Pour ceux qui l'auront remarqué, le code de la carte "Open"PGP n'est pas libre.
L'alternative est de faire la même chose, mais via une applet Java sur une JavaCard donc. (La JavaCard fournit le stockage, et les routines cryptographiques).
Le gros avantage c'est de pouvoir stocker plusieurs applications par carte (PKCS, Bitcoin wallet, ...) et de pouvoir mettre a jour le tout.
Il faut par contre ne pas oublier de configurer une clé maître pour manipuler les applets sur la JavaCard sinon un accès total est possible et la sécurité de l'Applet inexistante. Avec un mauvais PIN admin OpenPGP c'est uniquement elle qui se verrouille, pas la carte. Il est toutefois possible de "flinguer" aussi une Javacard en tentant de la manipuler avec une mauvaise clé maître, comme une OpenPGP card avec un mauvais PIN admin.
Dans tous les cas, le code de la puce n'est jamais libre. Les backdoors peuvent exister, JavaCard ou pas, pour lire la mémoire en brut.
# Alternatives à la OpenPGP: La JavaCard
Posté par fcartegnie . En réponse à la dépêche "OpenPGP card", une application cryptographique pour carte à puce. Évalué à 6.
Pour ceux qui l'auront remarqué, le code de la carte "Open"PGP n'est pas libre.
L'alternative est de faire la même chose, mais via une applet Java sur une JavaCard donc. (La JavaCard fournit le stockage, et les routines cryptographiques).
Le gros avantage c'est de pouvoir stocker plusieurs applications par carte (PKCS, Bitcoin wallet, ...) et de pouvoir mettre a jour le tout.
https://subgraph.com/sgos/documentation/smartcards/index.en.html
https://github.com/FluffyKaon/OpenPGP-Card
Liste des Javacards testées et leur crypto
Par Exemple:
- La YubiKey Neo (sauf qu'on est pas maître des applets à charger sans avoir une version de dev et signer un NDA... matos proprio :/)
- Une NXP J3D081 80K. C'est en fait ce qui sert de base à la Yubikey.
Il faut par contre ne pas oublier de configurer une clé maître pour manipuler les applets sur la JavaCard sinon un accès total est possible et la sécurité de l'Applet inexistante. Avec un mauvais PIN admin OpenPGP c'est uniquement elle qui se verrouille, pas la carte. Il est toutefois possible de "flinguer" aussi une Javacard en tentant de la manipuler avec une mauvaise clé maître, comme une OpenPGP card avec un mauvais PIN admin.
Dans tous les cas, le code de la puce n'est jamais libre. Les backdoors peuvent exister, JavaCard ou pas, pour lire la mémoire en brut.