Il n'y a aucun risque d'exposer votre clé privée ou d'invalider votre clé publique, en publiant votre clé publique de la manière que vous et @Mark avez décrite. Comme l'a déclaré @pboin, il est conçu pour être disponible dans le monde entier.
Cependant, il y a un autre problème à portée de main ... L'un des principaux objectifs d'avoir et de publier votre clé publique (en effet, c'est probablement LE PRINCIPAL objectif), est de vous authentifier auprès d'autres utilisateurs, activer pour vérifier l'authenticité de tous les messages ou données que vous signez, et protéger / crypter les données pour vos yeux uniquement.
Mais comment ces utilisateurs sauraient-ils qu'il s'agit vraiment de VOTRE clé publique? Par exemple, si je veux envoyer un message privé à @Mark Davidson, en utilisant sa clé publiée à http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xE493B06DD070AFC8, comment savoir que c'est le VRAI Mark Davidson qui a publié cette clé ou qui m'a pointé là-bas?
Il serait trivial pour moi de publier ma PROPRE clé publique, soit sur mit.edu, sur LinkedIn, Facebook, etc., et m'appeler simplement Bill Clinton (ou Bill Gates). Comment pourriez-vous savoir le contraire?
De plus, si en quelque sorte je sais que c'est vraiment la bonne personne (par exemple, je veux contacter un blogueur anonyme, via le pk publié sur son blog - je ne le fais pas) t se soucier de qui il est vraiment, le propriétaire du site - et donc l'éditeur pk - est la bonne personne de toute façon) - qu'est-ce qui garantit que la clé publique n'a pas été falsifiée en cours de route? Tous les liens et sites mentionnés jusqu'à présent (ok, à l'exception du serveur de clés PGP) sont HTTP - c'est-à-dire pas de protection de canal, c'est-à-dire qu'ils peuvent facilement être modifiés entre le serveur et le navigateur.
Lorsque vous utilisez le modèle X.509 / PKI, il y a toujours quelqu'un de confiance qui se porte garant de vous. Par exemple. une autorité de certification bien connue (approuvée car les fournisseurs de navigateurs les ont examinés et ont ajouté leur certificat racine au Trusted Roots Store dans le navigateur) a vérifié votre identité et signé votre clé publique / certificat. Ainsi, toute personne qui souhaite vérifier que vous êtes bien qui vous prétendez être peut simplement vérifier la signature, puis vérifier l'identité de celui qui se porte garant de vous (puis recommencer jusqu'à trouver la célèbre autorité de certification racine de confiance).
Cependant, dans le modèle PGP, il n'y a généralement aucune autorité centrale de confiance (bien que les versions actuelles le permettent). Au lieu de cela, PGP est basé sur le modèle du Web de confiance, dans lequel si vous faites confiance à quelqu'un, il peut à son tour se porter garant de l'identité de quelqu'un d'autre.
Quoi qu'il en soit, le simple fait de mettre votre clé publique là-bas n'aide personne à vérifier votre identité et ne garantit pas que les messages chiffrés seront visibles uniquement par la bonne personne.
Ce que vous POUVEZ faire:
- Publiez votre clé publique, comme vous et @Mark l'avez dit - mais fournissez ensuite un jeton de clé publique (essentiellement un hachage de la clé publique, comme une empreinte digitale) via un canal sécurisé. Par exemple. c'est maintenant assez court pour être lu par téléphone s'il vous connaît personnellement ... J'ai même vu quelqu'un mettre son jeton pk sur sa carte de visite, distribuer une conférence (certes, c'était d'un fournisseur).
- Commencez à signer vos e-mails, puis vérifiez auprès du destinataire qu'il s'agissait de votre signature via un canal hors bande (par exemple, par téléphone ou en personne ( gasp !! ))
- Compliquez la situation, obtenez un certificat X.509 standard et implémentez SSL (de préférence EV) sur votre site Web, alors n'importe qui peut télécharger votre pk en toute sécurité en sachant qu'il provient de celui qui le possède nom de domaine ... (OK, peut-être que cela fonctionne mieux pour les grandes entreprises ...)
Découvrez comment Microsoft le fait...
Aaaaall cela mis à part, cela dépend vraiment de ce à quoi sert ce pk - si c'est juste pour impressionner votre mère, alors ne vous embêtez pas avec tout ça :)
D'un autre côté, si vous avez des communications vraiment sensibles, ou avec des clients soucieux de la sécurité, alors tout ce qui précède est important ...