加密技术
法律依据
§30(2) 第8项 BSIG – 使用加密技术以及适当情况下加密的概念和程序
标准
| 领域 | 标准 | 最低要求 |
|---|---|---|
| 对称加密 | AES | AES-256 |
| 非对称加密 | RSA / ECDSA | RSA-4096 / ECDSA P-384 |
| 哈希函数 | SHA-2 / SHA-3 | SHA-256+ |
| TLS | TLS 1.2+ | 优先TLS 1.3 |
| 密钥派生 | PBKDF2 / Argon2 | 优先Argon2id |
静态数据加密
- 所有服务器系统的全盘加密
- 敏感数据的数据库加密
- 备份加密（AES-256）
传输数据加密
- 所有外部连接使用TLS 1.2+，优先TLS 1.3
- 服务器管理使用SSH（Ed25519密钥）
- 远程访问内部系统使用VPN
密钥管理
| 方面 | 实施 |
|---|---|
| 密钥生成 | 加密安全的随机生成器 |
| 密钥存储 | 加密存储、访问控制 |
| 密钥轮换 | 长期密钥至少每年一次 |
| 密钥销毁 | 退役时安全删除 |
证书管理
- Let's Encrypt用于公共TLS证书（自动续期）
- 证书到期监控
- 文档化的证书续期和撤销流程