Una chiave di firma GPG è una chiave crittografica usata per creare firme digitali su artefatti software come archivi di rilascio, file di pacchetto e metadati di aggiornamento. Queste firme consentono agli utenti, ai gestori di pacchetti e ai sistemi di automazione di verificare che un file provenga davvero dall'editore previsto e non sia stato modificato da quando è stato firmato.
Nella sicurezza informatica, le chiavi di firma sono fondamentali per la fiducia nella supply chain del software. Gli aggressori possono tentare di rubare una chiave, abusare di una sottochiave esposta o sostituire file firmati con versioni non firmate o falsificate. I difensori proteggono le chiavi di firma con token hardware, controlli di accesso, rotazione delle chiavi e procedure di revoca. Se una chiave viene esposta o gestita in modo improprio, la sua revoca impedisce ai verificatori di fidarsi delle firme precedenti, mentre una nuova chiave ristabilisce l'integrità per le versioni future. Poiché una chiave di firma può convalidare molti download contemporaneamente, la sua compromissione può avere un impatto molto più ampio rispetto al furto di una singola credenziale.