Una de las opciones para security.txt es incluir una referencia a una clave PGP para usar cuando se reportan vulnerabilidades de manera privada y segura. . Para mí, un investigador tiene mucho sentido utilizar PGP para cifrar un mensaje y reportar una vulnerabilidad.
Pero ¿qué pasa con el negocio en el otro extremo? ¿Cómo deben implementar de manera segura una clave PGP para dichos informes?
Una opción sería simplemente usar la clave personal de una persona (o, más probablemente, una única creada exclusivamente para este propósito), pero existe el riesgo de que la persona muera (no disponible) o se convierta en delincuente (DOS). / Informes MitM).
Otra opción sería generar un par de claves para este propósito y compartirlo entre un grupo de personas de confianza. Esto resuelve el problema de la "muerte" y el problema de DOS, pero aumenta el riesgo de que una persona reciba un informe y haga algo nefasto con él.
Una clave compartida también significa que cualquier titular de clave privada puede emitir un mensaje "como" esa identidad. Probablemente esto se pueda resolver dejando en claro que la clave es para "solo recibo" al acuñarla.
¿Hay una manera estándar y / o segura de hacer cosas como esta?