何时需要密钥签名？

Question

如果您通过亲自/通过电话验证指纹验证了人员公钥是否确实来自您认为的人，是否仍然需要签署其公钥？

尤其是如果您打算自己不解密邮件，但只打算使用有效公钥对邮件进行加密，是否仍需要签名？

Answer 1

我觉得有用签订键有两个原因：

1. 安慰我，在未来的钥匙并没有改变。
2. 帮助密钥拥有者通过信任网向他人证明其密钥。

在1点），这是很容易验证指纹现在但你要做到这一点你每次发送人加密的邮件或检查自己的签名时间？签署密钥意味着您可以忘记指纹。

关于第2点），公钥的拥有者可能会感谢您在他们的密钥上签名，以帮助说服其他人他们的密钥属于他们。例如，如果我签署Alice的密钥并且Bob已验证我的密钥，则Bob可以凭借我的签名选择信任Alice的密钥。

在实践中，我相信适当的礼仪是签署Alice的密钥，然后将其导出（gpg --export --armor <alice's key id>），然后通过加密的电子邮件发送给Alice。这允许她选择如何在密钥上使用您的签名 - 她可能决定将其上传到密钥服务器或直接发送给其他人。或者，她可能决定不透露她与你的关联，也不会使用签名密钥。

注意：我相信将别人的密钥上传到密钥服务器是不礼貌的，因为您否认他们的选择。

Answer 2

如果您可以验证拥有该公钥的人，则不必担心签名。验证公钥的能力是你信任它的人是重要的。说到这一点，如果你从一些公钥服务器获得公共信息，那么你将如何能够相信它来自你认为它来自的用户呢？在这种情况下，签名是一个有效的考虑因素。

以下是与此相关的一些有用的链接。

• What does key signing mean from securityexchange
• Web Of Trust

希望这有助于。

Answer 3

您的解密是使用您的私钥完成的。

未签署其他人的（公共）密钥，可能会发出难看的警告，在您的公钥列表中显示令人讨厌的图标，并且无法以任何方式为其他人显示您的检查过程。即建立信任网络。所以它更像是一个风格问题，而不是技术差异。