Le regole per l'uso efficace della crittografia, compresa la gestione delle chiavi crittografiche, dovrebbero essere definite e implementate.
Le chiavi private (esclusivamente chiavi RSA a 4096 bit) non lasciano mai il token hardware e richiedono l'inserimento fisico del PIN e la conferma con un tocco per ogni operazione. Nemmeno una workstation compromessa può accedere alle chiavi.
I certificati Let's Encrypt si rinnovano automaticamente ogni 3 mesi. Le chiavi del controller Sealed Secrets ruotano ogni mese. Nessun onere di rotazione manuale, zero incidenti per chiavi scadute.
Imponiamo la firma dei commit con YubiKey, altrimenti i commit non vengono inviati: li bloccano i runner di Gitea.
Imponiamo che tutti i commit siano firmati con le nostre chiavi GPG su YubiKey. I commit non firmati o firmati con chiavi locali vengono rifiutati dai runner di Gitea, garantendo provenienza, autenticità e una cronologia delle modifiche a prova di manomissione in tutto il codice.