitsschlüssel ist.
Wie aus einem Geheimnis Chiffretext wird
- Dein Geheimnis Passwort · FIDO2-Schlüssel
- Schlüsselableitung Argon2id
- Hauptschlüssel im Speicher abgeleitet
- Innere Chiffre XChaCha20-Poly1305
- Äußere Chiffre AES-256-GCM
- Auf der Festplatte undurchsichtiger Chiffretext
So sieht ein Tresor auf der Festplatte aus
vault.torminal v3
{
"version": 3,
"keyslots": [
{ "kind": "password", "kdf": { "memKib": 262144 } },
{ "kind": "passkey", "credentialId": "…" }
],
"payload": {
"nonce": "…", // AES-256-GCM (outer)
"nonce2": "…", // XChaCha20 (inner)
"ciphertext": "…opaque random bytes…"
}
}- Der Hauptschlüssel wird im Speicher abgeleitet und beim Sperren genullt — nie auf die Festplatte geschrieben.
- Ein Tresor, mehrere Wege hinein: ein Passwort-Slot plus optionale Sicherheitsschlüssel, wobei das Passwort immer als Wiederherstellung erhalten bleibt.
- Ein falsches Passwort scheitert sauber am Auth-Tag. Keine teilweise Entschlüsselung, kein Datenmüll.
- Selbstbeschreibende KDF-Parameter; ältere Tresore migrieren beim Entsperren vorwärts.
- Auf der Festplatte sind es undurchsichtige Bytes — niemals Klartext.
Wovor es schützt
Ein gestohlener Laptop
Diebstahl auf Datenträgerebene liefert undurchsichtige Bytes. Ohne dein Passwort oder deinen Sicherheitsschlüssel gibt es nichts zu lesen.
Ein Netzwerk, das dich beobachtet
Tor-Routing verbirgt, wohin du dich verbindest, und DNS verlässt nie den Kreislauf — weder zum Provider noch zum Resolver.
Ein ausgetauschter Server-Schlüssel
Host-Schlüssel werden gepinnt. Ein geänderter Fingerabdruck stoppt die Verbindung, bevor ein Byte deiner Sitzung gesendet wird.