Où ma clé de chiffrement est-elle stockée ?

Nulle part dans son ensemble. Votre clé est répartie en parts détenues dans des lieux distincts, si bien qu'aucune partie — LifeWyn y compris — ne détient jamais une clé complète et fonctionnelle. Une clé qui n'existe pas en un seul endroit ne peut être ni utilisée, ni volée, ni extorquée à un seul détenteur.

Comment une divulgation peut-elle avoir lieu si LifeWyn ne détient jamais la clé ?

Une divulgation vérifiée livre les parts de clé enveloppées au destinataire, qui les réassemble sur son propre appareil. LifeWyn ne fait jamais que déplacer des parts scellées ; il ne détient ni ne voit jamais de clé fonctionnelle à quelque étape du processus.

Combien de parts faut-il pour reconstituer la clé ?

Il utilise le partage à seuil : la clé est répartie en plusieurs parts, et un minimum fixé d'entre elles est nécessaire pour la reconstituer. En dessous de ce minimum, elles ne révèlent rien, ce qui permet de répartir les parts en plusieurs endroits sans qu'aucune ne soit sensible à elle seule.

Que se passe-t-il si je perds un appareil qui détient une part ?

C'est précisément pourquoi le schéma est à seuil plutôt que tout-ou-rien, et pourquoi la récupération est mise en place à l'avance. Perdre une part sous le seuil ne vous verrouille pas dehors — configurez vos contacts de confiance et votre récupération dès le début, afin qu'un appareil perdu soit un désagrément, pas un blocage.

Centre de sécurité → Gestion des clés

Comment fonctionne la divulgation des clés

LifeWyn ne remet jamais de texte en clair. Il attend vos règles, vérifie l'événement, calcule le périmètre des destinataires, et ne divulgue que du matériel de clé chiffré que les bénéficiaires désignés déchiffrent localement.

Partage de secret de Shamir

Seuil que vous choisissez

Corps GF(2^8)

Renouvellement de clé

Parts des bénéficiaires désignés

Flux de divulgation

Du coffre scellé à l'accès circonscrit du bénéficiaire désigné

Le parcours de divulgation est volontairement échelonné. Chaque étape réduit le risque avant que la moindre part de clé enveloppée ne soit livrée.

1. Un signal ouvre un examen

Un point de contrôle de protection manqué, un rapport d'incapacité vérifié, un avis de décès ou une règle d'urgence définie par le propriétaire ouvre un dossier. Le coffre reste chiffré.

2. Le dossier de vérification est approuvé

Les preuves, les délais d'attente, l'examen de l'exécuteur testamentaire, les blocages en cas de litige et les notes de juridiction doivent satisfaire l'ensemble de règles. Les cas ambigus sont mis en pause plutôt que divulgués.

3. Le périmètre du destinataire est calculé

LifeWyn associe l'événement approuvé aux personnes, salles, catégories et instructions exactes que vous avez autorisées. Les zones du coffre non attribuées restent scellées.

4. Les parts de clé enveloppées sont livrées

Les bénéficiaires désignés reçoivent des enveloppes de parts chiffrées et des clés d'éléments enveloppées, jamais de contenu en clair. Le déchiffrement a lieu sur leur appareil après une preuve locale.

Le serveur coordonne la divulgation, mais ne peut pas lire le coffre.

LifeWyn stocke le texte chiffré, l'état des règles, les preuves d'audit et les enveloppes de clé chiffrées. Le matériel de clé exploitable n'est reconstitué que lorsque le seuil configuré est atteint par des parties autorisées.

Invariant de divulgation

Sans dossier approuvé, sans seuil atteint, sans déchiffrement local, pas de données lisibles.

Comment fonctionne le partage à seuil

Un seuil que vous choisissez — aucun point de défaillance unique

La clé de votre coffre est répartie grâce au partage de secret de Shamir. Vous choisissez combien de parts existent et combien sont nécessaires ; voici un exemple courant. Aucune partie, LifeWyn y compris, ne détient assez de matériel.

Votre appareil

Conservée dans le trousseau du système ; dans un navigateur, en mémoire uniquement

1 part

1 sur 5

Appareil de secours

Enveloppée pour votre appareil de confiance

1 part

1 sur 5

Bénéficiaire désigné 1 (conjoint)

Chiffrée pour la clé publique du bénéficiaire désigné

1 part

1 sur 5

Bénéficiaire désigné 2 (enfant)

Chiffrée pour la clé publique du bénéficiaire désigné

1 part

1 sur 5

Contact de confiance

Chiffrée pour la clé publique du contact

1 part

1 sur 5

N'importe quel groupe de seuil de ces parts reconstitue la clé maîtresse

LifeWyn stocke les enveloppes de parts chiffrées et l'état d'audit, jamais une part en clair exploitable

Hiérarchie de dérivation des clés

Clé maîtresse → clés de catégorie → clés d'avoirs

HKDF-SHA-256 avec séparation de domaine garantit une isolation cryptographique entre les types de clés.

Niveau 0 : clé maîtresse (MK)

256 bits • scrypt(phrase secrète du coffre, sel, N=2^15, r=8, p=1)

Ne quitte jamais l'appareil • Dans un navigateur, elle n'est conservée en mémoire que pour la durée de la session

Clé Coffre (CK)

HKDF(MK, 'vault')

Chiffrement racine du coffre

Clé Identifiants (CK)

HKDF(MK, 'credentials')

Clés du gestionnaire de mots de passe

Clé Documents (CK)

HKDF(MK, 'documents')

Chiffrement des documents

Clé Avoirs (CK)

HKDF(MK, 'assets')

Clés des métadonnées d'avoirs