Regeln für den wirksamen Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, sollten festgelegt und umgesetzt werden.
Private Schlüssel (ausschließlich RSA mit 4096 Bit) verlassen nie das Hardware-Token und erfordern für jeden Vorgang die Eingabe der PIN und eine Bestätigung per Berührung. Selbst kompromittierte Arbeitsplatzrechner kommen nicht an die Schlüssel.
Zertifikate von Let's Encrypt erneuern sich automatisch alle 3 Monate. Die Controller-Schlüssel von Sealed Secrets rotieren monatlich. Kein manueller Aufwand für die Rotation, keine Vorfälle durch abgelaufene Schlüssel.
Wir erzwingen die Signatur von Commits mit dem YubiKey, andernfalls werden Commits nicht gepusht – die Gitea-Runner blockieren sie.
Wir verlangen, dass alle Commits mit unseren GPG-Schlüsseln auf dem YubiKey signiert sind. Unsignierte oder mit lokalen Schlüsseln signierte Commits werden von den Gitea-Runnern abgelehnt – für nachweisbare Herkunft, Authentizität und eine manipulationssichere Änderungshistorie in der gesamten Codebasis.