En effet, il faut configurer chaque logiciel et chacun d'une façon différente. Ça serait tellement plus simple s'il existait un système de gestion unique que chaque application interrogerait pour retirer les données dont elle a besoin.
Bah je trouve que pour OpenPGP, on en est déjà à peu près là.
Toutes les applications que je connais qui prennent en charge OpenPGP le font via GnuPG d’une manière ou d’une autre (soit en appelant directement /usr/bin/gpg, soit en passant par la bibliothèque GpgME qui le fait à leur place). Du coup, c’est GnuPG qu joue le rôle du « système de gestion unique » et une fois que GnuPG fonctionne, toutes ces applications en profitent (y compris dans l’utilisation de la carte OpenPGP).
Par exemple, je signe mes tags Git (git tag -s) avec ma carte OpenPGP — et à aucun moment je n’ai eu à configurer Git pour ça, puisqu’il délègue la signature à GnuPG.
Pareil pour Enigmail ou Mutt : une fois GnuPG configuré pour utiliser la carte, il n’y a rien à faire de leur côté.
C’est bien pour ça que la section « Signer ou déchiffrer des messages OpenPGP », qui devrait logiquement être le cœur de la dépêche (c’est quand même ce à quoi la carte est fondamentalement destinée...), est en réalité la partie la plus courte : c’est parce qu’il n’y a rien à dire !
Du côté des certificats X.509, on n’en est pas là, certes. Du moins sous GNU/Linux (il me semble que X.509 est beaucoup mieux intégré sous Windows : notamment, je suis presque sûr qu’il doit exister un dépôt central de certificats pour tout le système, disponible à toutes les applications, au lieu d’un dépôt par application comme c’est le cas par exemple avec Firefox et Thunderbird). GpgSM aurait vocation à changer ça, il appartient maintenant aux applications de s’en servir...
OK mais je la mets où ma clé ? Sous l'oreiller ? Quels sont les bons conseils pour mettre sa clé privée au chaud et de façon pérenne ?
J’ai préféré ne pas aborder ces questions. Elles sont totalement indépendantes de l’utilisation de la carte OpenPGP et la dépêche est déjà bien assez longue comme ça.
Personnellement, j’ai d’une part une sauvegarde au format papier (générée avec paperkey) qui ne sort jamais de chez moi, et d’autre part une sauvegarde électronique, dans une archive chiffrée et dupliquée entre une clef USB que j’ai toujours avec moi, mon téléphone portable et un serveur loin de chez moi.
(L’archive contient également, outre mes clefs OpenPGP, une petite sélection de documents importants — le genre de documents que j’aimerais conserver même si je devais perdre tout le reste, par exemple si mon appartement devait partir en fumée.)
[^] # Re: Mettre ses clés au chaud
Posté par gouttegd . En réponse à la dépêche "OpenPGP card", une application cryptographique pour carte à puce. Évalué à 7.
Bah je trouve que pour OpenPGP, on en est déjà à peu près là.
Toutes les applications que je connais qui prennent en charge OpenPGP le font via GnuPG d’une manière ou d’une autre (soit en appelant directement
/usr/bin/gpg, soit en passant par la bibliothèque GpgME qui le fait à leur place). Du coup, c’est GnuPG qu joue le rôle du « système de gestion unique » et une fois que GnuPG fonctionne, toutes ces applications en profitent (y compris dans l’utilisation de la carte OpenPGP).Par exemple, je signe mes tags Git (
git tag -s) avec ma carte OpenPGP — et à aucun moment je n’ai eu à configurer Git pour ça, puisqu’il délègue la signature à GnuPG.Pareil pour Enigmail ou Mutt : une fois GnuPG configuré pour utiliser la carte, il n’y a rien à faire de leur côté.
C’est bien pour ça que la section « Signer ou déchiffrer des messages OpenPGP », qui devrait logiquement être le cœur de la dépêche (c’est quand même ce à quoi la carte est fondamentalement destinée...), est en réalité la partie la plus courte : c’est parce qu’il n’y a rien à dire !
Du côté des certificats X.509, on n’en est pas là, certes. Du moins sous GNU/Linux (il me semble que X.509 est beaucoup mieux intégré sous Windows : notamment, je suis presque sûr qu’il doit exister un dépôt central de certificats pour tout le système, disponible à toutes les applications, au lieu d’un dépôt par application comme c’est le cas par exemple avec Firefox et Thunderbird). GpgSM aurait vocation à changer ça, il appartient maintenant aux applications de s’en servir...
J’ai préféré ne pas aborder ces questions. Elles sont totalement indépendantes de l’utilisation de la carte OpenPGP et la dépêche est déjà bien assez longue comme ça.
Personnellement, j’ai d’une part une sauvegarde au format papier (générée avec paperkey) qui ne sort jamais de chez moi, et d’autre part une sauvegarde électronique, dans une archive chiffrée et dupliquée entre une clef USB que j’ai toujours avec moi, mon téléphone portable et un serveur loin de chez moi.
(L’archive contient également, outre mes clefs OpenPGP, une petite sélection de documents importants — le genre de documents que j’aimerais conserver même si je devais perdre tout le reste, par exemple si mon appartement devait partir en fumée.)