Ich hadere gerade mit dem Schlüsselmanagement von #
GnuPG 
Der #
OpenPGP -Standard sieht die Erstellung von Unterschlüsseln (dem #
subkey) vor. Das sind eigene Schlüssel, die aber zu dem eigentlichen Schlüsselpaar, nennen wir das das Hauptschlüsselpaar, gehören. Die Idee ist nun, dass man dieses Hauptschlüsselpaar sicher wegschließt und hauptsächlich mit den Subkeys arbeitet. Damit kann man Nachrichten ver- und entschlüsseln sowie signieren. Man kann damit allerdings keine anderen Schlüssel signieren (das Web of Trust) und kein revocation certificate erzeugen. Dafür benötigt man immer den Hauptschlüssel.
Die Empfehlung ist nun, mit solchen Subkeys zu arbeiten. In einer sicheren Umgebung erstellt man das Hauptschlüsselpaar sowie Subkeys, die man dann für die tägliche Arbeit nutzen kann: ein Subkey auf Laptop, ein Subkey auf Smartphone und so weiter.
Prinzipiell würde ich da gerne mitgehen, habe aber noch zwei „Aber“ im Raum stehen:
a) Signieren von anderen öffentlichen Schlüsseln
Es kommt nicht täglich vor, aber es passiert doch gelegentlich, dass man einen anderen Schlüssel signieren möchte oder sogar muss. Das ist aber relativ umständlich, wenn man seinen Hauptschlüssel so weggesperrt hat, wie empfohlen.
b) Management der Subkeys
Die Erstellung der Subkeys ist relativ einfach, aber der Export aus der abgesicherten Umgebung mit dem Hauptschlüsselpaar ist überaus umständlich. Außerdem kann man die Subkeys nicht benamen oder mit einer Anmerkung kenntlich machen, für welches Device ein Subkey bestimmt ist.
Weiterführende Informationen:
https://wiki.debian.org/Subkeys https://alexcabal.com/creating-the-perfect-gpg-keypairMacht sich jemand von euch die Mühe und arbeitet mit Subkeys?
#
GPG #
PGP
QRator
