Переключение ключей в GnuPG без потери зашифрованных файлов

Question

У меня есть 10-летний ключ GnuPG, это 1024-битный DSA. Я не использую его много для подписания электронных писем, но я использую это много для шифрования файлов.

Я хотел бы (я полагаю) отозвать этот ключ и создать новый 4096- или 8192-битный ключ RSA. Однако мне нужно убедиться, что я не потеряю ни один из файлов, которые в данный момент зашифрованы моим старым ключом. Я предполагаю, что это означает, что у меня все еще будет копия моего старого закрытого ключа, как-то помеченного как "отозванный", чтобы он не использовался ни для чего нового, и новый закрытый ключ с тем же полным именем и адресом электронной почты, который будет использоваться по умолчанию для шифрования файлов в будущем.

Это безопасный, стандартный и поддерживаемый план? Есть ли что-то, что мне нужно знать, прежде чем смело заряжать вперед (кроме "иметь пару хороших резервных копий")?

Answer 1

Отзыв не мешает вам использовать его для расшифровки, но отключит его для подписи, если не применяет его в любом случае. То же самое относится и к другим, которые хотят зашифровать файлы для вас. Отзыв не уничтожает закрытый ключ в каком-либо смысле, а просто добавляет подпись отзыва (своего рода аннотация к ключу), чтобы больше не использовать его, включая причину, если вы добавляете один (например, ключ заменяется).

Прежде чем отзывать свой ключ, рассмотрите возможность добавления подписи для вновь созданного ключа, как подсказку для других, кому вы переключили ключи.