Зашифрованные файлы, хранящиеся рядом с ключом GPG в резервной копии — альтернативное решение?

Во время недавнего тестового запуска, чтобы убедиться, что мои личные резервные копии работают должным образом, я заметил, что храню свой ключ GPG рядом с файлами, зашифрованными с помощью этого ключа на том же диске. Хотя диск зашифрован (LUKS) и у ключа есть надежная парольная фраза, это выглядит немного неубедительно.

Хотя наличие второго диска только для ключа может улучшить ситуацию, это также кажется излишним. Поэтому я ищу более прагматичное решение. Я подумал о том, чтобы поместить ключ в отдельный раздел, который зашифрован отдельно (конечно, с другим паролем), но я не уверен, что это хорошая идея.

1. Считается ли плохой практикой хранить ключ и зашифрованные файлы рядом друг с другом?
2. Будет ли отдельный раздел значительно улучшать безопасность? В конце концов, это все тот же диск.
3. Есть ли альтернативы этой дилемме?

На самом деле ключевой файл не что иное, как этакий "суперпароль", так что если в свою очередь он имеет достаточно длинный пароль, особых рисков не вижу. Подчеркиваю достаточно долго: для расширения пространства как словаря, так и перебора гораздо важнее иметь много символов, а не более крупный алфавит

1. Считается ли плохой практикой хранить ключ и зашифрованные файлы рядом друг с другом? На самом деле, да

2. Будет ли отдельный раздел значительно улучшать безопасность? На самом деле нет

3. Есть ли альтернативы этой дилемме? В некоторых крайних случаях используются USB-токены, которые физически извлекаются и вставляются при необходимости, иногда со вторым уровнем доступа (например, контейнер TrueCrypt/VeraCrypt и т. д.).

Но я предлагаю, более тривиально, «длинный длинный» и надежный пароль и хороший симметричный шифр для резервных копий.

Считается ли плохой практикой хранить ключи и зашифрованные файлы рядом с друг другу?

Да, не идеально ставить ключ там же, где и шифрованный текст. Например, возможно, файлы в открытых контейнерах LUKS архивируются и загружаются в ту же учетную запись хранения объектов, что и резервная копия на основе файлов. Злоумышленник, обращающий внимание, возьмет закрытый ключ и попытается расшифровать его.

Отдельный том LUKS может быть более безопасным в той мере, в какой он делает обычный текст менее доступным. Только открытие тома на время, пока вы выполняете операции GPG, уменьшает воздействие.

В реальном мире необходимы практические компромиссы. На диске ключи просты в использовании. Ключ, защищенный парольной фразой, замедляет его использование злоумышленником, но это лишь вопрос времени. Если будет получена копия закрытого ключа GPG, считайте ее скомпрометированной. Подумайте о смене ключей.

Есть ли альтернативы этой дилемме?

В идеале не храните закрытый ключ в онлайн-хранилище. Используйте аппаратный токен смарт-карты для закрытого ключа, YubiKey или аналогичный. Храните холодные резервные копии на крошечных устройствах хранения или бумажных ключах и размещайте их в безопасном автономном месте, например, в хранилище для обеспечения непрерывности бизнеса. Чрезвычайные меры, но секреты особенные, поскольку они открывают другие данные.