операционная сторона PKIthe operational side of PKI

Ротация ключей и сертификатовKey & Certificate Rotation

Политики ротации внутри компании (90 дней для TLS, годовые для root CA), автоматизация (cert-manager, Vault PKI), процесс компрометации и revocation. Операционная сторона того, что в theory/06.5.3-4 описано как математика/форматы. Каркас: 10 карточек, страницы ещё не написаны.Company-internal rotation policies (90 days for TLS, yearly for root CA), automation (cert-manager, Vault PKI), the compromise-and-revocation process. The operational side of what theory/06.5.3-4 covers as math/formats. Skeleton: 10 cards, pages not yet written.

Политики ротацииRotation policies

зачем менять то, что ещё не скомпрометированоwhy rotate what isn't known to be compromised

Blast radius и срок жизни& lifetimeПочему регулярная ротация без факта компрометации всё равно снижает риск: ограничение окна, в течение которого утёкший, но ещё не обнаруженный ключ остаётся валидным.Why rotating on a schedule, even with no known breach, still reduces risk: it caps the window during which a leaked-but-undetected key stays valid.interview TLS: ~90 дней~90 daysТиповой срок жизни leaf-сертификатов, тренд индустрии к ещё более коротким срокам (47 дней и меньше), как это меняет требования к автоматизации.Typical leaf certificate lifetime, the industry trend toward even shorter lifetimes (47 days and below), and how that raises the bar for automation. Root/intermediate CAГодовые или многолетние циклы ротации для корневых и промежуточных сертификатов — почему они живут дольше и почему их компрометация значительно опаснее.Yearly or multi-year rotation cycles for root and intermediate certificates — why they live longer, and why their compromise is far more dangerous. API-ключиПериодичность ротации для API-ключей и сервисных токенов, разница в подходе между человеческими и машинными учётными данными.Rotation cadence for API keys and service tokens, and how the approach differs for human versus machine credentials.

АвтоматизацияAutomation

ротация вручную не масштабируетсяmanual rotation doesn't scale

cert-managerАвтоматический выпуск и обновление сертификатов в Kubernetes через CRD Certificate/Issuer, интеграция с ACME и внутренними CA.Automatic certificate issuance and renewal in Kubernetes via the Certificate/Issuer CRDs, integration with ACME and internal CAs. Vault PKI secrets enginesecrets engineКороткоживущие сертификаты, выпускаемые по запросу вместо хранения на диске, автоматический отзыв при истечении Vault-lease.Short-lived certificates issued on demand instead of stored on disk, automatic revocation when the Vault lease expires. ACME автоматизацияautomationПротокол автоматического подтверждения владения доменом и выпуска сертификата (Let's Encrypt и аналоги) — как избежать классического инцидента "сертификат истёк в 3 часа ночи".The protocol for automated domain-ownership validation and certificate issuance (Let's Encrypt and similar) — how to avoid the classic "cert expired at 3am" outage.

Компрометация и отзывCompromise & revocation

когда ротация становится экстреннойwhen rotation becomes an emergency

Утечка приватного ключаPrivate key leakageПервые шаги при подозрении на утечку: немедленный отзыв, выпуск нового ключа и сертификата, аудит всех мест, где старый ключ мог использоваться.First steps on suspected leakage: immediate revocation, issuing a new key and certificate, auditing every place the old key might have been used. OCSP и CRL& CRLЗадержка распространения информации об отзыве как реальная операционная проблема: клиент может продолжать доверять отозванному сертификату, пока не обновит статус.Revocation-propagation delay as a real operational problem: a client can keep trusting a revoked certificate until it refreshes status.interview Emergency rotation runbookЗаранее подготовленный процесс экстренной замены ключей и сертификатов во всей инфраструктуре под давлением времени, без импровизации в момент инцидента.A pre-written procedure for emergency key and certificate replacement across the infrastructure under time pressure, instead of improvising mid-incident.

статусstatus

Это каркас: 10 карточек зафиксированы, страницы ещё не написаны. Раздел — операционный компаньон к theory/06-security-crypto §6.5.3-4, где та же тема разобрана как математика и форматы, а не как процесс.This is a skeleton: 10 cards are locked in, pages not yet written. The section is the operational companion to theory/06-security-crypto §6.5.3-4, which covers the same topic as math and formats rather than process.