Ваш ключ PGP на самом деле содержит больше, чем просто главный ключ (используется для подписи других ключей и ваших собственных подразделов и того, что на самом деле подписано другими пользователями): один подраздел для подписи сообщений (необязательно, обычно это сам главный ключ, но не обязательно ) и один для шифрования контента. Больше информации о Debian Wiki и Руководстве по конфиденциальности GNU.
Так... Вы можете хранить свой мастер-ключ только на защищенном устройстве, что позволит вам обмениваться ключами подписи и шифрования без необходимости проверять и подписывать новые ключи. Сохраняя ваш главный ключ в надежном хранилище, вы можете иметь более жесткую политику ротации ключей, не создавая слишком много работы для других. Кроме того, даже в случае подозрения или подтверждения лукавого секретного материала вы можете отозвать его без особых хлопот.
Я лично использую настройку из двух подразделов (также проверяю этот вопрос), не только для того, чтобы сохранить разумно безопасный мастер-ключ, но и потому, что я использую ключи разных размеров: мастер-ключ имеет 4096 битов, подразделы подписи и шифрования имеют только 3072 бит.
С другой стороны, если среды не сильно перекрываются, было бы лучше использовать совершенно разные ключи PGP, что значительно минимизирует ущерб от любой возможной уязвимости.
Кроме того, вы можете (должны) использовать очень длинные случайные парольные фразы для ключей на наименее защищенных устройствах.
