Como gerar o certificado de revogação depois de ser revogado com o GnuPG

Eu li a pergunta / resposta " Como o comando` --desig-revoke` do GnuPG deve ser usado? "', Então agora eu sei quando usar o --desig-revoke.

Portanto, tenho duas chaves privadas diferentes - uma no trabalho (WORKWORK) e outra em casa (HOMEHOME). Ao me preparar para o pior (na economia de hoje, não é uma má idéia), quero poder revogar meu ID de trabalho de casa.

Eu esperava poder usar o conhecimento adquirido para poder configurá-lo. No trabalho, usei o addrevoker (o equivalente interno de --desig-revoke, porque meu gpg --help não mostrava --desig-revoke como uma opção), sem o argumento sensível, para tornar minha chave de casa capaz de gerar um certificado de revogação para minha chave de trabalho. Exportei minha chave pública no trabalho e a importei em casa.

Após a importação, vejo:

cmd.exe> gpg --list-keys
path/to/pubring.gpg
------------------------------------------------
pub   4096R/HOMEHOME 2010-12-11
uid       [ultimate] PryrtCJ <PryrtCJ@home>
sub   4096R/________ 2010-12-11
sub   4096R/________ 2014-11-22 [expires: 2015-12-31]
sub   4096R/________ 2014-11-22 [expires: 2015-12-31]

pub   4096R/WORKWORK 2010-12-15
uid       [  full  ] PryrtCJ <PryrtCJ@work>
sub   4096R/________ 2010-12-15

E para verificar os resultados do addrevoke que se propagam para casa:

cmd.exe> gpg --edit-key WORKWORK
gpg (GnuPG) 2.0.26; Copyright (C) 2013 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.


This key may be revoked by RSA key HOMEHOME PryrtCJ@home
pub  4096R/WORKWORK  created: 2010-12-15  expires: never       usage: SC
                     trust: full          validity: full
sub  4096R/________  created: 2010-12-15  expires: never       usage: E
[  full  ] (1). PryrtCJ <PryrtCJ@work>

Então, obviamente, tenho permissão para revogar minha chave de trabalho. Mas quando tento, tudo o que recebo é este erro:

cmd.exe> gpg --output revoke-WORKWORK.asc --gen-revoke WORKWORK
gpg: secret key "WORKWORK" not found: Unknown system error

Então, como realmente gero um certificado de revogação usando minha permissão recém-concedida?

Não use --gen-revoke, mas --desig-revokesim. De man gpg:

--desig-revoke name
       Generate a designated revocation certificate for a key. This allows a
       user (with the permission of the keyholder) to revoke someone else's key.

O GnuPG perguntará se você deseja criar um certificado de revogação para essa outra chave, por exemplo, revogar 0xdeadbeefcom uma chave que você está usando:

$ gpg --desig-revoke 0xDEADBEEF

pub  1024R/DEADBEEF 2015-02-25 Alice

To be revoked by:

sec  2048R/E6F0D5F6 2015-02-25 Bob

Create a designated revocation certificate for this key? (y/N)

[...]

--desig-revoke emitirá o certificado de revogação blindada ascii.