3 就是一定要生成吊销证书的原因
对前两点我的观点和你恰恰相反，WoT 的要点就在于整个信任网络应该公开并且贴得到处都是，这样其他人才能从够多的来源获取你的公钥并且验证其未被篡改，隐私信息不要写到 uid 里面，因为这东西从设计上就是公开的
所以我们看到有很多 key server 互相同步数据，和所谓 Strong Set 的概念存在
除非有足够安全的线下交换公钥的手段，一个想给某人发消息的人要如何保证自己获取到的公钥真的是那个人的呢？邮件可以伪造、网页可以劫持，聊天也可能被盗号
攻击者不费吹灰之力就能生成一个 uid 列表完全一样的 key 出来，多费点算力甚至能碰撞（至少一部分）指纹，在没有其他信息的情况下要怎么验证拿到手上的 key 真的是他想要通信的对方持有的呢？
WoT 就是通过整个网络上的信任关系来给一个对客户端陌生的 key 背书的。换句话说，线下 key signing 活动本身就是一种较为安全可靠的公钥交换手段，WoT 是大量这样的线下公钥交换行为通过签名而在线上留下证明的记录的集合，攻击者可以轻易伪造其中个别的 key, 但伪造整个 WoT 中的 key 和上面大量的交叉签名就困难多了
第 1、2 点，关于 Web Of Trust
WOT 理论上是足够安全的，能够证明（通过不安全途径）得到的公钥确实是正确的公钥。但是，为了保护隐私，主动的公开社交关系，这是我不能接受的。
第 3 点，我的意思是：
对于刚开始接触 PGP 的人来说，很可能尝尝鲜，上传到 Key Server，然后就不用了，这会给 key server 带来不必要的负担。
我觉得只有比较熟悉 PGP，确定要使用 Web Of Trust 时，再上传也不迟。
当然，这只是个人想法，类似于公德心的东西。事实上，针对 Key server 的攻击方式有很多种，它们要简单、高效的多。
还有，根据我的使用经验，Web Of Trust 使用的实在是不多啊
Linux 系统软件包签名
信任的密钥是操作系统内置、默认信任的，与 WOT 无关。
手动校验软件包
自己到官网下载公钥、验证指纹，与 WOT 无关。
与他人加密交流
第一，根本没有人陪着一起玩啊
第二，比如这个帖子，都是直接导入公钥的，与 WOT 无关
综上，对比 WOT 的代价，……
唔，其实我觉得 WoT 和社交关系差距有点远…至少我自己交换过签名的人在现实中只有少数几个是经常有来往的，其他更多是一种告诉别人 “我验证过这个人是真的” 这种意思，像很多比较 “原教旨” 一些的 key signing party 其实交换签名的人可能就只有那一面之缘，之后也不会有什么交集，就是大家互相验证下身份确认 key 上声称的那个人确实存在就完了
如果是对于小圈子几个人互相之间的情况，确实可以不上传 key server 或者自己搭建不和其他 server 同步数据的私有 key server, 组成自己的小 WoT, 这样来保护信息不公开
至于新手上传的垃圾数据的问题… 我有一个丢失私钥快十年的 key 还在那挂着…就… 已经看开了（
WoT 属于那种理念很美好，实际上对大众没多少卵用的东西（