Er moeten regels voor het doeltreffende gebruik van cryptografie, waaronder het beheer van cryptografische sleutels, worden vastgesteld en geïmplementeerd.
Privésleutels (uitsluitend RSA-sleutels van 4096 bits) verlaten het hardwaretoken nooit en vereisen voor elke handeling het fysiek invoeren van een pincode en een bevestiging door aanraking. Zelfs een gecompromitteerd werkstation kan niet bij de sleutels.
Certificaten van Let's Encrypt worden elke 3 maanden automatisch vernieuwd. De sleutels van de Sealed Secrets-controller roteren maandelijks. Geen handmatige rotatie, nul incidenten door verlopen sleutels.
We dwingen het ondertekenen van commits met een YubiKey af; anders worden commits niet gepusht — ze worden tegengehouden door Gitea-runners.
We eisen dat alle commits worden ondertekend met de GPG-sleutels op onze YubiKeys. Niet-ondertekende commits of commits die met lokale sleutels zijn ondertekend, worden geweigerd door Gitea-runners, wat zorgt voor herkomst, authenticiteit en een wijzigingshistorie die bestand is tegen manipulatie in de hele codebase.