我收到了一个陌生人对我的密钥的签名。我应该如何反应？
签署 GPG 密钥应该是声明密钥和所有者之间真正联系的可靠方式，但在这种情况下，我不认识的人声明认识我并验证了我的密钥的有效性。
事实并非如此。
我可以删除/阻止/标记某人对我的密钥的签名吗？
我可以删除/阻止/标记某人对我的密钥的签名吗？
不幸的是，OpenPGP的设计和密钥服务器的工作方式是不可能的。
对方在你的钥匙上的签名实际上没有任何意义——当然不是双向关系。
我知道你可能会担心人们认为它的意义比它实际上更多。
我应该如何反应？
这个不知名的人是你不想以任何方式与之交往的众所周知的恶人吗？
如果没有，我不会担心。
您强调了信任网络的许多令人困惑或破碎的事情之一。技术原理很好，但实际上很少有人能很好地理解它，知道它在说什么。
好的一面是，人们不太可能读到太多关于你的神秘签名者的信息。
人们不使用信任网络的其他原因
- 它揭示了一些关于你给谁发电子邮件的信息，以及你什么时候见到他们(例如，在钥匙签名派对上)
- 它允许任何人将任意注释附加到您的密钥(通过生成新密钥，填写UID字段并签名并推送您的密钥)。
- 目前还不清楚签名是什么意思，以至于有些人实际上编写了签名策略来描述他们所做的验证。
我的个人方法
这是我的方法，不涉及信任网络。
- 将密钥服务器视为托管公钥的免费但不可信的方式。
- 广泛共享您的指纹：在电子邮件签名、社交媒体、网站、名片、信号中
- 通过指纹而不是密钥服务器的 URL 引用密钥
- 始终通过指纹获取软件密钥，然后免费进行指纹检查：例如
gpg --recv-keys 'A999 B749 8D1A 8DC4 73E5 3C92 309F 635D AD1B 5517' - 不要按名称或电子邮件搜索密钥服务器。列出的密钥可能属于任何人。
- 忘记短 ID 的存在。仅当您无法使用指纹时才使用长 ID。