jss*_*trn 20 encryption pgp gnupg
为每个用例创建一个 GPG 密钥对会更好吗？还是为多个用例创建 GPG 密钥对被认为是最佳实践？
以下是我使用 GPG 密钥的原因：
use*_*686 28
取决于您认为密钥应得的保护。我的意思是：如果一个密钥有多种用途，且安全要求截然不同，那么它应该是两个不同的密钥。
\n例如，如果它加密您的财务数据（wallet.dat？）并且需要严密保护，但同时它加密您的闲置聊天电子邮件并且需要复制到您拥有的每台台式机/笔记本电脑/手机\ xe2\x80\x93 这些应该是单独的键。
\n其他类似的示例包括用于商业通信的单独密钥对（例如，如果出于法律原因被迫放弃它）、用于涉及自动定时作业的任何事物的单独密钥对（例如，软件开发人员的机器自动签署夜间软件版本）等等。
\n请注意，签名和加密始终在 PGP 中使用单独的子密钥，因此很容易在此边界上导入“部分”密钥。例如，您可以拥有一个仅保存加密子密钥并能够读取您的加密数据的设备，但仍然无法代表您签署任何内容。
\n此外，PGP 软件将“签名文件/消息”和“签名 PGP 密钥”识别为两个不同的目的，并轻松地允许您为它们拥有单独的子密钥。（更准确地说，主/根密钥始终用于签署其他人的 PGP 密钥，但子密钥可用于签署一般数据。）这意味着您可以拥有一个可以签署提交和电子邮件的设备，但仍然无法签署签署 PGP 密钥。
\n（后者很重要，因为它不仅能够签署其他人的密钥\xe2\x80\x93，尽管这仍然是应该受到高度保护的\xe2\x80\x93，而且还能够签署自己的更新密钥，例如更改到期日期、添加新的电子邮件地址甚至照片 ID，甚至撤销密钥。）
\n然而，同一主键下的所有子键都从外部获得大致相同的“信任”。例如，您不能将两个加密子密钥用于不同的特定目的，最终它们会混淆。因此，在您需要按目的将它们分开的情况下（例如个人与工作），您将需要两个完全独立的 PGP 密钥。
\n（子密钥对于密钥轮换最有用，例如每年一个新的加密子密钥，或使用不同算法的两个签名子密钥 \xe2\x80\x93 我仍然使用 RSA4096 密钥来与旧的仅 RSA 系统兼容，但有 Ed25519 签名子密钥，使 Git 提交签名比 RSA 的签名小得多。）
\n我不是 PGP 方面的专家，但我告诉你，除非你有不同的未连接的系统和角色，否则使用单个密钥似乎更好。
特别是当你让其他人签署你的密钥时，如果只有一个密钥，就更容易证明你的身份，而且如果出现问题，也只有 1 个密钥可以被否认。
您可能想考虑拥有子密钥 - 这将允许您单独撤销一些密钥，但仍然保留 1 个主密钥 - 这可以让您对某些子密钥的安全性比其他子密钥稍微宽松一些（请阅读https:// /wiki.debian.org/子密钥)
它有点旧（但逻辑没有改变），https://security.stackexchange.com/questions/29851/how-many-openpgp-keys-should-i-make提出了类似的问题，并得出相同的结论我所做的结论。
| 归档时间： |
|
| 查看次数： |
6802 次 |
| 最近记录： |