Best practice: devo revocare un'identità autofirmata usando SHA1?

Prima di tutto, questo non richiederà la revoca dell'ID / identità utente, puoi semplicemente aggiungere un'auto-firma più recente sostituendo la vecchia firma basata su SHA-1.

Non mi interesserebbe la vecchia firma. Da un lato, le auto-firme possono essere ristampate come si desidera, in realtà vengono riemesse ogni volta che si modificano le preferenze chiave (quelle sono memorizzate in auto-firme), mentre il più recente è da considerarsi come "valido".

Non preoccuparti di ingombrare la rete del server delle chiavi. L'aggiunta di una revoca è solo un'altra firma (o meglio, una per ID utente), non si tratta di una modifica rilevante per i server delle chiavi (ci sono migliaia di nuove certificazioni ogni giorno).

Ma avrebbe senso? Bene, una revoca di solito spiega che c'è qualcosa di sospetto sulla firma revocata. È stato emesso per errore, ti sei reso conto dopo un po 'di tempo che è stato emesso su presupposti errati, la certificazione non è stata emessa da te (anche se probabilmente dovresti piuttosto revocare l'intera chiave in questo caso).

SHA-1 potrebbe non rivelarsi abbastanza sicuro nel prossimo futuro. Cosa significa questo per autofirme ? Non dovresti più fidarti delle firme SHA-1 in questo caso, poiché ognuna di esse potrebbe essere stata emessa da un utente malintenzionato. Se revochi la tua vecchia firma SHA-1, ciò non impedirà comunque a un utente malintenzionato di rilasciare nuove certificazioni simulate. In genere, devi solo prendere in considerazione firme affidabili e ignorare tutti gli altri. Non tratterei le auto-firme inaffidabili in modo diverso da quelle emesse da chiavi non affidabili o da algoritmi deboli, e semplicemente li ignoriamo.

Tutto sommato: la parte importante è che fa ha una firma autografa nuova e degna di fiducia. Il vecchio non ha più importanza, revocalo se vuoi, mantienilo se non vuoi ingombrare il tuo elenco di chiavi - o sei troppo pigro.