Prácticas clave de GnuPG / OpenPGP

Sobre una base teórica, lo que imaginas es la "forma correcta": una clave primaria más segura que se usa solo para certificar o revocar las claves que realmente usarás. Sin embargo, en la práctica, la revocación no funciona bien: las personas con las que ya ha intercambiado correos electrónicos conservarán una copia de su clave pública y no serán notificadas automáticamente de su revocación.

Es posible que desee tener distintos procedimientos de almacenamiento para su clave de cifrado y su clave de firma. Si pierde su clave privada de encriptación (por ejemplo, falla del disco duro), ya no podrá descifrar los correos electrónicos entrantes, incluidos los que ya recibió. Por lo tanto, la clave de cifrado debe ser respaldada en algún lugar Por otro lado, la clave de firma no debe ser copiada en no en ninguna parte: perder la clave privada de la firma es un inconveniente menor (solo tiene que crear una nueva clave y certificarla) pero no invalida los emitidos previamente Firmas, que siguen siendo verificables.

4096 bits, o incluso 3072 bits, son excesivos para RSA, DSA o ElGamal. Los 2048 bits ya son más que suficientes para garantizar la seguridad contra los atacantes que usan tecnología basada en la Tierra. Declarar que las claves más largas son "más seguras" es pura especulación sobre cómo se verán los futuros ataques desconocidos, y si supiéramos cómo se verían, no serían desconocidos.

En general, recomiendo que las personas usen S / MIME en lugar de GnuPG porque S / MIME está integrado en cada cliente de correo electrónico que se usa ampliamente en la actualidad. Sin embargo, por razones que no están del todo claras, un montón de personas insisten en usar GnuPG para la seguridad del correo electrónico. (Lo uso para firmar distribuciones de código fuente, pero eso es todo.)

Sin embargo, solicitó las mejores prácticas, así que aquí está:

• Cree una clave principal grande para firmar sus otras claves. Use esa tecla para firmar sus otras llaves.

• Cree certificados de revocación para sus claves y almacénelos sin conexión. De esta forma, los tendrá si alguna vez pierde sus claves privadas.

• Convenza a todos con los que posiblemente desee intercambiar correo tanto para instalar el complemento GnuPG como para firmar su clave. (Y ahora pánico, porque acabas de documentar públicamente tu relación con cualquiera que obtenga tu clave).

• Sube tu clave al servidor de claves. (Y espero que nadie más cargue una clave con su dirección de correo electrónico).

Si lees más arriba, verás dos de mis quejas más sobre el modelo GnuPG: se filtra información privada (quiénes son tus amigos) y el modelo de servidor clave está paralizado.

Buena suerte.