我可能完全误解了信任网络的概念，但是想象一下下面的场景：我生成我的密钥，然后去一个密钥签名方，然后，我导入我已经验证过指纹的所有密钥，并签署那些. 现在，这将使所有这些密钥完全有效，但每个密钥的默认信任仍将设置为默认值，即“未知”。这意味着如果我现在导入一个新密钥，即使这个新密钥有足够的 (*) 签名，它仍然不会被认为是有效的，因为这些密钥都不可信。
这意味着要使密钥签名方具有一定的用处，我们必须将这些密钥的信任设置为至少略微受信任。对？还是我在推理的某个地方犯了一些错误？
(*) - 在 GPG 的默认安全模型中，即来自完全可信密钥的 1 个签名，或来自边缘可信密钥的 3 个签名。
一种（稍微）简化的思考方式是：
1）你签署某人的钥匙说“我断言这把钥匙属于被识别的人”。
2）您将信任分配给某人的钥匙说“我相信这个人有足够的责任感做好第一件事”。
#1 是您（您的钥匙）向世界发表的公开声明。#2 是您自己的 GPG 设置中的私人注释。
两者不一定要在一起。如果您认为某人的签名很糟糕（例如，在签名前没有充分检查），那么您仍然可以签署他们的密钥（毕竟，您并没有声明他们的可靠性，就像他们的身份一样），但是您可能不想将信任分配给他们的密钥。换句话说，您相信他们的密钥属于他们，但您并不“相信”他们会在其他人的密钥上做出良好的签名。
在密钥签名派对上，能够签署某人的密钥是很常见的（您检查一些 ID，通过 cookie 验证他们的电子邮件地址是否有效，等等），但不知道该人是否值得信任来签署其他人的密钥钥匙。毕竟，在许多情况下，您甚至从未见过他们。
嗯，是的，也不是。密钥有效性不容小觑——您签署的密钥现在在您的密钥环中完全有效，您可以使用这种直接信任与他们进行通信。但是，如果您希望能够使用实际的信任网络，那么是的，您需要将所有者信任分配给所有或部分这些密钥。如果没有这一步，“信任网络”的“网络”部分就不会真正发挥作用。从边际所有者信任开始，只将完全信任分配给那些你知道会在签署密钥之前很好地验证某人身份的人.