GPG初心者：sks-keyservers.netを信頼するかどうかを判断する方法
https://riseup.net/de/security/message-security/openpgp/best-practices でGPGの事前チュートリアルを読んでいます。 Firefoxのsks-keyservers.netにある.pemファイルへのリンクをクリックすると、これを新しい認証局として信頼するかどうかを尋ねるウィンドウが開きます。
Q1：このCAの証明書を検査するためのウィンドウが表示されます。
Could not verify this certificate because the issuer is unknown.
CAよりも上位の階層レベルにいる人は他にいないので、「もちろん」と言えますか？または、中央機関が1つしかないピラミッドとしての認証のメンタルモデルが間違っていますか？
Q2：疑問がある場合はどうすればよいですか？ IMO sks-keyserver.netは、GPG信頼ネットワークのまさに母のように見えます-なぜそれがMozillaにプリインストールされていないのですか？
Q3：GPGを使用する場合、アクティブなCAは常に1つだけですか？手動で切り替える必要がありますか？
CAよりも上位の階層レベルにいる人は他にいないので、「もちろん」と言えますか？
いいえ、もちろん違います。それが唯一の問題である場合、Firefoxは質問すらしません–証明書はすでにそれがCAであることを示しています。代わりに、それがあなたに尋ねているのは：
この特定のCAがCAであると信頼しますか？誰でも独自の認証局を作ることができます-これは彼らがそれで良い仕事をするという意味ではありません。 （多くの大規模で「信頼できる」CAが機能しなくなっています。）SKSプールオペレーターが誤った証明書を発行せず、CAキーが盗まれるのを防ぐことを信頼していますか？
このCAの正しい証明書を取得しましたか？誰でも任意の名前で独自の証明書を作成できます。信頼できるものとしてマークする場合は、見た目がわかるように、安価な模造品「SKS CA」ではなく、本物の「SKSCA」であることを確認することをお勧めします。 'fingerprint'値を除いて同じです。 Yoこれを検証する必要があります。これは、ルートCAを検証する上位のCAが実際に存在しないためです。
（基本的に、このダイアログボックスが表示されるのは、システムに関する限り、すべてのCAよりも高い階層レベルにいるためです。）
または、中央の権限が1つしかないピラミッドとしての認証のメンタルモデルが間違っていますか？
それwas 1990年代にS/MIME（およびその後のHTTPS）に使用される元のモデルであり、RSADSIが中央の権限です。しかし、独占は長くは続かず、最終的にはいくつかの競合する認証局のリストになりました。 （現在は「WebPKI」システムとして知られており、再販業者を数えない数十のCAがあります。）
さらに重要なことに、これはPGPの正反対です。 no PGP鍵の中央機関があります–元々は「信頼の網」であることが意図されていました。 インストールしようとしているCAは、PGP鍵の検証では何の役割も果たしません。
代わりに、いくつかのPGP鍵を自分で確認することから始め（友人など）、それらの人々を権限としてマークすることができます。全員を検証するCAの事前定義されたリストはありません。
IMO sks-keyserver.netは、GPG信頼ネットワークのまさに母のように見えます-なぜそれがMozillaにプリインストールされていないのですか？
1つは、前述のように、SKSCAはPGP信頼ネットワークとは何の関係もありません。人々に証明書を発行するのではなく、キーサーバーにのみ発行します。したがって、HTTPSを介してキーサーバーとプライベートに通信するためにのみ使用されますが、HTTPSを使用するかどうかは、PGPには実際には影響しません。
また、MozillaはPGP信頼ネットワークを一切扱いません。公開Webサイトで使用されるHTTPS（TLS）は完全に分離されており、「WebPKI」信頼ネットワークを使用します。
SKSプールのオペレーターは、WebPKI CAに依存するのではなく、独自のCAを実行することを決定しました。これは、CAシステム全般に対する不信感と、プールが商用CAの使用を困難にする方法で動作しているためだと思います（すべてのプールサーバーは、2つのドメイン名を持つ単一の証明書を使用します）。
SKS CAは特別な目的のために構築されており、一般向けの証明書を発行しないため、とにかくMozillaの信頼リストには適していません。
上記のすべてが最後のポイントにつながります：実際には、この証明書をWebブラウザーにインストールしたり、ブラウザーを介してキーサーバーにアクセスしたりすることを意図していません。もちろん、できますそれらのほとんどがWebインターフェースを提供するので、それを行いますが、キーサーバーは主にGnuPG自体によって使用されることを目的としています。その.crtファイルをダウンロードしてGnuPGで構成することになっています。
これにより、実際に「信頼」する必要がある量が制限されます。Webブラウザーにインストールする必要がないため、毎日のブラウジングに影響を与えることはありません。 GnuPGソフトウェアにのみ影響します。
（そして、SKS CAは実際には、すべての最新のGnuPGバージョンがプリインストールされ、事前構成されています。あなたが読んでいるチュートリアルはどれもかなり時代遅れです。）
Q3：GPGを使用する場合、アクティブなCAは常に1つだけですか？手動で切り替える必要がありますか？
PGPは、コア機能にX.509CAをまったく使用しません。 （SKS CAの唯一の目的は、鍵サーバーとプライベートに通信することです。）PGP鍵は、他のPGP鍵によって検証されるため、設計上、複数の「CA」を使用できます。
キーサーバーHTTPS通信の場合、GnuPGは複数のCAをサポートし、それらはすべて同じファイルにある必要があります。ただし、キーサーバーアドレス自体を変更するまで、それらを変更する必要はありません。
Webブラウザーは、HTTPSにすでに複数のCAを使用しています。