yuqei
1d85329a6a
Build and Test Quality Gate / Contract Web typecheck and build (pull_request) Successful in 9m12s
Build and Test Quality Gate / Isolated Alibaba and Tencent KMS gateway (pull_request) Failing after 4m53s
Build and Test Quality Gate / Python tests and Contract API migration (pull_request) Failing after 24m55s
Security Quality Gate / npm audit, Bandit, pip-audit, detect-secrets (pull_request) Failing after 8m42s
95 lines
5.6 KiB
Markdown
95 lines
5.6 KiB
Markdown
# P1-07.5 证据信任运营运行手册
|
||
|
||
## 1. 角色分工
|
||
|
||
- 提议管理员：注册证书、核对 KMS 公钥指纹、提交激活/退役/吊销申请；
|
||
- 审批管理员：使用不同平台账号独立复核申请，不接受共享账号或代操作；
|
||
- SRE：监控探针 SLO、KMS 延迟、错误预算和透明链完整性；
|
||
- 安全负责人：审批紧急吊销、处置透明链异常并保存外部证据；
|
||
- 审计项目负责人：保管一次性凭证、控制分发范围并在项目结束后确认撤销。
|
||
|
||
## 2. 计划轮换
|
||
|
||
1. 在云 KMS 创建或启用新非对称签名密钥版本，确认用途为签名/验签；
|
||
2. 把新密钥加入 KMS 网关签名白名单，完成网关健康检查；
|
||
3. 提议管理员在“试点运营中枢 → KMS 签名证书与双人变更”注册证书；
|
||
4. 逐字核对提供方、标准算法标识、版本、公钥指纹和有效期；
|
||
5. 提议管理员填写变更窗口和工单编号，提交“申请激活”；
|
||
6. 审批管理员用独立账号复核并批准；系统原子激活新证书、退役原活动证书；
|
||
7. 立即运行一次合成验签探针；
|
||
8. 导出隔离证据，完成在线、离线、带信任包离线三种验证；
|
||
9. 下载信任包和透明检查点，写入发布证据目录；
|
||
10. 观察至少一个快速 SLO 窗口，再关闭变更工单。
|
||
|
||
## 3. 紧急吊销
|
||
|
||
1. 建立安全事件并记录受影响密钥、时间窗和疑似原因；
|
||
2. 若有安全的新证书，先按双人流程激活，避免后续合法导出中断；
|
||
3. 提议管理员提交吊销申请，原因必须含事件编号和影响描述；
|
||
4. 安全负责人或另一名平台管理员独立审批；
|
||
5. 验证历史包在线返回 `certificate_revoked`，带新信任包的离线工具退出码为 1；
|
||
6. 在云 KMS 禁用受影响密钥并撤销网关白名单；
|
||
7. 向审计方交付新信任包和透明检查点，不交付内部凭据或合同正文；
|
||
8. 关联透明事件序号、申请 ID、审批人和外部通知证据。
|
||
|
||
吊销不可恢复。若误吊销，只能注册并双人激活新的不可变密钥版本。
|
||
|
||
## 4. 外部审计凭证
|
||
|
||
### 创建与交付
|
||
|
||
1. 每个审计组织或项目单独创建客户端，禁止多人共用平台匿名配额；
|
||
2. 只授予必要作用域；仅做在线验签时只选 `evidence:verify`；
|
||
3. 设置符合合同数量和审计窗口的每分钟、每日、单证据每日配额；
|
||
4. 有明确项目截止日时设置到期时间；
|
||
5. 创建后立即通过已批准的密钥管理通道交付一次性 Bearer 凭证；
|
||
6. 不在工单、邮件正文、聊天记录或截图中粘贴完整凭证；
|
||
7. 刷新运营页面确认完整凭证不再可见。
|
||
|
||
### 撤销
|
||
|
||
- 项目结束、人员离职、凭证疑似泄露或来源异常时立即撤销；
|
||
- 撤销后用旧凭证验证一次，应返回 HTTP 401；
|
||
- 需要恢复访问时创建新客户端，不能恢复旧凭证；
|
||
- 平台数据库只应看到 `token_prefix` 和慢哈希，排查时不得要求导出哈希用于离线破解。
|
||
|
||
## 5. 探针与 SLO 处置
|
||
|
||
| 现象 | 首要检查 | 处置 |
|
||
|---|---|---|
|
||
| `evidence_signing_key_unavailable` | 是否存在活动且未过期证书 | 完成双人激活；禁止生产切本地签名 |
|
||
| 提供方不可用/超时 | KMS 网关健康、CA、令牌、厂商请求 ID | 保持 fail closed，恢复后先手动探针 |
|
||
| 公钥或签名无效 | 密钥版本、算法、网关摘要模式和公钥指纹 | 暂停证据导出，核对 KMS 返回材料 |
|
||
| 探针成功率下降 | 快速/中速/长窗口燃烧率 | 建立人工接管工单并按严重度升级 |
|
||
| 探针陈旧 | 定时扫描租约、治理 worker、策略间隔 | 修复调度后补跑一次手动探针 |
|
||
|
||
探针失败不会伪造成成功扫描；它有独立 SLO 和历史运行记录。不得用降低目标、关闭探针或扩大错误预算来替代故障处置。
|
||
|
||
## 6. 透明链异常
|
||
|
||
当公开检查点 `chain_valid=false`，或事件数/链头与已留存副本不一致时：
|
||
|
||
1. 暂停新的证据导出、证书变更和审计凭证签发；
|
||
2. 保存当前数据库只读快照、应用日志、最近外部检查点和部署版本；
|
||
3. 不执行修链、删行、重排序号或覆盖链头；
|
||
4. 对每个事件从序号 1 开始重算规范化摘要和前序哈希；
|
||
5. 核对数据库恢复、人工 SQL、迁移和并发写入记录；
|
||
6. 由安全负责人决定恢复可信备份、外部披露和证据重新签发范围；
|
||
7. 恢复后发布新的受控检查点，并明确链断裂和恢复边界。
|
||
|
||
当前检查点尚未外部锚定，平台内链完整不等于第三方不可否认。发布前至少应把检查点 JSON、下载时间和操作者审批证据写入受控不可变存储。
|
||
|
||
## 7. 隔离 UAT 清单
|
||
|
||
- [ ] 两个独立平台管理员账号均可登录，且提议人自审返回 409；
|
||
- [ ] 新证书注册后不立即活动，审批后才成为唯一活动证书；
|
||
- [ ] 同一运营主体不能同时存在两项待审批激活申请，数据库中也不能出现两个活动证书；
|
||
- [ ] 原活动证书退役后历史证据仍有效；吊销后在线和带信任包离线验证均识别吊销；
|
||
- [ ] 审计凭证只显示一次，刷新后不再返回；
|
||
- [ ] 不同审计客户端配额互不影响，匿名访问不占用客户端单证据配额；
|
||
- [ ] 撤销或过期凭证返回 401，缺少验签作用域返回 403；
|
||
- [ ] 手动与定时探针均记录算法、指纹、耗时和结果，不包含合同正文；
|
||
- [ ] 透明事件连续、检查点链完整，信任包携带同一链头；
|
||
- [ ] KMS 超时、拒绝、错误公钥和恢复场景均完成演练；
|
||
- [ ] Contract API、Web、OpenAPI 和生产构建发布门禁通过。
|