将客户端加密密钥上传到 keybase.io 有什么问题?

信息安全 pgp 密钥库
2021-09-03 00:06:03

我只是在阅读一些关于 keybase.io 的文章:

我对这种说法感到困惑:

我真的希望你没有上传你的私钥,“客户端加密”与否!

假设您的私钥实际上是在客户端加密的,那么上传它有什么问题?

当然,由于偏执,我创建了一个专门用于 keybase.io 的密钥......

1个回答

假设您的私钥实际上是在客户端加密的,那么上传它有什么问题?

私钥通常是加密的(但不一定)。无论如何,私钥比“普通”密码要强得多,并且可以对私钥进行暴力攻击。共享加密的私钥会严重损害您的安全。

使用密码加密私钥更多地被视为防止意外泄漏的额外保护,而不是与公众(或任何其他不受信任的实体,如 keybase.io)共享它的安全方式。

但还有更多:共享您的私钥并没有真正的用处所有涉及他人的加密操作都基于您只需要共享(并且应该共享)公钥的事实。使用您的公钥对发送给您的消息进行加密(私钥仅用于解密),您的私钥发出的签名使用您的公钥进行验证。如果您想要实现的一切都是在您自己的机器之间共享您的私钥,那么最好选择一种不涉及“云”服务等非私有渠道的方式。请记住,私钥很少更改,并且在离线传输上付出一些努力通常不应该是一个太大的麻烦。考虑使用子项来简化密钥管理