在中型企业部署PGP的最佳做法是什么？
我的想法是：
这似乎符合我的基本需求，但我想知道有没有其他的考虑？
此外，我不知道在networking上find关键服务器的位置。 如果它位于内部networking上，那么无法访问VPN的远程工作人员将无法访问它。 如果是在互联网上，那么我担心外部人员能够获得员工名单的隐私风险。 是否有可能用密码保护密钥服务器？
使用通用的证书颁发机构将是合理的，特别是如果不止一堆的人会使用OpenPGP。 使用这样的CA并不违背分散的信任networking，它只是信任networking的一小部分有限部分的中央信任点，并且仍然允许绕过CA的信任连接。
你提出的基本概念看起来完全合理。 有些事情我会考虑下面，可能还可以通过其他想法来扩展。
您可以创build您自己的CA，您一定能够信任（您的员工也应该可以这样做）。 如果你想与外部参与者沟通，这些仍然需要信任你的CA.
信任networking中已经有完整的CA。 最重要的可能是CAcert，还有德国的Heise Verlag（但是每个员工都必须前往德国的汉诺威签名 – 这可能不是一个可行的解决scheme）。 另一方面，CAcert提供了组织保证，并允许您轻松创buildX.509和OpenPGP证书。 CAcert拥有集成度最高的OpenPGP密钥之一 ，很可能受到许多OpenPGP用户的信任，可能值得用作CA.
内部密钥服务器（位于VPN /防火墙/ NAT之后）将无法从外部访问，因此“陌生人”无法查询。 如果只在内部使用OpenPGP，这可能是有趣的，但是如果客户和其他利益相关者也应该能够私下与员工进行沟通，那么无论如何你都应该把它们放到互联网上。 这可以通过将您自己的密钥服务器暴露给互联网并find其他人同步或直接依靠已经可用的密钥服务器来实现。
无论如何要考虑的是， 要防止密钥上传到其他密钥服务器是很困难的 。 有些客户端收到密钥（有意或无意上传）？有些员工configuration错误，并使用外部密钥服务器而不是本地密钥服务器，例如，当他想查询其他密钥？
关于这些风险及其可能性，讨论密码保护您的密钥服务器似乎不是主要问题。 我不认为协议支持，但它们是基于HTTP，也许HTTPauthentication的作品？）。 把密钥服务器放在VPN后面，如果你想保持私密性的话，这可能是最好的解决scheme。
公开宣布OpenPGP的使用可能也是有趣的，因为它是一种严肃的安全和隐私的广告，并增加 （未来）客户在贵公司的信任 。
如果您希望能够撤销员工的OpenPGP密钥（例如在冲突离开后），请查看OpenPGP创build撤销密钥绑定签名的可能性 。 如果员工的密钥使用这个签名来表示CA的主密钥，则这个密钥可以撤销另一个的密钥。 虽然：我不知道该function是多么广泛的实施。
另外，在密钥创build时已经收集了撤销证书 ，并集中存储 – 那么撤销date是固定的，但至less你有一条逃生路线。
您也可能希望将签名过期 （通常不被使用，但被广泛实现的function）设置为将来不太远的某个date，例如。 一个月。 自动签署员工的密钥很容易，如果有人离开公司，他的密钥很快就会过期。 如果通知提前到达，您甚至可以在退出之前及时停止签名。
如果你对员工的计算机进行了中央pipe理，可以考虑定期更新关键商店。 员工可能会意识到如果他们错过了一个新密钥的信息，但他们不会意识到更新的情况下，密钥服务器…考虑使用一个简单的cron工作或类似的方法来更新密钥存储上一个例如 每日基地。