密钥管理与证书管理
密钥生命周期
| 阶段 | 要求 |
|---|---|
| 生成 | 使用加密安全伪随机数生成器（CSPRNG），密钥最小长度遵循BSI TR-02102 |
| 分发 | 加密通道、个人化交付、不以明文传输 |
| 存储 | 加密存储、按最小知悉原则的访问控制、审计追踪 |
| 使用 | 仅用于规定用途，不得挪作他用 |
| 轮换 | 按轮换计划定期执行，疑似泄露时临时执行 |
| 归档 | 加密归档，有时间限制，仅用于解密历史数据 |
| 销毁 | 安全删除（加密擦除或物理销毁），并记录在案 |
轮换间隔
| 密钥类型 | 轮换周期 | 备注 |
|---|---|---|
| TLS证书 | 90天（Let's Encrypt自动化） | 自动续期 |
| SSH密钥 | 每年或人员变动时 | 个人化密钥 |
| API密钥 | 每年或疑似泄露时 | 尽可能自动化 |
| 备份密钥 | 每次完整备份时 | 旧密钥用于恢复时归档保留 |
| 数据库密钥 | 每年 | 在维护窗口内计划轮换 |
证书管理
清单
所有证书集中登记：
| 属性 | 描述 |
|---|---|
| 域名 / 通用名称 | 证书适用的域名 |
| 颁发者 | CA（Let's Encrypt、内部CA） |
| 到期日期 | 自动监控 |
| 续期流程 | 自动 / 手动 |
| 负责人 | 负责的管理员 |
监控
| 检查 | 频率 | 发现时的操作 |
|---|---|---|
| 到期日期检查 | 每天（自动化） | 到期前30天告警，到期前7天升级 |
| 证书链检查 | 每周 | 证书链无效时告警 |
| 吊销状态（OCSP/CRL） | 每次连接时（客户端） | 证书已吊销时拒绝连接 |
吊销流程
证书被泄露时：
- 立即向CA申请吊销
- 颁发新证书并部署
- 检查被泄露的密钥是否在其他地方使用
- 记录事件并纳入风险分析