在最近的一次测试中，我查看了我的个人备份是否按预期工作，我注意到我将我的 GPG 密钥存储在同一个磁盘上使用该密钥加密的文件旁边。虽然磁盘已加密（LUKS）并且密钥具有强密码，但这感觉有点奇怪。
虽然为密钥准备第二个驱动器可能会改善这种情况，但也感觉有点过头了。因此，我正在寻找一个更务实的解决方案。我考虑过将密钥放在单独加密的单独分区上（当然使用不同的密码），但我不确定这是否是个好主意。
- 将密钥和加密文件存储在一起是否是一种不好的做法？
- 单独的分区是否会显著提高安全性？毕竟它仍然是同一个磁盘。
- 有没有其他办法可以解决这一困境？
答案1
将密钥和加密文件存储在一起是否是一种不好的做法？
是的，将密钥与密文放在同一个位置并不理想。例如，也许打开的 LUKS 容器上的文件被存档并上传到同一个对象存储帐户，作为基于文件的备份。注意的对手会获取私钥并尝试使用它进行解密。
单独的 LUKS 卷可能更安全，因为它使纯文本更难访问。仅在执行 GPG 操作时打开该卷可减少暴露。
在现实世界中，实际的妥协是必要的。磁盘上的密钥很容易使用。受密码保护的密钥会减慢攻击者使用它的速度，但这只是时间问题。如果 GPG 私钥的副本被盗，则认为它已被泄露。考虑重新密钥。
有没有其他办法可以解决这一困境？
理想情况下，不要将私钥存储在在线存储中。使用智能卡硬件令牌作为私钥，YubiKey 或类似物。将冷备份存储在微型存储设备或纸质密钥上，并将它们放在安全的离线位置，例如业务连续性保险箱。这是非常规措施，但秘密很特殊，因为它们可以解锁其他数据。
答案2
实际上，密钥文件只不过是一种“超级密码”，因此，如果它的密码足够长，我认为不会有任何特别的风险。我强调的是足够长：要扩大字典和暴力搜索的空间，拥有许多字符比拥有更大的字母表更重要
将密钥和加密文件存放在一起是否是一种不好的做法？事实上，是的
单独的分区是否会显著提高安全性？事实上，不会
有没有其他方法可以解决这一难题？在某些极端情况下，会使用 USB 令牌，需要时可物理移除和插入，有时还具有第二级访问权限（例如 TrueCrypt/VeraCrypt 容器等）。
但我建议，更重要的是，使用一个“长而长”的强密码和一个好的对称密码进行备份。