Ganz einfach:

Beim verschlüsseln der Backups vai duplicity frägt selbiges nach dem "Signature Key". Solange man das Backup manuell per Hand startet, ist ja alles in Butter und man gibt das PW direkt beim Backup ein.

Wenn man das ganze "unattended" laufen lassen will, z.B. via Cron musst man zwangsläufig den Passphrase irgendwo "plain" hinterlegen. Da macht es Sinn zwei unterschiedliche Keys für Encrypt und Sign zu nehmen, da man somit nur den Passphrase des Signatures Keys hinterlegt, nicht aber den des Encryption Keys.

Paranoid - aber wirksam