“逃脱”但没有密码的 PGP 私钥有多安全?

信息安全 加密 公钥基础设施 pgp
2021-08-29 13:36:41

假设您的 PGP 私钥受密码保护,并且它“逃脱”了,但密码没有,您应该有多担心?

显然,在现实世界中,您会立即撤销密钥并生成一个新密钥。但在理论上,拥有私钥而不是其相关密码,是否能让你更接近于解密用它加密的消息?

2个回答

密码的目的是防止密钥一旦泄漏就立即被泄露。尽管安全性从密钥大小降低到密码复杂性,但它应该被视为部分受损。如果您有一个高度复杂的密码,它可能仍然是您需要的可接受的安全级别,但通常建议更换密钥,因为安全性降低了。

不过,过渡的紧迫性取决于您的密码。如果您的密码是“密码”,那么您应该立即停止使用它并进行转换,但如果它相当复杂,那么您应该能够继续使用它一段时间并将您的新公钥分发给使用它的联系人。不要将它用于您需要长期隐私的任何事情,但它应该可以很好地传达您的新凭据,并确信您在合理的未来仍然可以控制私钥。

一旦你有了密钥,暴力破解密码并不难,除非密码很长。

因此,拥有加密密钥确实让攻击者更接近于获得真正的密钥。但是,将您的密码设置为 20 个字符长(并且不要使用字典单词),您应该没问题,因为这样长的密码需要很长时间才能进行暴力破解。