Saber quando uma chave é comprometida

Question

Estou tentando determinar as práticas recomendadas para identificar uma chave comprometida. Eu tive muito pouca sorte em encontrar qualquer material sobre isso, mas esperava que houvesse algum tipo de serviço que notificasse quando uma chave fosse encontrada na web.

Por exemplo, eu tenho uma chave RSA. Ele é postado online em algum lugar, de alguma forma, mas eu não sei disso e continuo a usar a chave. Gostaria de ser notificado o mais cedo possível que algo foi detectado para que a chave pública possa ser removida de áreas conhecidas.

Qual é a melhor coisa a fazer?

    

Answer 1

Bem, se o sistema que contém a chave privada for acessado sem autorização, você deve tratar a chave como tal também.

Não há como você pode 'compartilhar' a chave privada, e você não pode ir de público - > privado de qualquer maneira, então o que você está pedindo é 'impossível' (dentro das restrições do PKI). Simplesmente tentando procurar a chave privada (ou algum subconjunto dela) você estaria revelando informações sobre a chave que você não deveria compartilhar.

Eu acho que um serviço que tenta encontrar chaves privadas, calcular todas as chaves públicas e indexá-las 'poderia' existir, mas seria computacionalmente inviável, ou uma que simplesmente fornece uma lista não interativa de chaves privadas encontradas na web, mas isso seria irrealista para implementar eu acho.

    

Answer 2

Você deve sempre gerar um par de chaves aleatório, e você deve sempre manter a chave privada privada. É impossível para um adversário encontrar a chave privada sabendo apenas qual é a chave pública. Então, ninguém na internet deve ser capaz de encontrar sua chave privada.