我在 GnuPG 的密钥环中有一些多个用户的公钥。其中一位用户已切换到新的公钥。我仍然拥有用户的旧密钥，该密钥的分配信任为ultimate.我刚刚为他的新密钥分配了相同的信任。
他不再使用旧密钥。我应该如何处理旧钥匙？我应该撤回信任还是撤销信任？在这种情况下，正确的程序是什么？
答案1
首先，最终信任不应该用于其他人的密钥，完全信任就足够了。如果您发出最终信任以使密钥本身有效，那么您误解了信任概念网。如果您只是希望他的所有认证对您都有效（从而扩展您的信任网络），那么完全信任就足够了，如果您同时对他进行了认证。
关于你的实际问题：这取决于具体情况。
- 您将无法撤销对方的密钥。钥匙的所有者是否已撤销钥匙？如果是这样，他应该向您发送吊销证书 - 例如将其上传到密钥服务器，您可以在其中再次获取它。如果密钥被撤销，无论如何你都不必再关心信任了。
- 密钥所有者已失去对密钥的控制，但无法再撤销它。例如，有人用唯一的密钥副本偷了笔记本电脑，而所有者没有吊销证书（非常糟糕的主意）。现在你可以通过撤销信任并将其设置为“从不”来解决这种情况。还可以考虑对他的新钥匙进行同样的操作，因为车主的钥匙处理似乎存在重大问题。这不会改变有效性如果他的密钥（如果你签署了它），它只是确保它颁发的证书不会用于其他人的有效性计算。
钥匙拥有者只是不想再使用该密钥，但仍然拥有它，并希望保留他建立的信任网络中的声誉（您可能也想利用它）：只需导入他的新密钥，根本不关心旧密钥。除了将信任从“终极”转变为“充分”。
如果您想确保不会意外加密到他的旧密钥，请通过运行 来禁用它
gpg --edit-key [key-id]，然后使用 GnuPG 的disable命令。
答案2
您无法撤销旧密钥。只有所有者（持有私钥的人）才能做到这一点。
您可能不想完全从密钥环中删除密钥，因为您仍然希望能够验证由您的通讯方使用旧密钥签署的旧电子邮件上的签名。在我看来，更改信任级别似乎也是错误的解决方案，因为它隐含地意味着旧电子邮件上的那些签名不再像以前那样受信任，这并不是真正正确的。
怎么样禁用旧钥匙？
禁用的密钥通常不能用于加密。
因此您的软件（或您自己）不会意外地使用旧密钥来加密消息。密钥保留在您的密钥环中，其他方面保持不变。