nghttp2项目1.60.0版本GPG签名密钥变更说明

近日，nghttp2项目发布了1.60.0版本，细心的用户可能注意到该版本的GPG签名与以往有所不同。作为HTTP/2协议的高效实现库，nghttp2一直保持着严谨的发布流程，此次签名变更背后有其技术背景。

密钥变更详情

在1.60.0版本发布过程中，项目维护者Tatsuhiro Tsujikawa使用了新的RSA 4096位子密钥进行签名，替代了原先的DSA 1024位主密钥。密钥标识信息如下：

pub   dsa1024/7E8403D5D673C366 2009-02-21 [SC]
      F4F3B91474D1EB29889BD0EF7E8403D5D673C366
uid                 [ unknown] Tatsuhiro Tsujikawa <[e-mail]>
sub   rsa4096/5339A2BE82E07DEC 2024-02-20 [S]

技术背景

1. 密钥强度升级：新采用的RSA 4096位密钥相比原有的DSA 1024位密钥具有更高的安全性。DSA算法在现代安全标准下已显不足，而RSA 4096位目前仍是行业推荐的标准。

2. 自动签名机制：此次变更可能是由发布工具自动选择更强的子密钥导致，这体现了现代工具对安全性的自动优化。

3. 密钥管理实践：项目维护者采用了主密钥+子密钥的模式，这是GPG密钥管理的最佳实践。主密钥可以保持长期不变，而子密钥可以定期轮换，既保证了连续性又提高了安全性。

验证建议

对于需要验证发布包完整性的用户，建议：

1. 从可信密钥服务器获取维护者的完整密钥链
2. 特别注意新子密钥的创建时间（2024-02-20）和用途标记[S]（表示签名专用）
3. 完整的信任链验证可以确保新密钥确实属于项目维护者

项目发布规范

虽然此次变更未在发布说明中特别提及，但符合开源项目的安全实践。建议用户在遇到类似签名变更时：

1. 通过官方渠道确认变更信息
2. 理解密钥轮换是正常的安全维护行为
3. 建立完善的项目发布验证流程

nghttp2作为重要的网络基础库，此次密钥升级体现了项目对安全性的持续关注，用户可放心使用1.60.0版本。