"Филипп Зимерман. Кодирование с открытым ключом для всех" - читать интересную книгу автора

трудная проблема в программных средствах, использующих принцип
открытого ключа. Это ахиллесова пята криптографии с открытым
ключом, и некоторая сложность программ связана с решением именно
этой проблемы.

Вы должны использовать открытый ключ только после того, как вы
уверены, что он вполне достоверен, не был подделан и
действительно принадлежит тому человеку, который на это
претендует. Вы можете быть в этом уверены, если вы получили
открытый ключ непосредственно от его владельца, либо если этот
ключ имеет подпись кого-либо из тех, кому вы доверяете и от
которого вы уже получили достоверный открытый ключ. Кроме того,
идентификатор пользователя должен содержать полное имя и фамилию
владельца, а не только имя.

Неважно, как вас соблазнят -- а вас будут соблазнять --
никогда , НИКОГДА не признавайте целесообразность и не доверяйте
открытому ключу, который вы переписали с BBS, если он не подписан
кем-либо, кому вы доверяете. Такой никем не удостоверенный ключ
вполне мог быть поделан кем-то, возможно даже администратором
BBS.

Если вас попросят подписать чей-либо сертификат открытого
ключа, убедитесь, что этот ключ действительно принадлежит
человеку, чье имя указано в идентификаторе пользователя
удостоверения этого ключа. Это необходимо потому, что ваша
подпись на этом удостоверении - ваше личное утверждение
принадлежности этого ключа. Другие люди, доверяющие вам, будут
принимать этот ключ как достоверный, потому что он подписан вами.
Плохой совет - полагаться на слухи; не подписывайте открытый
ключ, пока не получите независимую информацию из первых рук о
принадлежности этого ключа. Предпочтительно подписывать только
после получения ключа прямо от автора.

Если вы удостоверяете открытый ключ, вы должны быть уверены в
принадлежности этого ключа в гораздо большей степени, чем при
простом шифровании сообщения этим ключом. Чтобы быть убежденным в
достоверности ключа настолько, чтобы использовать его, ключ
должен иметь удостоверяющие подписи от надежных поручителей.
Однако, для того, чтобы самому удостоверить этот ключ, вы должны
знать о действительном владельце этого ключа из первых рук. К
примеру, вы могли бы позвонить ему по телефону и прочитать ему
файл ключа для окончательного подтверждения того факта, что этот
ключ - его, при этом будучи уверенным, что разговариваете с тем,
кем надо. Для получения дополнительной информации смотрите раздел
"Проверка общего ключа с помощью телефона" в части "Специальные
разделы".

Имейте в виду, что ваша подпись на удостоверении открытого
ключа не подтверждает честность человека, а только утверждает