Una volta generata la chiave principale, si possono generare delle sottochiavi (chiavi secondaria). Se la chiave principale non permette la crittazione, allora si genera una sottochiave che lo consente. Alle sottochiavi possono essere assegnate scadenze diverse da quella della chiave principale. Ad esempio, di default viene generata la chiave principale DSA e quella secondaria El-Gamal.