La idea detrás de una clave (maestra) primaria OpenPGP fuera de línea es que un atacante que obtiene acceso a su computadora no podrá realizar operaciones de administración de claves (crear / revocar nuevas ID de usuario y subclaves, revocar tu llave, certificando las llaves de otros). Además, la clave principal es el objetivo de las certificaciones entre claves: si la pierde (tiene que revocarla), pierde todas las conexiones en la web de confianza. La clave privada principal es la entidad más importante en OpenPGP, y debería estar protegida en consecuencia. Al eliminar la clave privada primaria, reduce la exposición de la clave a posibles ataques, ya que durante el tiempo que el atacante tiene acceso. la computadora.
Algunas personas van aún más lejos y colocan la clave privada primaria en una máquina dedicada y separada que no está conectada a ninguna red, lo que evita aún más los ataques a esta computadora con huecos de aire.
Si acabo de quitar la clave maestra secreta y me roban la PC o algo así, ¿qué puedo hacer solo con la clave maestra secreta? Creo que puedo revocar las subclaves, pero ¿puedo crear una nueva clave pública y subclaves públicas con la clave secreta?
No hay razón para no colocar una clave pública junto a la clave privada. De hecho, el estándar OpenPGP ni siquiera considera las claves privadas sin las claves públicas almacenadas juntas (las tarjetas inteligentes de OpenPGP son una excepción aquí). Por supuesto, también asegúrese de tener una copia de seguridad de la clave privada (que debe mantenerse por separado, pero con el mismo nivel de seguridad que la propia clave privada).
O: ¿es la idea hacer una copia de seguridad de la carpeta ~/.gnupg y luego eliminar la clave maestra secreta de la PC? Entonces, en caso de que la PC sea robada, ¿aún tengo todas las claves para la revocación?
Esta parece ser la forma más razonable de hacerlo, pero mantenga la copia de seguridad segura. Si la PC es robada / comprometida / ..., aún puede revocar la clave principal o rotar las subclaves (lo que es mucho más fácil de manejar en términos de administración de claves).
Yo mismo creé la clave principal en mi vieja computadora portátil, que también se usa para crear las subclaves y tiene todas ellas. Esta vieja computadora portátil tiene la clave secreta importada y lista para usar en el anillo de claves GnuPG, pero no se usa para ningún otro trabajo sino para la administración de claves y certificaciones. Para las máquinas de uso diario, exporto las subclaves secretas respectivas individualmente según sea necesario.
Una clave de revocación está disponible en varios lugares, entre ellos mi computadora portátil de uso diario. Lo peor que puede suceder es que la clave se revoque, pero no se puede realizar ningún daño adicional mientras tengo protección adicional contra la pérdida de la clave privada primaria sin poder revocarla en los servidores clave.