第1章 离线Keystore安全存储概述

1.1 适用场景

离线Keystore（密钥库文件）仅在不连接互联网的完全隔离环境中生成、存储和使用，适用于以下典型场景：

• 区块链私钥管理：生成以太坊、比特币等钱包的JSON Keystore文件，离线签名交易。
• 数字证书签发：离线CA根证书私钥的创建与长期冷存储。
• 加密备份恢复：使用离线Keystore保护数据加密密钥的恢复种子。
• 组织级权限凭证：离线存储SSH签名CA、代码签名证书等企业核心凭证。
• 应急灾难恢复：离线保存Vault/Raft集群的unseal密钥或备份加密密钥。

1.2 核心原则

原则	说明	实施要点
完全离线	Keystore所在设备从未连接过任何网络（包括WiFi/蓝牙/USB网卡）	专用硬件（如Trezor/冷钱包）或一次性离线虚拟机
最小化暴露	Keystore在生命周期内仅出现在生成、备份、恢复三个必要时刻	生成后立即封存，中间不经任何中介系统
可验证完整性	每次操作后校验Keystore的哈希值，确保未被篡改	使用SHA-256校验并打印两份分别保存
冗余与分割	多个副本异地保存，且使用Shamir备份或分割为多口令保护	至少3个地理分散的保险箱，每个包含1/3碎片
可审计追溯	每次访问/备份/销毁都需要记录并保留日志	使用纸质操作记录表并双人签名

1.3 风险概述

1. 生成环境未彻底离线：存在网络后门导致Keystore被盗。 → 解决：使用硬件钱包或专用离线电脑
2. 介质物理损坏：USB/硬盘损坏导致Keystore永久丢失。 → 解决：3-2-1备份策略
3. 密码遗忘或口令泄露：Keystore解密密码被攻破或遗忘。 → 解决：离线密码管理器+纸质副本
4. 供应链攻击：生成工具被植入后门。 → 解决：从可信源校验工具签名
5. 人为操作错误：未按步骤校验或错误复制。 → 解决：双人复核+SOP清单

1.4 前置条件（读者需掌握）

• 理解公钥密码学基本概念（私钥、公钥、密钥对）
• 会使用命令行（Linux/macOS终端或Windows PowerShell）
• 拥有至少一个物理隔离的存储介质（无网络功能的旧电脑或硬件钱包）

1.5 输入输出物（本章不操作，仅定义）

类型	输入	输出
数据	无（仅概念）	本章知识检查记录
文档	《离线Keystore操作SOP 全流程》	《风险识别与应对清单》

1.6 责任边界

• 操作执行者：负责理解本章原则，确保后续按SOP执行。
• 安全审计员：审核本章理解的完整性，并确认离线环境可用。
• 组织管理层：批准本SOP作为密钥管理标准。

1.7 记录材料

1. 本章学习完成后的《核心原则确认表》（含签名与日期）
2. 《适用场景与风险登记表》（需列出组织内已识别的场景）

1.8 异常处理（本章仅定义，不执行）

• 若发现离线环境曾连接网络 → 立即停止所有操作，废弃该环境。
• 若核心原则理解有分歧 → 由安全专家重讲并重新确认签名。

1.9 验收标准

1. 能准确复述5个适用场景。
2. 能列出5条核心原则并解释其必要性。
3. 能识别至少3个典型风险及对应的预防措施。
4. 完成《核心原则确认表》并归档。

访问控制屏障，防止远程窃取。 • 可验证完整性 + 冗余分割 构成数据持久性屏障，防止介质损坏或篡改。 • 可审计追溯 构成责任归属屏障，确保操作可查、可问责。