Precisa de convencer a chave pública do PGP que precisa ser alterada

Question

Então a situação é assim. Estamos trabalhando com outra empresa e como parte de alguns processos de distribuição de arquivos, temos que criptografar alguns arquivos antes que eles sejam enviados.

A empresa em questão nos enviou sua chave pública que estamos usando para criptografar arquivos usando o GPG.

Recentemente, eles voltaram a reclamar que precisam inserir uma frase-senha sempre que tentarem descriptografar seus arquivos. Então, eles mudaram suas configurações para remover o requisito de senha e nos enviaram outra chave pública

O problema é que essa "nova" chave pública parece exatamente a mesma que a antiga. Estes são meus testes: -

• Ambos os arquivos .asc - > o mesmo
• hashsums MD5 de arquivos .asc - > o mesmo
• Chave instalada em um armazenamento de chaves de teste - > O GPG se recusa a instalá-lo, pois é o mesmo que o existente (por exemplo, "Inalterado: 1")
• Chave excluída do keystore, chave "nova" instalada, anotação da impressão digital / outros detalhes, chave excluída novamente
• Adicionada a chave "antiga" ao keystore, anotada a impressão digital / outros detalhes
• Comparou as duas notas - > o mesmo

Certamente não precisamos instalar essa "nova" chave pública se ela for exatamente igual à antiga. A razão pela qual eu pergunto é que é um pouco chato chamar nossa equipe de operações para fazer com que instalem a chave no keystore do PROD, se não precisarmos.

Qualquer conselho seria apreciado.

    

Answer 1

As chaves públicas não mudam apenas porque alguém removeu (ou alterou) a frase secreta na chave privada. Não vejo razão para você ter que instalar essa "nova" chave pública.

Eu ficaria preocupado com a competência da outra parte se eles estão reclamando que eles sempre têm que digitar sua frase-senha (e que eles acham que foi uma idéia vencedora remover a frase secreta).

    

Answer 2

+1 para womble; escrevendo isso como uma resposta para evitar o limite de caracteres.

A chave pública não precisa ser alterada quando a chave secreta é descriptografada. "Remover a frase secreta" para a chave secreta significa apenas que ela é permanentemente descriptografada e gravada em disco, enquanto geralmente a própria chave secreta é simetricamente criptografada com uma frase-senha específica para garantir que um assaltante que obtenha acesso ao arquivo-chave não possa acesse a chave sem conhecer a frase secreta.

Não havia, no entanto, nenhuma razão para eles revelarem essa incompetência para você (embora você deva ser grato por ter essa informação, então você sabe que não deve confiar na outra parte com segurança). Você deve avisar seus colaboradores para salvar apenas as versões em texto puro dos arquivos criptografados desejados, em vez de deixar a chave secreta desprotegida. Se a chave secreta cair em mãos erradas, o par de chaves será invalidado para sempre e todo o conteúdo criptografado para essa chave pública será acessível por qualquer pessoa que tenha a chave secreta. Isso é obviamente muito perigoso se algo importante já foi criptografado para esse par de chaves. Informe seus parceiros para reaplicarem uma frase secreta e salvar os arquivos como texto simples, em vez de expor a chave secreta diretamente.