stor·ax

Produkte / Storax CA

Die Zertifizierungsstelle für das Post-Quanten-Jahrzehnt.

Storax CA stellt schon heute ML-DSA- und SLH-DSA-Zertifikate aus — mit den Enrollment-Protokollen, der Lifecycle-Automatisierung und der HSM-Integration, die Ihre Infrastruktur von einer modernen privaten CA bereits erwartet.

Demo anfragen Produkt entdecken

Warum Post-Quanten

„Harvest now, decrypt later“ passiert bereits.

Zertifikate, die heute mit klassischen Algorithmen ausgestellt werden, sind noch gültig, wenn kryptographisch relevante Quantencomputer eintreffen. Eine PKI-Migration dauert Jahre — die Root, die Sie dieses Quartal anlegen, sollte bereits quantensicher sein. Storax CA macht Post-Quanten zum Standard, nicht zum Roadmap-Punkt.

Post-Quanten als Standard

ML-DSA (FIPS 204) ist die primäre Signaturfamilie für jeden Ausstellungspfad. SLH-DSA (FIPS 205) steht für langlebige Roots bereit, wo konservative, hash-basierte Sicherheit am meisten zählt.

Volle klassische Interoperabilität

ECDSA P-256/P-384, Ed25519 und RSA halten die heutigen Clients am Laufen. Post-Quanten ist der Standard, den wir empfehlen — aber Ihre bestehende Flotte enrollt sich, wie sie ist, und migriert nach Ihrem Zeitplan.

Eine neue CA, ohne Altlasten

Kein Fork, kein Wrapper, keine jahrzehntealte Codebasis mit nachträglich angeschraubtem Post-Quanten. Eine Zertifizierungsstelle, vom weißen Blatt für die PQ-Ära entworfen — quantensichere Algorithmen als Bürger erster Klasse.

Schnell, per Konstruktion

Eine native Engine in modernem C++ — kein Interpreter, keine Runtime, kein Garbage Collector zwischen Anfrage und Signatur. Ein schlankes Binary, das mit Leitungsgeschwindigkeit ausstellt — auch mit größeren Post-Quanten-Schlüsseln und -Signaturen.

Normgerechtes X.509

Seriennummern aus einem CSPRNG, RFC-5280-konforme Key Identifier, validierte Distinguished Names und konformitätsgetestetes DER — verifiziert gegen unabhängige Implementierungen.

Produkt

Alles, was eine private CA können muss — in einem Deployment.

Eine vollständige Ausstellungsplattform: REST-API, standardbasiertes Enrollment, Revokationsverteilung, Web-Konsole und CLI. Ein Binary, dahinter wahlweise SQLite oder PostgreSQL.

EST-Enrollment (RFC 7030)

Algorithmus-agnostisches Enrollment, das Geräte und MDM-Stacks bereits sprechen — genau deshalb gewählt, weil es Post-Quanten-Schlüssel ohne Änderung transportiert.

Mandantenfähig vom ersten Tag

Jedes Zertifikat, jedes Profil und jeder API-Pfad ist mandantenbezogen. Betreiben Sie eine CA für viele Teams, Tochtergesellschaften oder Kunden — oder bleiben Sie beim vorangelegten Standard-Mandanten und denken nie darüber nach.

HSM & Schlüsselschutz

Eine steckbare Krypto-Provider-Schicht: Software-Schlüssel verschlüsselt at rest, oder PKCS#11 für Hardware-Sicherheitsmodule und Token. Schlüsselmaterial überquert diese Grenze nie.

Workflow-gesteuerter Lifecycle

Zertifikatsanträge durchlaufen eine konfigurierbare State Machine — Auto-Freigabe für Dev-Flotten, Webhooks und menschliche Freigabe, wo die Richtlinie es verlangt.

Richtlinien als Profile

Ausstellungsprofile sind validiertes JSON: DN-Richtlinien pro Feld, Algorithmus-Allowlists, Key-Usage- und EKU-Vorlagen. Was das Profil verbietet, kann nicht ausgestellt werden.

Konsole, CLI & API

Eine moderne Web-Konsole für Operatoren, eine skriptbare CLI für Automatisierung und darunter eine JSON-REST-API — inklusive optionalem serverseitigem Keygen-Flow, der installationsfertiges PKCS#12 liefert.

So funktioniert es

Von null zu quantensicherer Ausstellung an einem Nachmittag.

  1. Root anlegen

    Errichten Sie eine ML-DSA- oder SLH-DSA-Root — software-gestützt oder auf Ihrem HSM — mit einem Profil, das Ihre Namens- und Nutzungsrichtlinie festschreibt.

  2. Profile definieren

    Beschreiben Sie, was jeder Zertifikatstyp enthalten darf. Validierung wird bei der Ausstellung durchgesetzt, nicht der Konvention überlassen.

  3. Flotte enrollen

    Richten Sie Geräte und Dienste auf EST oder die REST-API. Freigaben laufen durch die Workflow-Engine, die Sie konfiguriert haben.

  4. Souverän betreiben

    CRL- und OCSP-Endpunkte veröffentlichen den Revokationsstatus; die Konsole gibt Operatoren volle Sicht über jeden Mandanten.

Beginnen Sie Ihre Post-Quanten-Migration dort, wo sie am meisten zählt.

Ihre PKI überlebt jedes andere System, das Sie betreiben. Bauen Sie die nächste auf Algorithmen, die die Quanten-Transition überdauern.

Demo anfragen