Por que o GPG / PGP, por padrão, usa chaves diferentes para assinatura / criptografia?

Se você criar uma nova chave GPG, obterá, por padrão, um par de chaves mestres de assinatura e um par de subchaves de criptografia.

pub  2048R/XXXXXXXX  created: 2013-02-09  expires: 2014-02-09  usage: SC  
sec  2048R/XXXXXXXX           2013-02-09 [expires: 2014-02-09]

sub  2048R/ZZZZZZZZ  created: 2013-02-09  expires: 2014-02-09  usage: E
ssb  2048R/ZZZZZZZZ           2013-02-09 [expires: 2014-02-09]  

(Saída combinada de gpg --list-keyse gpg --list-secret-keys)

Também é recomendável não usar sua chave mestra para assinatura regular (de e-mails / dados), mas criar outra subchave somente de assinatura e remover / fazer backup de sua chave mestra em um local seguro e offline, apenas para ser usada para assinatura de chave .

Isso faz sentido, pois a maioria dos terminais de criptografia são laptops / telefones ou outros dispositivos móveis sempre on-line que colocam suas chaves privadas em risco de roubo ou perda. Com uma chave mestra armazenada com segurança, você sempre pode revogar essas subchaves perdidas e nunca perder suas assinaturas de chave.

Portanto, embora a separação da subchave da chave mestra <-> seja clara para mim, não entendo por que há essa ênfase na separação das chaves de assinatura e criptografia (mesmo que sejam as duas subchaves). Alguém pode explicar por que isso é necessário ou pelo menos qual é a vantagem de uma perspectiva prática ou de segurança?

Tecnicamente, é totalmente viável e suportado pelo GnuPG criar uma subchave de assinatura e criptografia.

pub  2048R/YYYYYYYY  created: 2013-08-13  expires: 2014-08-13  usage: SCEA
sub  2048R/VVVVVVVV  created: 2013-08-13  expires: 2014-08-13  usage: SEA 

No Reino Unido, a Lei de Regulamentação de Poderes de Investigação de 2000 diz

49 (9) Um aviso nesta seção não exigirá a divulgação de nenhuma chave que:

a) Destina-se a ser utilizado apenas com o objetivo de gerar assinaturas eletrónicas; e

(b) não foi de fato usado para qualquer outra finalidade.

… O que significa que o governo do Reino Unido pode, em algumas circunstâncias, obrigar você a entregar sua chave de descriptografia (se você é um residente), mas eles não podem se passar por sua chave de assinatura.

Não sei especificamente por que o GPG / PGP faz o que faz, mas uma possível motivação para esse tipo de coisa é a recuperação de desastres. Você pode dar uma cópia da sua chave privada de criptografia a um amigo muito próximo e confiável; portanto, se sua casa for atingida por um meteorito, você ainda poderá ler as mensagens antigas salvas na nuvem. (Da mesma forma, pode ser necessário que você forneça sua chave de criptografia ¹ ao seu chefe, para que ele possa ler seu e-mail depois que você sair.)

Mas não há motivo para alguém ter uma cópia do seu par de chaves de assinatura.
________________
¹  "você pode ser solicitado a fornecer sua chave de criptografia" a alguém - veja a resposta da TEV .

A resposta simples é que quanto mais você usa uma chave, mais informações vazam sobre ela.

Uma chave de assinatura é usada por você para autenticar que você confia em uma chave e por inferência do proprietário, mas o mais importante é que suas comunicações venham de você. Isso é chamado de não repúdio .

Por uma questão de argumento, digamos que usar uma chave 10000 vezes significa que você vaza todas as informações necessárias para alguém reconstruir essa chave. Usar uma chave> 9999 vezes significaria que outra pessoa poderia se passar por você e transmitir sua assinatura confiável à chave ou documento de um terceiro mal, fazendo com que toda a sua rede confiável acreditasse que essa parte é você ou que o documento é seu.

No entanto, se você também estiver criptografando com a mesma chave, o limite será atingido mais rapidamente.

Para evitar esse aborrecimento potencial, é criada uma segunda chave, usada apenas para criptografia / descriptografia, que é usada apenas para criptografar dados como você. Depois que essa chave tiver sido usada 9999 vezes, você poderá expirar essa chave sem perder toda a confiança que você entregou com sua chave de assinatura válida. Você redigita, gera uma nova chave de criptografia e assina com a chave de assinatura para mostrar que essa é uma chave de criptografia confiável que todos podem verificar.

EDITAR:

Ao reler o que escrevi acima e o GNU Privacy Handbook , minha conclusão é que subé uma chave privada e pubdeve ser uma chave pública. @GnP esta resposta:

" The keyword pub identifies the public master signing key, and the keyword sub identifies a public subordinate key."

Se você criar uma nova chave GPG, obterá, por padrão, um par de chaves mestres de assinatura e um par de subchaves de criptografia.

As mensagens podem ser:

• não assinado e não criptografado
• assinado e não criptografado
• não assinado e criptografado
• assinado e criptografado

e há usos para cada um desses casos, dependendo do que você está tentando realizar com assinatura e criptografia.

Se, ao assinar, você estiver estabelecendo identidade / endosso, e ao criptografar, tornar as mensagens privadas, poder criptografar, mas não assinar, permitirá enviar uma mensagem privada que não está necessariamente associada à sua identidade ou endossada por você. Você gostaria de chaves separadas neste caso.