Cuando recuperas la información de alguien de un servidor de claves para agregarlo a tu anillo de llaves pgp, esto se realiza a través de servidores de claves no encriptados, a menos que el usuario lo haya cargado en enlace . Incluso entonces, dado que los servidores de claves se sincronizan entre sí, la gente normalmente lo agregará desde las conexiones http, como cuando usa hkp: //keyserver.ubuntu.com.
Entonces, ¿quién agrega quién está siempre a la vista?
Sí, es más o menos consustancial a la Web of Trust en OpenPGP. En Web of Trust, puede validar una clave pública construyendo una cadena de claves públicas, cada una firmada por la clave pública anterior, desde una clave en la que confía (la suya) hasta la clave para verificar. Esto funciona solo mientras pueda recuperar dicha cadena, principalmente interrogando a los servidores clave. De hecho, dado que el WoT es un sistema "todo el mundo es una autoridad de certificación", debe crear varias cadenas de este tipo, sin un vínculo común, de modo que todas estas pruebas redundantes se sumen en un nivel de confianza decente en la clave pública de destino.
Una forma de ver esto es la siguiente: al firmar la clave de otra persona, usted responde por el vínculo entre la identidad y la clave de esa otra persona. Anuncia al mundo en general: sí, esta es su clave, lo verifiqué. No tiene mucho sentido hacer tal anuncio ... sin realmente hacer el anuncio. Por definición, la firma de claves debe ser pública.
La Web of Trust de PGP está de hecho en desacuerdo con privacidad . Aunque "PGP" significa "Pretty Good Privacy ", la Web of Trust de PGP nunca tuvo la intención de ocultar la existencia de la relación entre las personas.
Vea p. 90, "Avoiding the Web of Trust", de PGP & GPG: correo electrónico para el práctico paranoico por Michael W. Lucas.
Si haces el trabajo correctamente, no:
Todo esto es público, se puede compartir y firmar y toma de huellas dactilares .
Su proveedor (o Charles) podría incluso ver que ha intercambiado algunas claves, pero no puede saber cuál ha agregado realmente a su llavero (o incluso si agrega una).
Para la muestra, puede descargar todo el conjunto de claves públicas desde un servidor de claves pero no almacenar ninguna clave o solo una ...
Si verifica la huella dactilar proporcionada por un tercero (de forma alternativa y confiable, como papel, teléfono, fax, sms, etc.) de cualquier certificado público, El transporte no importa.
La mejor forma reconocida de entender su red personal es hacer que participe en key signature party donde las personas intercambian huellas dactilares, muestran sus passeports oficiales y regresan a En casa, cada uno de ellos firma la llave de cada uno ...
OpenPGP no requiere transporte seguro para asegurarse de que nadie esté involucrado con las firmas, ya que todo el sistema se basa en firmas en sus claves que solo pueden ser proporcionadas por el titular de una clave privada.
Los paquetes que recibió de un servidor de claves podrían ser manipulados, pero usted (o su cliente OpenPGP) reconocerá esto al validar las firmas. No puede confiar en la respuesta del servidor de claves (¿conoce y confía en el propietario, de todos modos?), Por lo tanto, la validación de firmas automatizada debe ser realizada por un cliente OpenPGP (y, por ejemplo, GnuPG). Después de esta validación, puede confiar en que cada firma ha sido emitida por el titular de la clave privada.
Una conexión cifrada no solo garantiza el transporte de datos sin alteraciones, sino que también garantiza que nadie pueda ver lo que está transmitiendo. Sin uno, cualquier "hombre en el medio" puede ver quién está transmitiendo las claves.
El objetivo de la web de confianza es que te encuentres físicamente y verifiques a alguien en la vida real en una fiesta de firma de claves. La idea de cuál es el número de claves verificadas personalmente otorga credibilidad a otras claves, de ahí la web.
Lea otras preguntas en las etiquetas privacy encryption tls pgp