Perché una chiave PGP revocata viene visualizzata sotto la mia chiave valida?

Question

Perché una chiave PGP revocata viene visualizzata sotto la mia chiave valida?

#1 da (1 voti)

1

TL; DR

Come puoi vedere, ho recentemente revocato keyid 178AA2B7 .

pub  4096R/178AA2B7 2014-08-13            
sig revok  178AA2B7 2014-08-13 __________ __________ [selfsig]
     Fingerprint=321F 31A7 BB1B 60C7 490F  B80B 2809 4F6A 178A A2B7 

uid Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  178AA2B7 2014-08-13 __________ __________ [selfsig]
sig  sig3  178AA2B7 2014-08-13 __________ __________ [selfsig]

sub  4096R/0AD3364B 2014-08-13            
sig sbind  178AA2B7 2014-08-13 __________ __________ []

Ma perché 178AA2B7 viene visualizzato sotto la mia chiave valida / principale / attiva?

pub  4096R/A510AA8C 2014-08-13            
     Fingerprint=78A9 13EA AF81 2415 4B50  0B2A 5CE0 F95A A510 AA8C 

uid Eric Duncan (eduncan911) <me@ed****n911.com>
sig  sig3  A510AA8C 2014-08-13 __________ __________ [selfsig]
sig  sig3  A510AA8C 2014-08-13 __________ __________ [selfsig]
sig  sig   178AA2B7 2014-08-13 __________ __________ Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  A510AA8C 2017-06-26 __________ __________ [selfsig]

uid Eric Duncan (eduncan911) <ed****[email protected]>
sig  sig3  A510AA8C 2017-06-23 __________ __________ [selfsig]

uat [contents omitted]
sig  sig3  A510AA8C 2017-06-23 __________ __________ [selfsig]

sub  4096R/E08B9994 2014-08-13            
sig sbind  A510AA8C 2014-08-13 __________ __________ []
sig sbind  A510AA8C 2017-06-27 __________ 2018-06-27 []

sub  4096R/8666E626 2017-06-27            
sig sbind  A510AA8C 2017-06-27 __________ 2018-06-27 []

Più precisamente al punto ... Come faccio a liberarmene? Ho provato a modificare la chiave ma non riesco a vederla in nessuno dei prefs o degli uid o delle sottochiavi.

(Per vedere l'output completo, consulta questo link: link )

Ho creato la mia identità alcuni anni fa con due chiavi PGP separate. Solo recentemente ho scoperto la possibilità di aggiungere più uid s a una singola chiave. Così ho aggiunto i miei due indirizzi e-mail alla chiave primaria che ho usato e pubblicato nel WOT.

Ho anche revocato una delle mie chiavi originali, perché non l'ho mai usata.

link

Ma come puoi vedere, mostra sotto la mia chiave primaria che è ancora valida.

Alcune informazioni aggiuntive ...

C'era un software una volta che ho provato a importare le mie chiavi private in (le due chiavi private separate da entrambi gli account) e mi diceva sempre che avevo già importato una chiave per il mio indirizzo @ gmail. Non mi permetterebbe mai di importare entrambe le chiavi.

Ora, ho il sospetto che all'inizio mi fossi accorto di qualcosa quando ho fatto quelle chiavi primarie anni fa.

Grazie!

pgp web-of-trust

posta eduncan911 27.06.2017 - 15:17

fonte

1 risposta

Leggi altre domande sui tag pgp web-of-trust

Come crittografare i dati sensibili degli utenti e trasportarli in sicurezza tra client e server? Informazioni sugli algoritmi di hashing della password di Oracle 11g

score 1 · Accepted Answer

Stai guardando una certificazione (firma) che hai emesso da una delle tue chiavi all'altra. Tutto il risultato che si sta osservando dice che esiste una certificazione testata da una chiave all'altra, ma non fa alcuna ipotesi sulla validità di quella chiave (che sia verificata, attendibile e non revocata).

Qui sono importanti due cose che considerano OpenPGP: OpenPGP è progettato per non dimenticare mai nulla che possa essere resiliente agli attacchi di delezione e grazie alla natura distribuita della rete dei key server (non c'è modo di cancellare le informazioni dalla rete di keyserver, basta segnare come revocato). E nessuna certificazione, ... deve essere considerata attendibile se non viene verificata tramite un cosiddetto percorso di fiducia dalla propria chiave alla chiave da convalidare.

GnuPG non renderà più conto della chiave revocata quando ricalcola il database di fiducia, indipendentemente dal fatto che la firma sia elencata o meno.

L'eliminazione delle firme non è realmente considerata come caso d'uso in GnuPG. Se si vuole veramente cancellarlo, si dovrà decomporre la chiave pubblica usando gpgsplit , cercare il pacchetto di firma appropriato e ricomporre e importare nuovamente la chiave pubblica. Ma questo non è molto utile: dato che non puoi cancellare la firma dalla rete del server delle chiavi, la prossima volta che prendi la tua chiave la firma verrà aggiunta di nuovo.