Me gustaría tener una identidad GnuPG que pueda usar tanto durante un tiempo prolongado (para poder construir una amplia red de confianza) e inmediatamente con la mayor cantidad de personas posible. A partir de hoy, el segundo objetivo se logra mejor con una clave RSA (o DSA), ya que es compatible incluso con versiones muy antiguas de GnuPG. Sin embargo, con respecto al primer objetivo a largo plazo, personalmente estoy más a favor de una clave ECC. Por lo tanto, para lograr ambos objetivos, mi idea fue mantener simultáneamente una clave RSA y una clave ECC (con los mismos UID) y dejar que el primero caduque una vez que el soporte para ECC sea lo suficientemente amplio.
En el nivel de las claves maestras, esto no debería ser un problema: puedo cruzar cada clave con la otra, de modo que las firmas en una clave también contribuyan a la red de confianza de la otra clave. Los contactos pueden firmar ambas claves si admiten ambas, o solo la clave RSA si aún no pueden manejar el ECC.
Para facilitar su uso, me gustaría tener solo un conjunto de subclaves, porque me gustaría almacenarlas en una sola tarjeta inteligente. Por lo tanto, mi idea fue compartir el mismo conjunto de subclaves entre las dos claves maestras. Esto debería permitirme descifrar, firmar y autenticar ambas claves maestras con un solo conjunto de subclaves, lo que evitaría la molestia de elegir la clave correcta para cada intercambio de comunicación.
P: ¿Mi idea de compartir subclaves es razonable y posible, o he pasado por alto algunos aspectos de diseño de GnuPG que evitan esto o plantean problemas prácticos?
Por lo que yo entiendo técnicamente, lo que hace que una clave sea una subclave es básicamente un certificado por la clave maestra que pertenece a la clave maestra. Dichos certificados (o firmas) se pueden extraer de una clave con
gpg --export-secret-keys <your keyid> | gpgsplit
Encontré publicación bastante antigua que describe cómo importar una subclave a una la clave maestra existente, pero no podría aplicarla a mi propósito porque no sé cómo emitir manualmente el "certificado de subclave" para la clave maestra para la cual no se creó originalmente la subclave.
Más específicamente, exporté y descomponí cada clave en un directorio usando el comando anterior. Luego, tengo la subclave y el "certificado de subclave" para la primera clave en key1/000004-007.secret_subkey y key1/000005-002.sig , respectivamente. Para importar esta subclave a la segunda clave maestra, probé los siguientes tres enfoques, combinando e importando el resultado con
cat key2/* > key2/key.gpg
gpg --import key2/key.gpg
después de cada enfoque:
-
Copie la subclave sin modificación (es decir,
cp key1/000004-007.secret_subkey key2/), esperando que GnuPG me pregunte si debería emitir un certificado en la importación. -
Además de 1, copie el certificado sin modificaciones (es decir,
cp key1/00000{4-007.secret_subkey,5-002.sig} key2/), con la esperanza de que GnuPG me pregunte si debería reemplazar el certificado por la primera clave a través de una emitida por la segunda clave. -
Además de 2, modifique el certificado reemplazando la huella digital de la primera clave con la huella digital de la segunda clave, con la esperanza de que GnuPG descarte el certificado falsificado y me pregunte si debería emitir una válida.
En todos los casos, ni la primera ni la segunda clave estaban en mi llavero antes de la importación. Sin embargo, el resultado es siempre el mismo:
gpg: key 0x<id of key2>: secret key imported
gpg: Total number processed: 1
gpg: imported: 1
gpg: secret keys read: 1
gpg: secret keys imported: 1
gpg: secret keys unchanged: 1
Q : ¿Cómo puedo emitir un certificado válido para la subclave con la segunda clave maestra, de modo que pueda importar la subclave a esta clave maestra?