Device Binding Vault

EnrollmentCAP-1

Erzeugt den Account Key rein per CSPRNG und koppelt sofort dieses Gerät.

Account Key erzeugen & Gerät koppeln

Dieses Gerät

Neues Gerät koppelnCAP-3

Zwei gleichwertige Wege: ein bereits vertrauenswürdiges Gerät genehmigt dieses (Peer‑Approval), oder ein Offline‑Recovery‑Key stellt selbstständig wieder her.

Peer-Approval anfragen

---

Via Recovery wiederherstellen

Offline Recovery KeyCAP-3

Wrappt den Account Key symmetrisch (AES-KW), einmalig angezeigt.

Recovery Key ausstellen

Verschlüsselte NotizenCAP-4

Jede Notiz bekommt einen eigenen, per HKDF aus dem Account Key abgeleiteten Item-Key (info=item:<id>) und einen eigenen Salt. Serverseitig landet ausschließlich AES-256-GCM-Ciphertext.

Vertrauenswürdige GeräteCAP-3

Widerruf löscht nur die gewrappte Zeile — ohne Rotation des Account Key. Verwalten erfordert eine entsperrte Sitzung.

Server-SichtZero Knowledge

Genau das, was data/state.json tatsächlich enthält: Public Keys und opake Ciphertexte, niemals der Account Key oder ein privater Schlüssel.