TC$mC$ on erinomainen turvallisuusarkkitehtuurin kysymys. Olet aivan oikeilla
jC$ljillC$  perinteinen salasanaan (PSK) pohjautuva salaus suojaa sisC$ltC6C$
ulkopuolisilta, mutta se ei estC$ sitC$, ettC$ kuka tahansa verkon solmu,
jolla on sama avain, voi ilmoittaa olevansa "vastaanottaja" ja noutaa paketin.

TC$ssC$ astuu kuvaan epC$symmetrinen kryptografia ja **Julkisen Avaimen
Infrastruktuuri (PKI)**, jota nykyaikaiset verkot (kuten PGP tai
Signal-protokolla) kC$yttC$vC$t.

### Miksi pelkkC$ nykyinen AES (Symmetrinen salaus) ei riitC$?

TC$llC$ hetkellC$ The Dark Mesh kC$yttC$C$ symmetristC$ AES-256-GCM -salausta:

* LC$hettC$jC$ (Silta A) lukitsee datan avaimella (`super_salainen_mesh_avain_2
026`).
* Vastaanottaja (Silta B) avaa datan **tC$smC$lleen samalla avaimella**.

Ongelma on siinC$, ettC$ jos verkossa on Router C (esim. tyC6lC$inen, jonka ei
kuuluisi nC$hdC$ juuri tC$tC$ pakettia), mutta sillC$ on tuo sama
Mesh-verkkoavain (jotta se ylipC$C$tC$C$n voisi osallistua verkkoon), se voi
myC6s noutaa ja avata kyseisen paketin.

### Miten epC$symmetrinen PULL / DELIVERY -malli ratkaisee tC$mC$n?

Jos otamme askeleen kohti asymmetristC$ reititystC$, malli muuttuu tC$hC$n
suuntaan:

1. **Avainparien (Keypair) luominen:**
* Jokainen solmu (tai loppukC$yttC$jC$ "Kalle") luo kaksi avainta: Yksityisen
avaimen (Private Key, esim. PGP Private) ja Julkisen avaimen (Public Key,
esim. PGP Public).
* Julkinen avain annetaan koko maailmalle (tai Mesh-verkolle `OMG-ALIVE`-huudon
 mukana). YksityistC$ avainta ei jaeta ikinC$ kenellekC$C$n.


2. **EpC$symmetrinen Salaus & LC$hetys (The Enveloping):**
* Kun Silta A haluaa lC$hettC$C$ paketin "Kallelle", se lukitsee paketin
sisC$llC6n **Kallen Julkisella Avaimella**.
* Koska Kallen julkisella avaimella salattu paketti voidaan purkaa **vain**
Kallen YksityisellC$ Avaimella, Silta A:n ei edes tarvitse vC$littC$C$, kuka
reititin (tai haamu) paketin hakee  kukaan muu ei saa sitC$ kuitenkaan auki.


3. **Tunnistettu Vastaanottaja (Challenge-Response & Signatures):**
* Jos et halua pelkC$stC$C$n salata dataa asymmetrisesti, vaan haluat estC$C$
*reititintC$ ylipC$C$tC$C$n luovuttamasta* pakettia kenellekC$C$n muulle,
kC$ytetC$C$n **Digitaalisia Allekirjoituksia (Digital Signatures)**.
* Kun Node B huutaa lokaalista verkostaan `OMG-PULL`, sen tC$ytyy
allekirjoittaa pyyntC6 omalla yksityisellC$ avaimellaan: `OMG-PULL: {"limit":
1, "nonce": 9871, "sig": "X7fA9..."}`.
* Node A (jolla on Outboxissa Kallelle tarkoitettu paketti) tarkistaa Node B:n
julkisella avaimella, ettC$ allekirjoitus tC$smC$C$. Jos allekirjoitus on
aito, se vastaa "Ahaa, sinC$ todella olet Node B, jolle tC$mC$ paketti oli
korvamerkitty. TC$ssC$pC$ se!"



### JC$rjestelmC$arkkitehtuuri OMEGA:lle

Kun yhdistC$mme The Dark Meshin arkkitehtuurin ja vaatimuksen tunnistetusta
vastaanottajasta, se voitaisiin toteuttaa kahdella turvallisuustasolla,
riippuen tarpeistasi:

#### Taso 1: PelkkC$ asymmetrinen salaus (Helppo)

* Paketti lepC$C$ Node A:n Outboxissa.
* **Kuka tahansa** voi hakea paketin `OMG-PULL` komennolla.
* Mutta koska sisC$ltC6 on salattu *vastaanottajan julkisella avaimella* (RSA
tai ECDH), vain oikea vastaanottaja saa sen auki. Kaikille muille hakijoille
se on roskadataa.
* **HyC6ty:** Tukee tC$ydellisesti ajatustasi "hC$mC$rC$stC$ verkosta". Data
voi kiertC$C$ 10 vC$C$rC$n reitittimen kautta (monihyppy), eivC$tkC$ ne saa
sitC$ auki, ennen kuin se putoaa oikean kohteen syliin.

#### Taso 2: Challenge-Response Nouto (Vahva)

* Paketti lepC$C$ Node A:n Outboxissa.
* Node A kieltC$ytyy luovuttamasta pakettia, ennen kuin hakija (PULL) pystyy
todistamaan kryptografisesti olevansa oikea kohde.
* Hakija kC$yttC$C$ digitaalista allekirjoitusta (Ed25519) tai diffie-hellman
(ECDH) avainten vaihtoa pyyntC6nsC$ yhteydessC$.
* **HyC6ty:** Suojaa Outboxin tyhjenemiseltC$ vC$C$riin kC$siin (esim.
DoS-hyC6kkC$ys, missC$ vC$C$rC$ reititin hakee jatkuvasti kaikki paketit
roskiin), mutta heikentC$C$ hieman anonymiteettiC$ (koska solmu joutuu
huutamaan julkiseen verkkoon, kuka se on).

---