selbst gehostet · Ende zu Ende verschlüsselt
tessera ist ein SSH- und SFTP-Client, der Hosts, Snippets und Schlüssel zwischen deinen Geräten abgleicht — verschlüsselt auf dem Gerät, entschlüsselt auf dem Gerät. Dazwischen liegt nur Ciphertext. Kein Master-Passwort, kein fremdes Konto, keine Telemetrie.
Das Versprechen
Nicht „wir schauen nicht hin“, sondern „wir können nicht“. Es gibt keinen Endpunkt, der etwas entschlüsselt, und keinen Schlüssel, der jemals das Gerät verlässt.
Was drin ist
Jede Entscheidung in tessera hat einen Grund, und der steht in der Doku. Nichts davon ist eine Funktionsliste zum Abhaken.
Strg+C kopiert, wenn etwas markiert ist, und bricht ab, wenn nicht. Kopiert wird ohne Rand: Die Auffüllung, mit der ein Terminal jede Zeile bis zum Rand ausfüllt, bleibt draußen. Rechtsklick fügt ein wie in PuTTY. Eingefügter Text wird von Steuerzeichen befreit — Paste-Injection ist ein realer Angriffsweg.
Remote Desktop als zweiter Verbindungstyp: dieselbe Hostliste, dieselben Zugänge, dieselbe Verschlüsselung. Die Auflösung folgt dem Fenster, damit nichts umgerechnet werden muss — und ein Rechner hinter einem Linux-Server ist über denselben Sprunghost erreichbar wie eine SSH-Sitzung. Die Zwischenablage geht in beide Richtungen, mit Text, Dateien und ganzen Ordnern.
Gebunden an einen Host, eine Gruppe, ein Tag — oder an nichts.
Drei Buchstaben in der Palette genügen. Platzhalter werden vor
dem Ausführen abgefragt und geshell-quotet: aus
wildfly; reboot wird ein Argument, kein zweiter
Befehl.
ed25519 erzeugen, auf mehrere Hosts ausrollen, wieder austragen. Wiederholbar: zweimal ausgeführt steht die Zeile einmal da.
Links dieses Gerät, rechts der Host — als eigener Reiter neben
der Shell oder in der Spalte daneben. Links geht auch ein
zweiter Server: kopiert wird dann direkt zwischen beiden.
Ziehen und Ablegen in beide Richtungen, bis in den Explorer
hinein. Häufige Ordner liegen als Lesezeichen bereit — lokal
und je Server. Übertragen wird nacheinander, geschrieben erst in
.tessera-part und dann umbenannt.
-L, -R, -D wie bei
OpenSSH, am Host hinterlegt. Ketten über mehrere Sprunghosts
sind erlaubt, Ringe werden abgefangen.
tessera sieht beim Start nach, ob es eine neue Fassung gibt — eine Anfrage, ohne Kennung. Ein Klick lädt sie und setzt sie ein. Unter Windows nur mit gültiger minisign-Signatur, unter Android prüft das System den Schlüssel. Abschaltbar.
Gruppen liegen ineinander, zugeordnet wird mit der Maus. Eine Gruppe unter ihre eigene Untergruppe zu ziehen leuchtet gar nicht erst auf. Import aus OpenSSH-Config und PuTTY inklusive.
Strg+Umschalt+U holt die Benutzerliste vom Host und wechselt in eine Untershell. Ein Band über dem Terminal zeigt, als wer du gerade arbeitest — und nimmt dafür Platz weg, statt sich darüberzulegen.
Der Klassiker
In jedem anderen Programm kopiert diese Taste, im Terminal sendet sie SIGINT. tessera entscheidet über den Selektionszustand. Probier es aus — links drücken, rechts steht, was wirklich hinausgeht.
Der Zustandsautomat ist eine reine Funktion und hat eine eigene Regressionssuite. Die Kürzel, die readline gehören — Strg+A, Strg+K, Strg+U — werden nie umbelegt. Und was kopiert wird, wird vorher beschnitten: Leerraum am Zeilenende stammt aus der Auffüllung des Terminals und nicht aus dem Text. Ganze Tabelle in der Doku →
Kopplung
Eine tessera hospitalis war ein Token, das in zwei Hälften gebrochen wurde — zusammengefügt bewiesen die Bruchkanten die Identität. Genau das tut die Gerätekopplung: sechs Ziffern auf beiden Bildschirmen, verglichen von einem Menschen.
Arbeitsrechner · eingerichtet
000 000
Notebook · neu
000 000
SAS wird abgeleitet …
Wer sich dazwischensetzt, kann Schlüssel austauschen — aber nicht dafür sorgen, dass beide Seiten dieselben sechs Ziffern sehen. Stimmen sie nicht, bricht man ab. Der gewrappte Vault Key wird erst hinterlegt, nachdem der Vergleich bestätigt wurde.
Eine Hybrid Logical Clock ordnet jede Änderung. Beide Seiten setzen dieselbe Regel durch: Der Client entscheidet lokal, der Server weist einen Push zurück, dessen Uhr nicht neuer ist als der gespeicherte Stand.
Der Abgleich ist freiwillig. Wer keinen Server hat, wählt bei der Einrichtung Ohne Server nutzen und hat sofort einen vollständigen Client — nur bleibt dann alles auf diesem Gerät, samt der Konsequenz: kein zweites Gerät, kein Wiederherstellungscode. Nachrüsten geht jederzeit, und alles Angelegte geht beim ersten Abgleich verschlüsselt mit hoch.
Entzug allein reicht nicht — das Gerät kennt den Vault Key ja schon. Erst die Epoch-Rotation macht ihn wertlos: neuer Schlüssel, neue Wraps, alle Datensätze neu verschlüsselt, in einem Zug. Bis das geschehen ist, steht ein roter Balken über der Geräteliste.
Der entschlüsselte Arbeitsstand liegt lokal, also steht die Hostliste, bevor irgendwer geantwortet hat — die Sitzung zum Server holt tessera nach, während man schon arbeitet. Ist der Server weg, fehlt der Abgleich und sonst nichts: verbinden, übertragen, Snippets, Schlüsselbund laufen weiter, und Änderungen gehen hoch, sobald er wieder da ist.
Dateien
Übertragen wird nacheinander und immer erst in eine Datei mit der
Endung .tessera-part. Umbenannt wird erst, wenn das
letzte Byte angekommen ist.
Überschrieben wird nichts. Gibt es den Namen schon, wird
hochgezählt — und zwar vor der Endung: aus
sicherung.tar.gz wird
sicherung (2).tar.gz.
Gelöscht wird nicht rekursiv. Ein rm -rf mit
einem Klick ist die Art Bequemlichkeit, die man genau einmal
bereut. Übertragen dagegen schon: ganze Ordner gehen in beide
Richtungen, ohne Verknüpfungen zu verfolgen.
Ziehen geht auch nach draußen. Eine Zeile vom Host auf den
Schreibtisch gezogen lädt sie herunter, eine Datei aus dem Explorer
auf die rechte Spalte lädt sie hoch. Nach draußen ist es ein
Versprechen statt einer Kopie: Der Zug beginnt sofort, den Inhalt
ruft das Ziel erst nach dem Loslassen ab. Dort schreibt dann der
Explorer — und nur dort gilt .tessera-part nicht.
Auch auf dem Telefon
Eine Bildschirmtastatur hat kein Esc, kein Tab und keine Zusatztasten. Ohne sie kommt man in vi nicht aus dem Einfügemodus heraus und bricht keinen laufenden Befehl ab. Die Leiste darüber ist der Unterschied zwischen einem Terminal und einer Textanzeige — tipp erst strg, dann einen Buchstaben.
Ein Finger ist entweder auf der Leiste oder auf dem Buchstaben — halten geht nicht. Also merkt die Leiste vor: Ein Tipp auf strg färbt sie ein, der nächste Buchstabe geht als Steuerzeichen hinaus, danach ist die Vormerkung weg. Genauso machen es Termux und Blink.
strg+2 ist dabei kein Kuriosum, sondern NUL:
Die Ziffern stehen für die Zeichen, die auf einer amerikanischen
Tastatur mit Umschalt auf ihnen liegen. Ohne diese Zeile wäre
0x00 auf einer Bildschirmtastatur unerreichbar.
Langes Drücken markiert ein Wort. Damit es nicht dabei bleibt, hängen an beiden Enden Griffe: einer links unter dem Anfang, einer rechts unter dem Ende. Umschalt zum Erweitern gibt es hier nicht und eine Maus auch nicht — ohne die Griffe wäre die Markierung genau so groß, wie der Finger sie getroffen hat.
Es gibt keine „Mobil-Version“. Es gibt drei Breitenklassen und die Frage, ob mit dem Finger oder mit einem Zeiger bedient wird. Ein schmales Desktop-Fenster bekommt dasselbe Layout wie ein Tablet im Hochformat — der Platz ist derselbe.
Was auf dem Desktop auf einem Kürzel liegt, hat hier einen sichtbaren Weg: Suche, Palette, Snippets und Benutzerwechsel stehen im Menü der Leiste. Ein Kürzel auf einem Gerät ohne Tasten ist keine Funktion, sondern eine Sackgasse.
0
Tests im Client, ein Lauf unter einer Minute
0
Tests im Server, inklusive IDOR-Suite
0
direkte Pakete im Server, als Budget
0
Zeilen Telemetrie
Selbst hosten
Der Sync-Server ist Node.js mit Fastify und läuft unter systemd hinter nginx. Kein Docker im Produktivbetrieb, kein Runner, kein fremder Dienst. Das Installationsskript ist idempotent: derselbe Aufruf richtet ein und aktualisiert.
Für den reinen SSH- und SFTP-Betrieb brauchst du überhaupt keinen Server. Der Sync ist eine Zugabe, keine Voraussetzung.
# Node 22+, MariaDB 11, nginx vorausgesetzt
git clone <dein-repo> tessera
cd tessera
sudo ./deploy/install.sh
# TLS holt certbot
sudo certbot --nginx -d sync.example.org
# Läuft es?
curl -s https://sync.example.org/healthz
# {"status":"ok"}Plattformen
Nichts Plattformabhängiges steht direkt im Code — alles liegt hinter einer Abstraktion. Eine neue Plattform ergänzt eine Implementierung, sie gabelt keinen zweiten Client ab.
Häufige Fragen
Nein. Jeder Datensatz wird auf dem Gerät mit XChaCha20-Poly1305 verschlüsselt. Der Server speichert Ciphertext und die Metadaten, die der Delta-Sync braucht: ID, Typ, Epoch, Uhr und Sequenznummer. Kein Endpunkt entschlüsselt etwas — es gibt schlicht keinen Code dafür.
Aus den Metadaten lässt sich ablesen, wie viele Hosts und Snippets es gibt und wann sie zuletzt geändert wurden. Nicht, welche. Das ist eine bewusst getroffene und dokumentierte Entscheidung.
Nein. Geräte authentifizieren sich mit Ed25519-Schlüsseln aus dem Secure Storage des Betriebssystems. Neue Geräte kommen über eine Kopplung mit Ziffernvergleich dazu. Als Rückfalltür gibt es einen Wiederherstellungscode aus 256 Bit Zufall, der genau einmal angezeigt wird.
Entziehen und rotieren. Die Rotation erzeugt einen neuen Vault Key, gibt ihn jedem verbliebenen Gerät, verschlüsselt alle Datensätze neu und lädt das in einem Zug hoch — der Server nimmt es nur vollständig an.
Ehrlich gesagt: Was das verlorene Gerät bereits gesehen hat, kann es weiterhin entschlüsseln. Vergangenheit lässt sich nicht zurückholen. Neue Daten sieht es nicht mehr.
Nur für den Abgleich zwischen mehreren Geräten. Als reiner
SSH- und SFTP-Client läuft tessera vollständig ohne Server.
Nach außen geht dann nur noch der Blick auf
latest.json, ob es ein Update gibt — und der
lässt sich in den Einstellungen abschalten.
Nur wenn du es willst. Pro Schlüssel lässt sich der Abgleich abschalten — ein Produktivschlüssel darf auf dem Laptop bleiben, während alles andere synchronisiert wird. Angezeigt, kopiert oder exportiert wird der private Teil nie: Was auf dem Bildschirm steht, landet früher oder später in einem Screenshot.
Windows und Android. Beide kommen aus derselben Codebasis; alles Plattformabhängige liegt hinter einer Abstraktion, und die Oberfläche ist eine — sie richtet sich nach dem Platz und nach der Bedienart, nicht nach dem Betriebssystem.
Linux und macOS sind vorbereitet. Das iOS-Projekt ist vollständig, wurde mangels Mac aber noch nie gebaut — das steht hier so, weil „unterstützt“ und „schon einmal kompiliert“ zwei verschiedene Aussagen sind.
Die Doku ist kein Anhang. Sie erklärt jede kryptografische Konstruktion, jede Tastenbelegung und jede bewusst nicht getroffene Entscheidung.