Una chiave GPG è una coppia di chiavi crittografiche usata con GNU Privacy Guard per creare e verificare firme digitali e, a volte, per cifrare i dati. Nei flussi di rilascio del software, la chiave privata firma una build o un pacchetto, mentre chiunque può usare la chiave pubblica per controllare che il file provenga davvero dal manutentore previsto e non sia stato alterato.
Nella sicurezza informatica, le chiavi GPG sono importanti perché proteggono la fiducia. Se un attaccante ruba una chiave di firma, potrebbe essere in grado di produrre aggiornamenti dannosi che sembrano legittimi, quindi i difensori trattano l'esposizione come un incidente grave e ruotano rapidamente la chiave. Le chiavi GPG compaiono anche nelle difese della catena di approvvigionamento, nella verifica dei pacchetti, nella sicurezza della posta elettronica e nello scambio sicuro di file, dove i controlli della firma aiutano a rilevare manomissioni, impersonificazione o artefatti falsificati.