补充:此 pgp 证书仅用于验证提交 commit 人的身份, 不做其他用途.
如果入侵者都已经有 pgp 私钥访问权了, 那么有没有 passpharse 是不是没有任何区别了?(因为它都有开发机的控制权了,监听一下 passpharse 录入不是很简单).
1
baobao1270 2023-03-01 19:21:52 +08:00
感觉个人使用的话足够了,公司的话应该有专门的安全团队吧
而且 passphrase 也不能视作有效的加密方式,如果私钥泄露,那么不管有没有 passpharse 都是应该更换私钥的 对于 Linux/macOS 的话,侵入非 root 用户和侵入 root 用户是不一样的,侵入非 root 用户「有可能」只能读取私钥、但是无法监听键盘(但是无法 100%确定) 我是把私钥放在 YubiKey 里,并且设置了长达一周的密码过期时间,也就是只要开机后第一次使用时输入密码,之后就不需要输入了,当然有硬件密钥的话黑客也读不到私钥了 |
2
AoEiuV020CN 2023-03-01 19:33:36 +08:00 via Android
我没加密,感觉自己不配被入侵,
还是方便一点更重要, |
3
billlee 2023-03-01 19:43:42 +08:00 via Android
加 passpharse 是 data at rest 加密,保护电脑丢失 /被盗,黑客潜入公司大楼这些物理安全。
|