Una subkey è una chiave GPG secondaria associata a un'identità primaria. La chiave principale stabilisce l'identità del proprietario, mentre la subkey gestisce un compito più ristretto come la firma delle release, la cifratura dei dati o l'autenticazione di un servizio. Questa separazione limita i danni se una chiave viene esposta.
Nelle supply chain del software, le subkey per la firma delle release sono particolarmente importanti perché dimostrano che un installer o un archivio proviene dal publisher attendibile e non è stato modificato. Se una subkey viene copiata nel posto sbagliato, memorizzata senza cifratura o sospettata di esposizione, i difensori possono revocarla e passare a una nuova senza sostituire l'intera identità. Gli attaccanti possono prendere di mira le subkey perché vengono usate operativamente più spesso della chiave primaria, mentre i difensori le proteggono con cifratura, accesso limitato, archiviazione hardware e controlli di audit.