Pas de chance, l'unique argument présenté dans ce message est faux. Il suppose que GnuPG accorde automatiquement une confiance entière à toutes les clefs identifiées comme valides, ou à la rigueur à toutes les clefs signées avec une indication de signature complète, ce qui n'est pas le cas.
Au contraire donc, GnuPG distingue bien ces deux notions :
la validité d'une clef, c'est à dire le fait qu'elle appartienne bien à la personne indiquée ;
le niveau de confiance que l'utilisateur accorde à cette personne, c'est à dire le fait qu'elle vérifie correctement les identités des gens avant de signer leurs clefs, et donc la valeur à accorder aux certifications qu'elle émet.
Le fonctionnement de GnuPG est donc une itération de deux étapes :
à partir des clefs valide auxquelles l'utilisateur accorde une confiance ultime, entière ou marginale, déterminer les nouvelles clefs valides, c'est à dire signées par au moins une clef à confiance ultime ou entière, ou trois clefs à confiance marginale ;
pour les nouvelles clefs valides, demander à l'utilisateur quelle confiance il accorde à leurs propriétaires : s'il s'agit d'un inconnu, l'utilisateur peut, et doit répondre « je ne sais pas », ce qui revient à lui accorder une confiance nulle.
Lorsqu'on certifie une clef, il est possible d'indiquer dans cette signature le niveau de confiance qu'on accorde à son propriétaire, mais, en tout cas pour GnuPG, il ne s'agit là que d'une information indicative, qu'il ne répercute pas automatiquement dans la base de confiance des utilisateurs. Ou plutôt, pour être plus précis :
si vous certifiez une clef en indiquant dans cette signature une confiance, disons entière, GnuPG ne vous proposera ensuite, comme niveau de confiance accordé à cette clef dans votre propre trousseau, que « entière » et « je ne sais pas » : ça, c'est plutôt cohérent, vous n'êtes pas censés mentir en émettant publiquement des signatures de confiance tout en appliquant quelque chose de différent à votre propre trousseau ;
si vous récupérez une clef signée par quelqu'un à qui vous accordez une confiance entière, et que cette signature précise une confiance, disons entière, GnuPG vous l'affichera si vous demandez la liste des signatures de cette nouvelle clef, mais n'appliquera pas ce niveau de confiance à cette nouvelle clef : comme pour toute nouvelle clef identifiée comme valide, vous devrez préciser librement le niveau de confiance à lui accorder.
[^] # Re: Limites de GPG
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse à la dépêche La plus grande GPG key signing party approche. Évalué à 8.
Pas de chance, l'unique argument présenté dans ce message est faux. Il suppose que GnuPG accorde automatiquement une confiance entière à toutes les clefs identifiées comme valides, ou à la rigueur à toutes les clefs signées avec une indication de signature complète, ce qui n'est pas le cas.
Au contraire donc, GnuPG distingue bien ces deux notions :
Le fonctionnement de GnuPG est donc une itération de deux étapes :
Lorsqu'on certifie une clef, il est possible d'indiquer dans cette signature le niveau de confiance qu'on accorde à son propriétaire, mais, en tout cas pour GnuPG, il ne s'agit là que d'une information indicative, qu'il ne répercute pas automatiquement dans la base de confiance des utilisateurs. Ou plutôt, pour être plus précis :