Niebezpiecznik

Fałszywe klucze GPG (tj. wygenerowane na te same dane co oryginalne) zauważyli w internecie: Erin Clark z TOR-a oraz Gavin Andresen z Bitcoina.

Certyfikaty SSL nie są idealne, ale model zaufania oparty o klucze GPG (czyli tzw. Web of Trust) też ma pewne “słabości” — aby zweryfikować poprawność kluczy w wiarygodny sposób należy mieć pewność, że klucz danej osoby został podpisany zgodnie z odpowiednimi procedurami (m.in. wymianą jego fingerprintu przez inny kanał komunikacji) oraz przede wszystkim ufać osobie, która go podpisała.

Przeczytaj także:

• Wygenerowano kolizje identyfikatorów dla wszystkich kluczy GPG
• Jak namierzyć nadawcę (fałszywego) e-maila?
• 4 techniki, którymi FBI mogło namierzyć prawdziwy adres IP Silk Roadu (i pozostałych 27 torowych serwisów)