KeyNanny

Verschlüsselte Credential-Speicherung — Alle Zugangsdaten werden mittels CMS/PKCS#7 (AES-256) verschlüsselt persistent gespeichert. Die verschlüsselten Dateien sind nicht sensitiv und können auch world-readable abgelegt werden; der Schutz liegt im Schlüssel, nicht in der Datei.

Unix-Socket-basierter Zugriff — KeyNanny kommuniziert ausschließlich über Unix Domain Sockets. Zugriff wird über Unix-Dateiberechtigungen gesteuert – ohne zusätzliche Netzwerkexposition. Jede KeyNanny-Instanz läuft als derselbe Unix-Benutzer wie die zugreifende Applikation.

Multi-Instanz-Architektur — Eine beliebige Anzahl paralleler KeyNanny-Daemon-Prozesse (keynannyd) kann betrieben werden – je Applikation oder Namespace eine Instanz, mit eigenem Socket, eigenem Benutzer und eigener Zugangsdatenmenge.

HSM-Integration via PKCS#11 —Die von KeyNanny verwendeten Verschlüsselungsschlüssel können in Hardware-Sicherheitsmodulen (HSMs) verwahrt werden. 

Konfigurationsdatei-Templating — Applikationen, die Klartext-Konfigurationsdateien benötigen, werden über ein Template-Mechanismus versorgt: Beim Start wird eine Konfiguration mit Platzhaltern gegen KeyNanny-Werte gerendert und in ein tmpfs-Verzeichnis geschrieben. Die Applikation liest eine vollständige, normale Konfiguration – ohne jemals ein Passwort im Dateisystem zu hinterlassen.

Sichere Credential-Übermittlung — Über ein optionales, einfach einzurichtendes Web-Interface können Passwörter sicher zwischen Administratoren unterschiedlicher Betreibergruppen ausgetauscht werden: Die Werte werden direkt mit dem KeyNanny-Zertifikat verschlüsselt übermittelt, ohne jemals im Klartext über das Netz zu gehen. 

Automatisches Schlüssel-Rollover — Beliebig viele Generation von Verschlüsselungs-Zertifikates können konfiguriert werden. KeyNanny wählt automatisch das aktuell gültige Verschlüsselungszertifikat für neu zu verschlüsselnde Daten, die alten Daten bleiben lesbar. Ein Rekeying-Mechanismus für alle Daten erleichtert bei Bedarf das Aufräumen.

Native OpenXPKI-Integration — Über den KeyNanny-Connector werden Zugangsdaten direkt in OpenXPKI-Konfigurationen eingebunden. Datenbankpasswörter, LDAP-Credentials und andere Secrets werden aus KeyNanny gelesen, ohne in der OpenXPKI-Konfiguration im Klartext zu stehen.

Trennung von Zuständigkeiten — Entwickler, Service-Betreiber und Betriebsadministratoren haben klar getrennte Rollen: Entwickler pflegen Konfigurationsvorlagen ohne Kenntnis der Produktionspasswörter; Service-Betreiber können Service-Passworte vergeben, ohne dass die Betriebsadministratoren diese lesen können.

PKI-Infrastruktur (OpenXPKI) — KeyNanny ist der empfohlene Credential-Store für OpenXPKI Enterprise Edition. Datenbankpasswörter, LDAP-Bind-Credentials und weitere Zugangsdaten werden aus KeyNanny bezogen. Die Integration erfolgt über den nativen KeyNanny::Connector ohne Änderungen an der OpenXPKI-Applikation selbst. In Kombination mit einem HSM werden die Verschlüsselungsschlüssel modular geschützt.

Webserver-Schlüsselschutz — Private Schlüssel für TLS-Zertifikate von Webservern (z. B. Apache) müssen beim Start nicht mehr im Klartext vorliegen. KeyNanny liefert die Schlüssel-Passphrase über den SSLPassPhraseDialog-Mechanismus direkt an Apache – der private Schlüssel liegt nur noch HSM-geschützt vor.

Datenbankzugangsdaten — Technische Datenbankbenutzer und deren Passwörter werden in KeyNanny verschlüsselt abgelegt. Ein Passwortwechsel erfordert keine Anpassung von Konfigurationsdateien oder Deployments.

Entwicklung und CI/CD — Konfigurationsvorlagen mit KeyNanny-Platzhaltern können bedenkenlos in Git-Repositories versioniert werden. Produktionspasswörter sind nie im Repository enthalten; die Trennung zwischen Konfigurationsstruktur und sensitiven Werten ist strukturell erzwungen.

Multi-Team-Umgebungen — In Umgebungen mit getrennten Betreibergruppen (z. B. Entwicklung, Betrieb, Sicherheit) ermöglicht KeyNanny die sichere Übergabe von Credentials: Ein Administrator einer Gruppe verschlüsselt den Wert mit dem KeyNanny-Zertifikat der Zielumgebung; der empfangende Administrator importiert ihn, ohne den Klartext je zu sehen.