unit-testing - 处理用于单元测试的 secret OpenPGP key

Question

我正在从事一个项目，其中软件使用 GnuPG 二进制文件进行加密操作。有些函数有 OpenPGP 加密输出，有些函数采用 OpenPGP 加密输入。

为了进行单元测试，我的计划是为 unittest@project.example.com 生成一个无密码 key ，并将其包含在存储库中。这将(自然地)使 key 不适合生产使用，但这很好，因为用户应该生成/使用他们自己的 key 。

---

现在回答我的问题。如果 key 包含在存储库中，任何人都可以将其上传到 key 服务器，使用它来签署他/她自己的 key ，或撤销它(并上传撤销)。 GPG 可以自动从 key 服务器下载 key ，将这样的 key (私钥是公开的)放在个人 key 环中似乎是不明智的。

是否可以将 key 的已撤销版本上传到 key 服务器(因此没有钥匙串(keychain)会信任它)并在 key 未撤销的 repo 协议(protocol)中包含 key 版本？这是否可以解决 key 在个人钥匙串(keychain)中出现和受信任的问题，同时仍允许使用相同的 key 进行单元测试？

Answer 1

在 key 服务器上撤销 key ，同时在本地包含未撤销的版本将不会出现问题，除非您实际上从 key 服务器获取已撤销的版本。只需在撤销 key 之前创建一个副本，并确保使用本地或什至新的 GnuPG 主目录(无论如何你都应该这样做，以保持单元测试的可重复性并将它们与开发人员的帐户分开)。这样，您应该确保您的 key 链中不会有吊销证书，除非有人手动获取它(他不应该这样做，您可能想在某处记录下来)。

要考虑的另一种情况是将主 key 保密，但只发布一个 secret 子 key 。这可能会使实际用于加密的 key 的后续更改更​​容易，并防止其他人弄乱主 key (创建用户 ID、撤销任何内容、颁发证书……)。