_Статья для подписчиков LWN_

![][1]Хотя население в целом практически не использует [OpenPGP][2], но это критический элемент безопасности, особенно для дистрибутивов Linux. Например, центральный репозиторий Debian проверяет каждый пакет с помощью OpenPGP-ключей мейнтейнера, а затем подписывает его своим ключом. Если у пакетов, которые включаются в ветку, тоже есть такие подписи, то создаётся полноценная цепочка доверия от изначального разработчика до пользователей. Кроме того, пулл-реквесты в ядро Linux тоже верифицируются цифровыми подписями. Поэтому ставки высоки: если скомпрометирован ключ для подписи релиза или хотя бы ключ единственного мейнтейнера, следствием может стать разрушительная атака на много машин.

Это привело сообщество Debian к лучшему пониманию хороших практик работы с криптографическими подписями (которые обычно создаются в программе [GNU Privacy Guard][3], также известной как GnuPG или GPG). Например, слабые (менее 2048 бит) и [уязвимые][4] ключи PGPv3 в 2015 году [удалили][5] из связок ключей, а среди разработчиков Debian широко распространена практика взаимной подписи ключей при личной встрече. Но даже у разработчиков Debian, кажется, отсутствуют общепринятые правила хранения критического секретного материала, как видно по [дискуссии][6] в списке рассылки debian-project. Эта дискуссия сводится к единственному простому требованию: где взять «руководство по хранению электронных ключей для чайников»? Электронные аппаратные ключи или карты-ключи, как мы их здесь называем — это маленькие устройства, позволяющие хранить ключи в офлайне и представляющие собой один из вариантов защиты секретного материала, то есть ключа. В этой статье я постараюсь поделиться своим опытом в данной области и разъяснить проблему, как хранить эти драгоценные секретные ключи, которые в случае компрометации подвергают опасности миллионы компьютеров по всему миру.
[Читать дальше →][7]

[1]: https://habrastorage.org/webt/59/da/64/59da64eb76d1c303760414.png
[2]: http://openpgp.org/
[3]: http://gnupg.org/
[4]: https://lwn.net/Articles/588266/
[5]: https://lists.debian.org/20150101191039.GB5209@earth.li
[6]: https://lists.debian.org/debian-project/2017/08/msg00011.html
[7]: https://habrahabr.ru/post/339612/?utm_source=habrahabr&utm_medium=rss&utm_campaign=feed_posts#habracut