GPGで暗号化されたファイルを公開してはいけない理由はありますか？
私は、いくつかの特定のファイルに簡単にアクセスできるようにして、暗号化する必要があるプロジェクトに取り組んでいます。これを実現するための私の考えは、プロジェクトの公開Webサイトでファイルを利用可能にし、メンバーのすべてのPGP鍵で暗号化することです。理論的には、これはそれらのメンバーだけが解読できることを意味し、ファイルは安全ですが、見落としているリスクはありますか？
特定の暗号がいつか壊れて、このようなデータが本当に公開されるリスクは常にあります。ですから、はい、いくつかのリスクがありますが、それはあなたが妥当なセキュリティのトレードオフをしていないという意味ではありません。
考慮すべきいくつかのこと：
データが公開される最悪のシナリオは何ですか？このデータが公開されることで、気づかないかもしれない影響はありますか？
このデータには、1年、1週間などにのみ有効な時間ベースの要素がありますか？
このデータが公開されることによる規制、法的、または倫理的な影響はありますか？
データを保護する1つのコントロールだけではないようなセキュリティコントロールを追加できますか？
このデータを共有したい人はすべてのデータを必要としますか、それともより小さなデータのサブセットで彼らのニーズを満たすことができますか？
データマスキング（機密データを既知の偽データで置き換える）は、セキュリティを強化するオプションですか？
それはどこで復号化され、復号化キーはどこに保存されますか？
解読するパスフレーズはブルートフォースに簡単ですか？
etc ...何百万もの他の質問がここに行きます。
100％安全なものは何もありません。すべてがトレードオフであるため、最初にいくつかの異なる角度から決定を検討する必要があります。
一般に、単一のセキュリティコントロールが表示されたときの私のアドバイスは、1つではなく追加のレベルのセキュリティコントロールが必要であるということです。だから私はあなたに追加のコントロールを検討するようにアドバイスする必要がありますが、それでもあなたが何を保護しているのかわからないので、それがインターネット猫の写真の集まりだけなら、ちょっとGPGを使用するだけで十分です...もちろんGPG、それは素晴らしいツールですが、猫の写真はいたるところにあります）
最大のリスクの1つは、誰かが誤って暗号化されたファイルを暗号化されていないバージョンに置き換えることです。ファイルをプライベートな場所に保管することで、それを防ぐことができます。これは、多層セキュリティの概念の一部であり、他の人が言及しています：1つの層がバイパスされた場合、悪意をもって、または偶然に、ある程度の保護があり、あなたが何が起こったかを理解している間あなたを覆います。
忘れないでください。最大の脆弱性は常に（かなり）人々です。
暗号化に自信がある場合は（実装する必要があります）、実装に応じて、次のようなメタデータのリークが発生している可能性があります。
- 「ユーザーAがサービスを使用している」、または
- 「ユーザーBの設定は...以降更新されていません」、または
- 「新しいユーザーCが最近作成された」、または
- 「最近、ユーザーの80％がサービスから離れました」。
暗号化が正しく実装されている場合、メンバーのキーが公開またはハッキングされると、データが脆弱になります。
このディストリビューションに参加する人が多いほど、情報開示のリスクが高くなります。
このリンクもチェックしてください 暗号化と以前の暗号化データの「セキュリティ時間の減衰」
いいえ、これを行うのはかなり受け入れられている習慣です。暗号化された後は、暗号化されたファイルを公開していても害はありません。標準的な予防策をすべて講じていれば：
- 秘密鍵を同じ場所に保存しないでください
- アクセス権を持つユーザーを定期的に監査し、それに応じて削除します
場合によります。それはリスク管理に帰着します。
ペイロードをパブリックドメインに配置することで、暗号化（および/または実装）で発見された欠陥に加えて、暗号化されたデータを総当たりにするテクノロジーが十分に進歩していることに賭けます。
データが時間の経過とともに価値を失う場合、上記のリスクは、得られる利便性と比較して許容できるかもしれませんが、それはあなたが評価する必要があるものです。