PGP的信任网

一 点睛

PGP所采用的一种确认公钥合法性的方法——信任网。

在使用PGP时，确认自己所得到的公钥是否真的属于正确的人（公钥合法性）是非常重要的，因为公钥可能会通过中间人攻击被替换。

证书是确认公钥合法性的方法之一。证书就是由认证机构对公钥所施加的数字签名，通过验证这个数字签名就可以确认公钥的合法性。

然而，PGP中却没有使用认证机构，而是采用了一种叫做信任网的方法。在这种方法中，PGP用户会互相对对方的公钥进行数字签名。

信任网的要点是“不依赖认证机构，而是建立每个人之间的信任关系”。换言之，就是能够自己决定要信任哪些公钥。

下面分3个场景来介绍一下信任网是如何建立起来的。

二 场景1——通过自己的数字签名进行确认

Alce和Bob约会，在告别的时候，Bob给了Alice一张存储卡，并说“这是我的公钥”。

Alice回到家里，从存储卡中取出Bob的公钥，并存放到自己所使用的PGP公钥串中（导入公钥）。由于Alice确信刚刚导入的公钥确实是属于Bob本人的，因此Alice对这个公钥加上了自己的数字签名。

对Bob的公钥加上数字签名，就相对于Alice声明“这个公钥属于Bob本人（即这个公钥是合法的）”。

随后，Alice收到了来自Bob的邮件，由于这封邮件带有Bob的数字签名，因此Alice想用GPG来验证Bob的数字签名。

PGP将执行下面这些操作。

1 为了验证Bob的数字签名，PGP需要从Alice的公钥串中寻找Bob的公钥。

2 Alice的公钥串中包含Bob的公钥，因为前几天约会之后Alice导入了Bob的