使用 GPG 进行身份验证

Question

我一直在阅读有关带内和带外身份验证的内容。我知道一个人可以签署他/她自己的 GPG key ，然后其他人可以使用他们的指纹验证签名者。

我还阅读了发布在以下位置的 GPG key 签名问题:https://stackoverflow.com/questions/34234/how-does-gpg-key-signing-work-and-how-is-it-done

这种类型的身份验证是否容易受到中间人攻击？如何在不使用数字签名的情况下完全验证身份？

PS:我研究了以下身份验证方式:GPG 签名消息(电子邮件)、SMS(带外)、使用共享密码、社会主义百万富翁协议(protocol)的应用和基于零知识的不可否认身份验证。

上面列出的哪一项最适合防止中间人攻击并提供大量身份验证？

Answer 1

防止中间人攻击的是你的大脑 :-) 在签署 key 时，GPG 会询问你是否真的检查了 key 所有者的身份，正如 GPG howtos ( e.g. this one ) 警告你小心你在这里做什么:

You should only sign a key as being authentic when you are ABSOLUTELY SURE that the key is really authentic!!!. So if you are positive you got the key yourself (like on a key signing party) or you got the key through other means and checked it (for instance by phone) using the fingerprint-mechanism. You should never sign a key based on any assumption.

签署 key 时，您有责任验证 key 所有者的身份。与 CACert(它有一个 defined procedure how to verify ones identity)相比，没有关于如何完成此验证的通用策略。然后，另一方面，GPG 会根据您信任的人引入新 key 。

这意味着:

• 您应该熟悉如何验证 key 确实属于 key ID 所示的人。 CACert 指南(个人 session 、检查官方文件、交换指纹)适用于您不认识的人，对于您的好 friend 个人交换指纹(或通过电话验证指纹，如果您识别出声音)你的 friend )也应该足够了
• 您应该只设置属于您绝对确定他们理解签名含义的人的 key 的信任属性，并如上所述进行仔细检查。