TenthMatrix WSL Vault
Украдите сервер. Но не секреты.
Управление секретами с открытым кодом и самостоятельным размещением на основе конвертного шифрования AES-256-GCM и иерархии ключей для каждого арендатора — даже украденный диск, дамп базы данных или скомпрометированный хост оставят злоумышленникам лишь шифротекст, который они не смогут открыть.
Что такое WSLVault?
WSLVault — совместимая с Vault платформа секретов для операторов, которым нужна мультиарендность с шифрованием при хранении и без открытого текста на диске. Управляйте ею через веб-консоль steel/brass, CLI, SDK на Go/Python/Rust/TypeScript или MCP — с развёртыванием через Helm/GitOps в Kubernetes.
Watch the overview
Введение за 20 минут — украдите сервер, но не секреты
Смотреть на YouTube
Смотреть на YouTube: Введение за 20 минут — украдите сервер, но не секреты
Почему важна модель безопасности
Настоящая мультиарендность
Команда A не может расшифровать данные команды B — это криптографический отказ, а не ошибка приложения.
Конвертное шифрование
DEK → KEK арендатора → корневой KEK (KMS / HSM / Shamir). Секреты запечатываются до записи на диск.
Нужные вам движки
Версионируемый KV, шифрование transit, PKI, динамическая аренда, политики идентификации и MFA.
Высокая доступность и аудит
Мультирегиональная репликация active/active и защищённый от подделки журнал аудита с хеш-цепочкой.
Всё, что нужно секрету, за одним API
Версионируемые KV-секреты
Совместимый с Vault KV v2: версионируемые чтение и запись, check-and-set, мягкое удаление и уничтожение — каждое значение запечатывается до сохранения.
Движок Transit
Шифруйте, расшифровывайте, подписывайте и проверяйте, не выпуская ключи в открытом виде из хранилища. Ротируйте ключи, сохраняя читаемость старого шифротекста.
PKI и сертификаты
Частный CA, роли и краткосрочные сертификаты. Закрытые ключи CA защищены конвертным шифрованием и никогда не хранятся в открытом виде.
Динамическая аренда
Учётные данные — это аренда: они действительно выдаются, перечисляются, продлеваются и отзываются. Отзыв немедленно прекращает доступ.
Идентификация и MFA
Двухфакторная аутентификация TOTP, коды восстановления, детальные политики для API-ключей и JWT — плюс SCIM, LDAP, OIDC, mTLS и аутентификация рабочих нагрузок.
Ноль открытого текста при хранении
Дамп базы данных даёт лишь шифротекст, обёрнутый ключами, которых база никогда не видит. Украсть диск ≠ украсть секреты.
Cloud-native и скриптуемый
Разворачивайте через Helm-чарт и оператор Kubernetes, управляйте через GitOps, собирайте метрики Prometheus и обращайтесь к WSLVault из любимого языка — или из ИИ-агента через встроенный MCP-сервер.
Разверните собственное хранилище
Клонируйте репозиторий, установите Helm-чарт и распечатайте хранилище. TenthMatrix помогает операторам эксплуатировать WSLVault с той же дисциплиной границы и продвижения, что и WSL Proxy и Ring Promoter.