¿Por qué aparece una clave PGP revocada debajo de mi clave válida?

Question

¿Por qué aparece una clave PGP revocada debajo de mi clave válida?

#1 de Jens Erat (1 votos)

1

TL; DR

Como puede ver, revocé el keyid 178AA2B7 recientemente.

pub  4096R/178AA2B7 2014-08-13            
sig revok  178AA2B7 2014-08-13 __________ __________ [selfsig]
     Fingerprint=321F 31A7 BB1B 60C7 490F  B80B 2809 4F6A 178A A2B7 

uid Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  178AA2B7 2014-08-13 __________ __________ [selfsig]
sig  sig3  178AA2B7 2014-08-13 __________ __________ [selfsig]

sub  4096R/0AD3364B 2014-08-13            
sig sbind  178AA2B7 2014-08-13 __________ __________ []

¿Pero por qué 178AA2B7 aparece bajo mi clave válida / primaria / activa?

pub  4096R/A510AA8C 2014-08-13            
     Fingerprint=78A9 13EA AF81 2415 4B50  0B2A 5CE0 F95A A510 AA8C 

uid Eric Duncan (eduncan911) <me@ed****n911.com>
sig  sig3  A510AA8C 2014-08-13 __________ __________ [selfsig]
sig  sig3  A510AA8C 2014-08-13 __________ __________ [selfsig]
sig  sig   178AA2B7 2014-08-13 __________ __________ Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  A510AA8C 2017-06-26 __________ __________ [selfsig]

uid Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  A510AA8C 2017-06-23 __________ __________ [selfsig]

uat [contents omitted]
sig  sig3  A510AA8C 2017-06-23 __________ __________ [selfsig]

sub  4096R/E08B9994 2014-08-13            
sig sbind  A510AA8C 2014-08-13 __________ __________ []
sig sbind  A510AA8C 2017-06-27 __________ 2018-06-27 []

sub  4096R/8666E626 2017-06-27            
sig sbind  A510AA8C 2017-06-27 __________ 2018-06-27 []

Más al punto ... ¿Cómo me deshago de él? He intentado editar la clave pero no puedo verla en ninguno de los prefs, uids o subclaves.

(Para ver el resultado completo, vea este enlace: enlace )

Hace unos años creé mi identidad con dos claves PGP separadas. Sólo recientemente descubrí la capacidad de agregar varios uid s a una sola clave. Así que agregué mis dos direcciones de correo electrónico a la clave principal que he estado usando y publiqué en la WOT.

También revocé una de mis claves originales, ya que nunca la usé.

enlace

Pero como puede ver, se muestra bajo mi clave principal que sigue siendo válida.

Alguna información adicional ...

Una vez intenté importar mis claves privadas en una pieza de software (las dos claves privadas separadas de ambas cuentas) y siempre me decía que ya había importado una clave para mi dirección de correo electrónico. Nunca me permitiría importar ambas claves.

Ahora, sospecho que en un principio me equivoqué cuando hice las claves principales hace años.

¡Gracias!

pgp web-of-trust

pregunta eduncan911 27.06.2017 - 15:17

fuente

1 respuesta

Lea otras preguntas en las etiquetas pgp web-of-trust

ROP: encontrar un pivote de pila útil ¿Qué tan vulnerables son los dispositivos en el WiFi de mi casa?

score 1 · Accepted Answer

Está viendo una certificación (firma) que emitió de una de sus llaves a la otra. Todo lo que está viendo dice que hay una certificación probada criptográficamente de una clave a otra, pero no hace ninguna suposición sobre la validez de esa clave (ya sea verificada, confiable y no revocada).

Dos cosas que consideran OpenPGP son importantes aquí: OpenPGP está diseñado para nunca olvidar nada para resistir los ataques de eliminación y debido a la naturaleza distribuida de la red del servidor de claves (no hay manera de eliminar información de la red del servidor de claves, solo marque como se revoca). Y no se debe confiar en ninguna certificación, ... a menos que se verifique a través de la llamada ruta de confianza desde su propia clave a la clave que se validará.

GnuPG ya no tendrá en cuenta la clave revocada al recalcular la base de datos de confianza, sin importar si la firma está en la lista o no.

Eliminar firmas no se considera realmente un caso de uso en GnuPG. Si realmente desea eliminarlo, tendrá que descomponer la clave pública utilizando gpgsplit , buscar el paquete de firma adecuado y recomponer e importar la clave pública nuevamente. Pero esto no es realmente útil: como no puede eliminar la firma de la red del servidor de claves, la próxima vez que obtenga su propia clave, la firma se volverá a agregar.