在日常使用 yubikey 将近一年之后，我决定是时候学习如何验证我朋友的密钥了。

我惊讶地发现，一个人只能使用他们的主密钥来签署密钥，因为这意味着我每次想要签署密钥时都必须将所述私钥导入我的计算机，相比之下，这似乎是一个很大的安全风险使用 yubikey 的子密钥智能卡功能。

当您的主密钥通常在（气隙）冷库中时，安全签署密钥的最佳方法是什么？

是否可以使用子密钥来验证密钥？
我不知道怎么做，但我相信我上个月这样做了（我的桌面上有签名密钥，上个月生成但我一年多没有碰过我的主密钥），尽管上面链接的 SE 问题是让我质疑自己。

回顾一下，这是我的设置的概述，我认为这是非常标准的：

• 冷存储中的主（私有）密钥（加密）
• yubikey 允许简单的 gpg 操作，同时不允许直接访问私有（子）密钥

我计划大约每月签署一次，虽然我更喜欢方便，但对我来说安全更重要。

以下是我的一些想法：

• 将树莓派（或类似的东西）专用于密钥签名
• 修补低级 PGP 设置以尝试获得具有该certify功能的子项
• 生成另一个专门用于验证密钥的 pgp 密钥集，并使用我现有的主密钥签署该密钥。我已经有两个主密钥（每个用于不同的 yubikey）所以第三个可能有点麻烦
• 使用我的两个主密钥中较弱的（2048 位）来验证密钥，保持加密但在我的计算机上