为什么我不应该将计算机带入密钥签名派对?

信息安全 密钥管理 pgp 电子签名
2021-08-27 08:34:34

我正在查看即将举行的 BSD 会议上的密钥签名方的活动描述,并提到我不应该将我的计算机带入活动:

需要携带的东西

  • 没有电脑

将计算机带入密钥签名方会带来哪些风险?

3个回答

引用自维基百科

虽然 PGP 密钥通常与个人计算机一起用于与 Internet 相关的应用程序,但密钥签名方本身通常不涉及计算机,因为这会给对手更多的诡计机会相反,参与者写下一串字母和数字,称为公钥指纹,代表他们的密钥。指纹由加密哈希函数创建,该函数将公钥压缩为更短且更易于管理的字符串。参与者在验证彼此的身份时交换这些指纹。然后,在聚会结束后,他们获得与他们收到的指纹对应的公钥并对其进行数字签名。

来自openwest的另一个

如果您携带电脑,请将其放在包中并在聚会期间关闭电源。这是为了防止恶意软件的传播、私钥的错放以及设备损坏或错放的安全措施

首先,该声明并不意味着“不要带电脑”;它的意思是“你不需要带电脑”。许多参加第一次密钥签名派对的人可能会认为,由于密钥是用于计算机的,因此他们需要携带一台包含密钥、签名或加密软件的计算机。实际发生的是,密钥的验证是在没有任何计算机的情况下使用密钥指纹进行的,并在事件发生后从参与者家中自己的计算机输入到在线数据库中。

其次,由于密钥签署方不使用计算机,因此通常不鼓励将计算机带到密钥签署方。在此类事件中拥有不必要的计算机会带来很大的安全风险,因为恶意参与者可以使用其他参与者的计算机通过其他参与者的签名来签署自己的密钥,或者他甚至可以窃取其他人的私钥或分发恶意软件。简而言之,计算机在密钥签署方中不是必需的,并且让它们存在会引入计算机固有的所有安全风险,当这些计算机可能包含私人加密密钥时,这绝不是一个好主意,因此大多数密钥签署方更喜欢参与者将公钥指纹写在纸上,并将私钥安全地放在家里。

在大多数情况下,这是速度和便利性的问题。

签署密钥的基本选项:

  1. 两个参与者将他们的计算机并排设置,一个读取他们的指纹,另一个同时验证,然后立即签署密钥。

  2. 一名参与者向另一名参与者展示他们的带有指纹的计算机屏幕,另一名参与者记下指纹。

  3. 签名者交出一张小纸片和带照片的身份证,签名者保留纸片。

很明显,方法 3 比其他两种方法快得多。通过要求人们不要带计算机,他们被隐含地要求他们携带足够的密钥副本,或者事先注册以便他们可以分发指纹列表(您需要验证文件中的密钥是您的,他们将在开头读取文件的校验和)。

无耻的插件:如果您的名字中只有 ASCII 字符,那么该gpg-key2ps脚本可能对您有所帮助——在您的口袋里放几张钥匙单总是一个好主意。