Re: [gentoo-user-fr] [HS] Clé GPG

[xav guerin]

> Tout message codé avec la clé publique ne pourra être que décodé qu'avec
> la clé privé. En conséquence, si  ALice veut envoyer une message crypté
> à BOB, elle cherche la clé publique de BOB (mais comme s'assurer que
> c'est bien la sienne ?) encode le message et envoie à BOB qui avec sa
> clé privé pourra le déchiffrer (comment savoir si BOB  est bien le seul
> à déchiffrer le message??). ceci concerne juste la confidentialité.

C'est bien ça le problème !
Tout le monde peut créer une paire de clé en se faisant passer pour
n'importe qui, et c'est le gros problème des signature électroniques.
Il existe grosso modo deux moyens d'assurer l'identité:
-la transmission de visu (avec vérif de la carte d'identité par ex),
c'est ce qui devrait être fait avec gpg
-l'authentification par une autorité de certification ou un tiers de
confiance. Dans ce cas on déplace le problème mais on réduit
grandement les risques. Ca c'est plutot du domaine de la PKI (version
forte), mais on retrouve une version faible avec le net of trust gpg
ou chacun peut être considréré comme une AC et donc véroler une partie
du réseau.

Donc pour en revenir au premier mail, si tu nous envoies un mail avec
ta clé publique signée avec cette même clé (j'ai pas fait la verif
c'est en partie pour l'exemple), on ne peut pas être sur que c'est toi
qui a envoyé le message  (smtp n'est pas sécurisé donc tu peux usurper
une identité sans problème). Par contre si tu signe avec ton ancienne
et que cette clé est déjà connue du destinataire et n'a pas été
corrompue (i.e.: un être malveillant à trouvé ta clé privée), la on
peut avoir une confiance (non nulle) dans  ta clé. Pour qu'elle
devienne totale il faut un échange "physique".

Moralité, on en revient toujours au problème du bootstrap.

Xav

PS: pour résoudre le problème l'IETF organise des sessions d'echanges
de clés lors des congrès, et a priori c'est la méthode la plus
efficace.
Pour les logiciels libres, ça peut se faire pendant une install party
ou une conf.

-- 
gentoo-user-fr@g.o mailing list