我想使用 dropbox 来备份我的 gpg 密钥，恕我直言，即使 dropbox 管理员获得了密钥的副本，他们仍然需要密码才能使用它，所以可以假设这样做是安全的吗？
答案1
我建议不要这样做。没错，他们需要密码，但你仍然应该始终将私钥置于你自己的直接控制之下。GPG 依赖于需要你知道的东西（密码）和你拥有的东西（密钥）的安全模型。如果你让你的密钥泄露出去，你就冒着完全破坏一半身份验证方案的风险。我怀疑 DropBox 员工会故意背叛你，但如果他们有安全漏洞允许第三方攻击者获得访问权限，你的情况就会很糟糕。将密钥备份在某种物理介质（如闪存驱动器）上会更安全。
答案2
首先，要明白“安全”总是相对的。你应该从“安全”的角度来思考足够的适合我的用例”，而这最终还是取决于你。
GnuPG 保护密钥的方案是目前已知的最佳方案；它根据您的密码生成对称密钥，并使用它来保护密钥。此对称密钥永远不会被存储；每次需要时，它都会从密码中派生出来。
这提供了相当密钥的强大保护。足以让恢复密钥的最佳攻击方式是猜测您的密码。或者，换句话说，通过将密钥放在 Dropbox 之类的东西上使密钥“半公开”，意味着您的密钥的安全性仅取决于您选择保护它的密码。
自从有专门用于破解 GnuPG 密码的工具，而且由于摩尔定律意味着随着时间的推移，破解密码会变得越来越容易，所以你需要一个真的强密码可以使任何类型的安全。
根据你的密钥保护的内容，选择一个合适的密码可能足够安全冒险将密钥放在 Dropbox 上；这种便利性值得冒险。但是最好的做法是只允许在生成密钥的机器上使用密钥，并在您直接控制下的一个备份/托管位置使用（例如，打印出来并放在防火保险箱中）。