假设我的一个朋友有我的OpenPGP公钥(它在网页上是公开可见的,但我亲自在一张纸上递给他),我不知道他的公钥,我需要向他发送加密的数据。这意味着我需要以一种安全的方式获取他的公钥,这样我就可以用他的公钥加密数据。所有的交流都需要通过电子邮件进行。
起初,我认为他只是用我的公钥加密他的公钥(不是为了隐藏,而是为了确保他的公钥在传输过程中不被更改),然后用电子邮件发送给我,但实际上这是行不通的,因为在MiT的情况下,攻击者可以用伪造的电子邮件替换原始的电子邮件,也可以用我的公钥加密它。换句话说,我不可能告诉我收到的公钥实际上是我的朋友的公钥。
我是否正确地说,除了我需要在一张纸上获得他的公钥外,没有其他解决方案,我可以通过一个可信的介绍人(例如证书颁发机构)来验证他的公钥吗?
发布于 2016-10-25 08:49:28
是。必须有一个受信任的实体,即a和b之间的连接(c不能访问),或者可以确认a是a和b信任的CA。
https://security.stackexchange.com/questions/140853
复制