Стратегии офлайнового хранения ключей PGP

[EminH]

Можно ещё на бумаге хранить. Для удобства переноса, в формате QR кола например

[punksta]

www.jabberwocky.com/software/paperkey

[Colorbit]

К недостаткам смарт-карты, наверное, можно еще отнести затрудненность (часто и не возможность) её использования совместно с мобильными устройствами.

[navion]

Как и PGP в целом.

[Disasm]

Добавлю про смарт-карты. До сих пор не встречал устройств, которые поддерживают ключи длиной больше 2048 бит. Это связано с ограничением протокола передачи данных (ISO/IEC 7816-4), которое, тем не менее, можно обойти, используя какой-то более сложный механизм обмена. Всё-таки в 2017 году 2048 бит ключа это как-то не очень хорошо.
Генерировать ключи прямо на карте это здорово, конечно, но возникают сомнения по поводу качества генератора случайных чисел. В том же FST-01, вроде как, рекомендовали генерировать ключ на хосте и записывать его на токен.

[lorc]

Забавно, что для FST-01 существует две прошивки. Одна делает из него True Random Number Generator, а вторая — смарт-карту. К сожалению, их нельзя слепить вместе, что бы получить хороших генератор ключей прямо на устройстве.

[Disasm]

Вот да. Но и хотелось бы какие-нибудь исследования "трушности" увидеть, прежде чем начать пользоваться. Да и всё равно хотелось бы бэкап ключа иметь, так что полезность генерации на токене под сомнением.

[andreykp]

yubiney уже позволяет ключи длиной 4096

[punksta]

Гайд безопасности gpg.

1. Сгенерить master-key на чистой ос без интернета, записать sub-keys на смарт-карту или security key (yubikey или nitrokey)
2. Зашифровать master-key. На скрытом разделе.
3. Спрятать master-key. (зашить в диван)

Есть неплохой гайд по первым пунктам github.com/drduh/YubiKey-Guide для yubikey, Должно работать для любых реализаций gpg-card. Недавно понял, что прошивка yubikey закрыта, так что yubikey не тру.