Door Erik van Straten: De vele fakes op public key servers, en de laatste tijd zoveel "gespamde" signatures op geldige public keys dat gnupg erdoor vastliep of crashte, hebben deze manier van geauthenticeerd signeren en/of decrypten geen goed gedaan. Je moet wel bedenken dat je de keyservers niet hoeft te gebruiken. Je haalt er data "van elders" mee binnen dus strikt genomen is het de taak van GnuPG om zich er niet gek door te laten maken; de keyservers zijn het transport, net als dat een http-server het niet kan schelen of'ie een legitieme pagina of malware opserveert, het zijn bitjes en je vroeg erom. Belangrijker, een groot en onopgelost probleem bij PGP/gpg/Gnupg is de wijze waarop public keys worden uitgewisseld. Iedereen roept dat je altijd via een ander kanaal moet verifiëren dat een public key daadwerkelijk van een gegeven persoon (of evt. organisatie) is, maar in de praktijk doet bijna niemand dat. M.i. vormt dat een onderschat risico. Dat is waarom keysigning parties worden gehouden. Je komt ...