# #006 Verschlüsselte Ablage und OpenSSH-Schlüsselformat
**Status:** offen
**Meilenstein:** v0.1.0
**Labels:** sicherheit
**Geschätzt:** 4 h   **Tatsächlich:** –

## Ziel
Envelope Encryption für Private Keys mit Master-Key aus Datei; eigene Erzeugung und Serialisierung von OpenSSH-Schlüsseln ohne temporäre Dateien; Deployment-Key der Instanz.

## Aufgaben
- [ ] Master-Key aus `SSHKV_MASTER_KEY_FILE` (32 Byte), nur im Worker
- [ ] AES-256-GCM, DEK je Schlüssel, AAD = Schlüssel-ID + Fingerprint, Master-Key-Version
- [ ] ed25519 und RSA-4096 erzeugen (Node `crypto`), OpenSSH-Format schreiben und lesen (optional Passphrase: bcrypt-pbkdf + aes256-ctr)
- [ ] Fingerprint SHA256 wie `ssh-keygen -l`
- [ ] Deployment-Key beim ersten Start erzeugen
- [ ] Log-Redaction

## Akzeptanzkriterien
- [ ] `ssh-keygen -y -f` liest erzeugte Schlüssel (mit und ohne Passphrase)
- [ ] Fingerprints identisch zu `ssh-keygen -lf`
- [ ] Datenbank-Dump enthält keinen Klartext-Schlüssel

## Abhängigkeiten
#003

## Notizen / Entscheidungen