PGP è protetto contro un keyserver non autorizzato?

In fin dei conti è una catena di "fiducia" per una ragione. Ad un certo punto devi fidarti, o una rete di fiducia basata su singoli certificati che hai verificato o fidandoti che alcune terze parti siano affidabili. Se ti fidi della festa sbagliata, tutto si rompe. La fiducia non è un toccasana magico, è solo un modo per valutare quanta fiducia hai riposto in qualcosa in base alle decisioni che hai preso su chi fidarti.

Ricorda che è possibile convalidare una chiave pubblica dalla propria chiave privata per assicurarsi che corrisponda. Se si cripta qualcosa con la propria chiave privata, dovrebbe decodificare con la chiave pubblica. In caso contrario, non è la tua chiave pubblica.

Tieni presente che è ancora possibile contattare direttamente qualcuno per fornire un'identificazione personale del certificato pubblico per assicurarsi che sia inalterato ed è anche possibile utilizzare una chiave da un negozio locale una volta ottenuta. Ciò limita enormemente ciò che Eva può fare poiché può solo attaccare il primo scambio di chiavi e non può facilmente compromettere la verifica secondaria di un'identificazione personale tra le due parti tramite un altro canale senza un attacco piuttosto sofisticato. Questa verifica secondaria del canale sicuro dovrebbe essere eseguita su qualsiasi chiave che non abbia già fiducia (attraverso la firma o altri meccanismi di sicurezza) per garantire che le chiavi pubbliche non siano state manomesse.

Il vero take-away dovrebbe essere capire che dare a qualsiasi server o individuo chiave in una rete di fiducia la tua fiducia significa che devi fidarti di loro. Se non ti fidi della tua sicurezza per loro, allora non fidarti di loro o prendi misure alternative per assicurarti che ciò che ottieni da loro sia valido.

Un server chiavi PGP è solo un grande muro dove chiunque può incollare un pezzo di carta, alla vista di tutte le persone che camminano lungo il muro. Nessuno si fida effettivamente del muro per aver fornito alcun tipo di affermazione sulla veridicità di ciò che è scritto sui giornali; è solo un muro, un archetipo di assenza di mente.

Una chiave pubblica PGP potrebbe essere attendibile o meno, a seconda delle firme di altri portatori di chiavi che troverai su quella chiave. Questo è il Web of Trust , il tipo di PKI utilizzato da PGP. Le firme sono completamente indipendenti dal modo in cui i dati firmati sono stati archiviati e trasferiti, e questo è il punto: nulla in questo sistema si affida ai server chiave per applicare qualsiasi proprietà di sicurezza in qualsiasi momento; e, analogamente, le chiavi firmate possono essere inviate tramite e-mail, linee telefoniche o anche vettori aerei : non importa.

Il peggiore che un server di chiavi canaglia possa fare è cessare di svolgere il proprio lavoro, ad es. eliminando alcune delle chiavi è contiene. Non avrà molto impatto, tranne che renderebbe più difficile per le persone che non si conoscono, e tuttavia desidera inviare e-mail l'un l'altro, per costruire catene di chiavi firmate e guadagnare una certa fiducia nelle rispettive chiavi pubbliche .