Сторона подписания ключа GPG w. отдельный мастер-ключ и подключи на юбикей

Моя текущая настройка выглядит следующим образом:

sec#  rsa4096/E97E8047 2016-07-18 [C]
uid         [ultimate] Jonas Finnemann Jensen <[email protected]>
uid         [ultimate] Jonas Finnemann Jensen <[email protected]>
uid         [ultimate] Jonas Finnemann Jensen <[email protected]>
ssb>  rsa2048/65F03C8F 2016-07-18 [S]
ssb>  rsa2048/3DC1E49C 2016-07-18 [E]
ssb>  rsa2048/7AD1E9A1 2016-07-18 [A]

Вкратце:

  • Мастер-ключ ж. Возможность сертифицировать, хранящаяся на USB-накопителе (доступ только из сеансов livecd без Интернета)
  • 3 подключаемых ключа с возможностями аутентификации, подписания и шифрования, хранящиеся на юби-ключе, всегда прикрепленном или в моей связке ключей.

Насколько я понимаю, я не могу подписывать другие GPG-ключи без своего мастер-ключа. Итак, как мне посетить вечеринку по подписанию ключей GPG? Без путешествия с моей драгоценной отмычкой?

Что я могу сделать, чтобы защитить свой мастер-ключ?

  • Я попытался переместить его на юби-ключ, но это не удалось (потому что у него нет возможностей S, E или A. Я упустил какой-то трюк?
  • Есть ли другие устройства, которые я мог бы использовать?
  • Могу ли я поместить свой мастер-ключ на HSM, подключенный к серверу, и подключиться к нему через SSH, аутентифицированный с помощью подключа на моем yubikey, а затем удаленных ключей подписи? Если да, то какое оборудование может содержать главный ключ GPG?

Пока что мой единственный вариант, похоже, заключается в том, чтобы взять с собой мастер-ключ на USB-ключ и загрузить livecd при посещении вечеринки по подписанию ключей.

Примечание: важно удобство. Неудобные процедуры представляют собой значительный риск для безопасности из-за несоблюдения требований с моей стороны :)


gnupg yubico smartcard gpg-agent
person jonasfj    schedule 26.06.2017    source источник

Ответы (1)


arrow_upward
4
arrow_downward

Обычно вы получаете копии всех ключей на вечеринке по подписанию ключей после мероприятия — это будут pubring.gpg или pubring.kbx, доступные в Интернете или отправленные по электронной почте каждому участнику после крайнего срока регистрации или после мероприятия.

Во время мероприятия:

  • Вы не приносите с собой никаких ключей PGP.
  • Просто ваш паспорт или другой бланк для идентификации.
  • При желании лист бумаги с вашим собственным UID/адресом электронной почты и отпечатком ключа, чтобы убедиться, что другие проверяют ваш фактический ключ, а не кто-то еще.
    (Для этой цели отлично подойдет ваш адрес электронной почты и отпечаток PGP на ваших визитных карточках)

Таким образом, вы подписываете ключи, когда возвращаетесь домой, где у вас есть безопасная среда, и отправляете их по почте на UID, который вы подтвердили во время вечеринки (в зашифрованном виде).

Существуют инструменты для автоматизации процесса подписания после вечеринки, а также подготовки до и во время вечеринки, для Linux см. pius1 и signing-party2.

У большинства моих мастер-ключей есть [SCEA], а также подразделы, и я могу переместить мастер-ключ в слот для подписи смарт-карт (для этого подходят как Yubikey Neo, так и Yubikey 4) при использовании подразделов для повседневного использования.

person CybDev    schedule 07.11.2017