النسخ الاحتياطي لمفاتيح PGP بأمان

إذا فقدت مفتاحك الخاص، كل رسالة شُفرت بمفتاحك العام تصبح غير قابلة للاسترداد. لا يوجد "نسيت كلمة المرور". لا يوجد دعم عملاء. مفاتيح PGP بطبيعتها ذاتية السيادة — أنت المسؤول الوحيد.

هذا يجعل النسخ الاحتياطي إلزامياً. إليك ثلاث استراتيجيات متدرجة الصرامة. معظم الناس يجب أن يستخدموا الاستراتيجية 1 على الأقل.

الاستراتيجية 1 — تخزين مشفر غير متصل

انسخ ملف المفتاح الخاص (.asc) إلى محرك USB. شفّر المحرك بالكامل (BitLocker، LUKS، أو VeraCrypt). خزّنه في مكان آمن فعلياً — درج مقفل، خزنة مقاومة للحريق. هذا يحمي من فشل القرص الصلب، سرقة الحاسوب، وخلل نظام التشغيل.

ملف .asc نفسه محمي أيضاً بعبارة المرور. لذا حتى لو تم نسخ USB، يحتاج المهاجم عبارة المرور لفتح المفتاح. طبقة فوق طبقة.

الاستراتيجية 2 — النسخة الورقية

اطبع ملف .asc المدرع على ورق. خزّنه في خزنة مقاومة للحريق أو غلّفه بالبلاستيك وأغلقه في مظروف مقاوم للعبث. الورق لا يتلف إلكترونياً، لا يُخترق عن بعد، ويعيش بعد موت جميع أجهزتك الرقمية. أدوات مثل paperkey تصنع نسخاً ورقية كرموز QR يمكن مسحها لاحقاً.

النسخة الورقية محمية أيضاً بعبارة المرور. ملف .asc مشفر بعبارة مرورك، لذا حتى السرقة الفعلية لا تعطي وصولاً مباشراً.

الاستراتيجية 3 — تقسيم شامير

للمفاتيح عالية القيمة، استخدم أداة "تقسيم المفتاح" لتقسيم المفتاح إلى N جزء بنظام K من N للاسترداد. وزّعها بين أشخاص موثوقين أو في أماكن جغرافية متفرقة. جزء واحد وحده لا يكشف شيئاً. تحتاج K أجزاء للاسترداد. هذه مقايضة — أصعب للاسترداد، لكن تسريب جزء واحد لا يضر.

مفيد للمفاتيح قليلة الاستخدام — مفتاح توقيع مؤسسي، خطة توريث، مفتاح رئيسي لمنظمة. أقل فائدة لمفتاح يومي.

شهادة الإبطال

عند إنشاء مفتاح، أنشئ فوراً شهادة إبطال وخزّنها بشكل منفصل عن المفتاح نفسه. إذا تم اختراق المفتاح الخاص يوماً، نشر الإبطال يخبر العالم: "توقفوا عن التشفير بهذا المفتاح". بدون شهادة إبطال لا توجد طريقة لإلغاء مفتاح مسروق.

أداة "إنشاء المفاتيح" تصدر شهادة الإبطال مع المفتاح. احفظها على وسائط مختلفة — USB آخر، ورقة أخرى، خزنة أخرى. قد تحتاجها مرة واحدة فقط، لكن عندما تحتاجها — ستحتاجها حقاً.

قائمة تحقق النظافة

• نسختان احتياطيتان على الأقل في مكانين فعليين مختلفين.
• كل نسخة مشفرة — إما بعبارة مرور ملف .asc أو بتشفير كامل للوسيط.
• شهادة الإبطال مخزنة منفصلة عن المفتاح الخاص.
• اختبر الاسترداد مرة سنوياً — جرب استعادة نسخة على جهاز نظيف. النسخ غير المختبرة غالباً لا تعمل.
• حدّث النسخ عند إضافة مفتاح فرعي أو تمديد الصلاحية أو تغيير عبارة المرور.