Iedereen, ook crininelen, kunnen een asymmetrisch sleutelpaar genereren, daar bijv. software digitaal mee ondertekenen en de public key uploaden naar een keyserver. Dat een PGP public key (samen met een unieke identifier -vaak een e-mailadres- in een soort certificaat), verder "kaal" of voorzien van waardeloze en misleidende "Web of Trust" signatures (https://en.wikipedia.org/wiki/Web_of_trust), op een keyserver staat, zegt dus helemaal niets. Meestal zal, op z'n minst één, door jou vertrouwde derde partij (TTP), met een minimale betrouwbaarheid, moeten hebben vastgesteld dat de unieke identifier toebehoort aan de entiteit die rechtmatig toegang heeft tot een private key passend bij de betreffende public key, voordat die TTP -middels een digitale handtekening- aangeeft dat een public key en een unieke identifier daadwerkelijk bij elkaar horen. Als die entiteit een mens claimt te zijn en de unieke identifier een e-mailadres is (dat door iedereen kan zijn aangemaakt of kan zijn gehacked) zegt dat nog ...