Es besteht kein Risiko, Ihren privaten Schlüssel offenzulegen oder Ihren öffentlichen Schlüssel ungültig zu machen, indem Sie Ihren öffentlichen Schlüssel auf die von Ihnen und @Mark beschriebene Weise veröffentlichen. Wie @pboin sagte, soll es der Welt zur Verfügung stehen.
Es gibt jedoch noch ein anderes Problem ... Einer der Hauptzwecke beim Veröffentlichen und Veröffentlichen Ihres öffentlichen Schlüssels (in der Tat ist dies wahrscheinlich DER Hauptzweck) besteht darin, sich bei anderen Benutzern zu authentifizieren und zu aktivieren Sie überprüfen die Authentizität aller von Ihnen signierten Nachrichten oder Daten und schützen / verschlüsseln Daten nur für Ihre Augen.
Aber woher wissen diese Benutzer, dass es sich wirklich um IHREN öffentlichen Schlüssel handelt? Wenn ich beispielsweise eine private Nachricht an @Mark Davidson senden möchte, indem ich seinen veröffentlichten Schlüssel unter http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xE493B06DD070AFC8 verwende. Woher weiß ich, dass es der ECHTE Mark Davidson war, der diesen Schlüssel veröffentlicht hat oder der mich dorthin geführt hat?
Es wäre für mich trivial, meinen EIGENEN öffentlichen Schlüssel entweder auf mit.edu zu veröffentlichen. auf LinkedIn, Facebook usw. und nenne mich einfach Bill Clinton (oder Bill Gates). Wie könnten Sie etwas anderes wissen?
Wenn irgendwie ich weiß, dass dies wirklich die richtige Person ist (z. B. möchte ich einen anonymen Blogger über den in seinem Blog veröffentlichten pk kontaktieren - ich weiß nicht ' Es ist egal, wer er wirklich ist, der Eigentümer der Website - und damit der pk-Verlag - ist sowieso die richtige Person. Was kann garantiert werden, dass der öffentliche Schlüssel unterwegs nicht manipuliert wurde? Alle bisher erwähnten Links und Sites (ok, mit Ausnahme des PGP-Schlüsselservers) sind HTTP - d. H. Kein Kanalschutz, d. H. Kann leicht zwischen Server und Browser geändert werden.
Bei Verwendung des X.509 / PKI-Modells gibt es immer jemanden, dem vertraut , der für Sie bürgt. Z.B. Eine bekannte Zertifizierungsstelle (vertrauenswürdig, weil die Browser-Anbieter sie überprüft und ihr Stammzertifikat dem Trusted Roots Store im Browser hinzugefügt haben) hat Ihre Identität überprüft und Ihren öffentlichen Schlüssel / Ihr Zertifikat signiert . Somit kann jeder, der überprüfen möchte, ob Sie der sind, von dem Sie sagen, dass Sie es sind, einfach die Signatur überprüfen und dann die Identität desjenigen überprüfen, der für Sie bürgt (und dann wiederholen, bis er die bekannte vertrauenswürdige Stammzertifizierungsstelle gefunden hat).
Im PGP-Modell gibt es jedoch normalerweise keine zentrale, vertrauenswürdige Berechtigung (obwohl aktuelle Versionen dies zulassen). Stattdessen basiert PGP auf dem Web-of-Trust-Modell. Wenn Sie jemandem vertrauen, kann dieser wiederum für die Identität eines anderen bürgen.
Unabhängig davon hilft es niemandem, Ihre Identität zu überprüfen und sicherzustellen, dass verschlüsselte Nachrichten nur von der richtigen Person angezeigt werden können.
Was Sie tun KÖNNEN:
- Veröffentlichen Sie Ihren öffentlichen Schlüssel, so wie Sie und @Mark es gesagt haben - und geben Sie dann ein Token mit öffentlichem Schlüssel an (im Grunde ein Hash des öffentlichen Schlüssels, wie ein Fingerabdruck) über einen sicheren Kanal. Z.B. Dies ist jetzt kurz genug, um über ein Telefon zu lesen, wenn er Sie persönlich kennt ... Ich habe sogar gesehen, wie jemand seinen pk-Token auf seine Visitenkarte legte und eine Konferenz verteilte (zugegebenermaßen von einem Verkäufer).
- Beginnen Sie mit dem Signieren Ihrer E-Mails und bestätigen Sie dem Empfänger, dass es sich um Ihre Signatur handelt, über einen Out-of-Band-Kanal (z. B. telefonisch oder persönlich ( keuchen !! ))
- Komplizieren Sie die Situation, erwerben Sie ein Standard-X.509-Zertifikat und implementieren Sie SSL (vorzugsweise EV) auf Ihrer Website. Dann kann jeder Ihr pk sicher herunterladen, in dem Wissen, dass es von dem stammt, dem das gehört Domainname ... (Okay, vielleicht funktioniert das besser für große Unternehmen ...)
Überprüfen Sie, wie Microsoft das macht...
Abgesehen davon hängt es wirklich davon ab, wofür dieses Paket gedacht ist - wenn es nur darum geht, deine Mutter zu begeistern, dann kümmere dich nicht um all das :)
Andererseits, wenn du wirklich sensible Kommunikation hast, oder bei sicherheitsbewussten Clients sind alle oben genannten wichtig ...