# ADR-006 — Modelo Criptográfico GPG, Rotación y Disaster Recovery * **Estado:** Aceptada (rotación y procedimiento DR ejecutados en producción el 2026-09-30) * **Fecha / Hito:** 2026-09-01 (original); 2026-09-30 (Disaster Recovery probado) --- ## Contexto Arch Linux exige que los paquetes binarios y las bases de datos de repositorios externos estén firmados digitalmente para evitar ataques de intermediario (*man-in-the-middle*) y ejecución de código malicioso. Dado que nuestros repositorios en GitHub son públicos, la clave privada de firma **jamás debe subirse a ningún repositorio git**, y el sistema debe contar con un plan de respuesta inmediato en caso de compromiso o extravío. --- ## Decisión 1. **Par de Claves Dedicado:** Se genera una clave RSA de 4096 bits exclusiva para el repositorio (`CD92AB07B1D24DC9A74EB60E76AFFCC217DB9FC4`, ID `76AFFCC217DB9FC4`). 2. **Aislamiento Total:** * La clave privada se custodia **únicamente** en el secreto `GPG_PRIVATE_KEY` de GitHub Actions en `robert-flo/omarchy-pkgs`. * La clave pública se sirve de forma abierta en `keys/omarchy-personal-repo.pub.asc`. 3. **Procedimiento de Disaster Recovery (DR):** * Ante cualquier incidente, se genera un nuevo par de claves RSA 4096-bit. * Se actualiza el secreto en GitHub Actions y la clave pública en el CDN. * Se ejecuta una republicación completa para refirmar los paquetes y la base de datos `omarchy.db`. * Los clientes actualizan la clave en su llavero local mediante `pacman-key --add` y `pacman-key --lsign-key`. --- ## Consecuencias * **Seguridad Robusta:** Si el código fuente o el CDN sufren modificaciones no autorizadas, `pacman` aborta la transacción inmediatamente. * **Resiliencia Validada:** El procedimiento fue ejecutado con éxito en producción el 2026-09-30 durante la alineación con Omarchy v4.0.4.

ADR-006 — Modelo Criptográfico GPG, Rotación y Disaster Recovery

• Estado: Aceptada (rotación y procedimiento DR ejecutados en producción el 2026-09-30)
• Fecha / Hito: 2026-09-01 (original); 2026-09-30 (Disaster Recovery probado)

---

Contexto

Arch Linux exige que los paquetes binarios y las bases de datos de repositorios externos estén firmados digitalmente para evitar ataques de intermediario (man-in-the-middle) y ejecución de código malicioso.

Dado que nuestros repositorios en GitHub son públicos, la clave privada de firma jamás debe subirse a ningún repositorio git, y el sistema debe contar con un plan de respuesta inmediato en caso de compromiso o extravío.

---

Decisión

1. Par de Claves Dedicado: Se genera una clave RSA de 4096 bits exclusiva para el repositorio (CD92AB07B1D24DC9A74EB60E76AFFCC217DB9FC4, ID 76AFFCC217DB9FC4).
2. Aislamiento Total:
   • La clave privada se custodia únicamente en el secreto GPG_PRIVATE_KEY de GitHub Actions en robert-flo/omarchy-pkgs.
   • La clave pública se sirve de forma abierta en keys/omarchy-personal-repo.pub.asc.
3. Procedimiento de Disaster Recovery (DR):
   • Ante cualquier incidente, se genera un nuevo par de claves RSA 4096-bit.
   • Se actualiza el secreto en GitHub Actions y la clave pública en el CDN.
   • Se ejecuta una republicación completa para refirmar los paquetes y la base de datos omarchy.db.
   • Los clientes actualizan la clave en su llavero local mediante pacman-key --add y pacman-key --lsign-key.

---

Consecuencias

• Seguridad Robusta: Si el código fuente o el CDN sufren modificaciones no autorizadas, pacman aborta la transacción inmediatamente.
• Resiliencia Validada: El procedimiento fue ejecutado con éxito en producción el 2026-09-30 durante la alineación con Omarchy v4.0.4.