Non c'è rischio di esporre la tua chiave privata o di invalidare la tua chiave pubblica, pubblicando la tua chiave pubblica nel modo descritto da te e da @Mark. Come affermato da @pboin, è progettato per essere disponibile per il mondo.
Tuttavia, c'è un altro problema a portata di mano ... Uno degli scopi principali di avere e pubblicare la tua chiave pubblica (in effetti, questo è probabilmente lo scopo PRINCIPALE), è quello di autenticarti ad altri utenti, abilitare per verificare l'autenticità di tutti i messaggi o dati che firmi e per proteggere / crittografare i dati solo per i tuoi occhi.
Ma come potrebbero quegli utenti sapere che è davvero la TUA chiave pubblica? Ad esempio, se voglio inviare un messaggio privato a @Mark Davidson, utilizzando la sua chiave pubblicata su http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xE493B06DD070AFC8, come faccio a sapere che è stato il REALE Mark Davidson a pubblicare quella chiave o che mi ha indirizzato lì?
Sarebbe banale per me pubblicare la mia PROPRIA chiave pubblica, o su mit.edu, su LinkedIn, Facebook, ecc. e mi chiamo Bill Clinton (o Bill Gates). Come potresti sapere altrimenti?
Inoltre, se in qualche modo so che questa è davvero la persona giusta (ad esempio, voglio contattare un blogger anonimo, tramite il pk pubblicato sul suo blog - non lo so t importa chi sia veramente, il proprietario del sito - e quindi l'editore pk - è comunque la persona giusta) - cosa garantisce che la chiave pubblica non sia stata manomessa durante il percorso? Tutti i collegamenti e i siti menzionati finora (ok, ad eccezione del server delle chiavi PGP) sono HTTP, ovvero nessuna protezione del canale, ovvero possono essere facilmente modificati tra server e browser.
Quando si utilizza il modello X.509 / PKI, c'è sempre qualcuno fidato che garantisce per te. Per esempio. un'autorità di certificazione ben nota (attendibile perché i fornitori del browser li hanno controllati e hanno aggiunto il loro certificato radice all'archivio radici attendibili nel browser) ha verificato la tua identità e firmato la tua chiave / certificato pubblico. Pertanto, chiunque voglia verificare che tu sia chi dici di essere, può semplicemente controllare la firma, quindi controllare l'identità di chi garantisce per te (e poi ripetere fino a trovare la nota CA radice attendibile).
Tuttavia, nel modello PGP, di solito non c'è nessuna autorità centrale e fidata (sebbene le versioni attuali lo permettano). Invece, PGP si basa sul modello del web-of-trust, in cui se ti fidi di qualcuno, questi possono a loro volta garantire l'identità di qualcun altro.
Indipendentemente da ciò, mettere la tua chiave pubblica là fuori non aiuta nessuno a verificare la tua identità, né garantisce che i messaggi crittografati saranno visualizzabili solo dalla persona corretta.
Cosa PUOI fare:
- Pubblica la tua chiave pubblica, proprio come avete detto tu e @Mark, ma poi fornisci un token a chiave pubblica (fondamentalmente un hash della chiave pubblica, come un'impronta digitale) tramite un canale sicuro. Per esempio. questo ora è abbastanza breve per leggere al telefono se ti conosce personalmente ... Ho persino visto qualcuno mettere il suo gettone pk sul suo biglietto da visita, distribuire una conferenza (devo ammettere che era da un venditore).
- Inizia a firmare le tue email, quindi verifica al destinatario che si trattava della tua firma attraverso un canale fuori banda (ad esempio al telefono o di persona ( sussulto !! ))
- Complica la situazione, ottieni un certificato X.509 standard e implementa SSL (preferibilmente EV) sul tuo sito web, quindi chiunque può scaricare il tuo pk sicuro sapendo che proviene da chi lo possiede nome di dominio ... (Ok, forse funziona meglio per le grandi aziende ...)
Guarda come lo fa Microsoft ...
Aaaa a parte questo, dipende davvero da cosa serve questo pk - se è solo per stupire tua madre, allora non preoccuparti di tutto questo :)
D'altra parte, se hai comunicazioni veramente sensibili, o con client attenti alla sicurezza, allora tutto quanto sopra è importante ...