En gros, le principe est de faire valider les certificats par la toile de confiance OpenPGP.
Côté serveur :
L’administrateur du serveur utilise Monkeysphere pour générer, à partir de la clef privée du serveur, un certificat OpenPGP.
Il signe ce certificat avec sa propre clef, et le publie d’une façon ou d’une autre (typiquement dans les serveurs de clefs).
Côté client, lorsqu’un visiteur qui utilise aussi Monkeysphere se connecte au serveur :
Le serveur présente son certificat X.509 habituel.
Le client cherche sur les serveurs de clef un certificat OpenPGP correspondant à ce serveur, et vérifie que les clefs des deux certificats sont identiques.
Le certificat X.509 est considéré valide (et donc, le serveur est authentifié) si le certificat OpenPGP est signé par une personne en qui l’utilisateur a confiance.
Ou alors, il parle du RFC 6091, qui vise au même but mais remplace carrément les certificats X.509 par des certificats OpenPGP, éliminant ainsi la gymnastique de Monkeysphere — mais que seul GnuTLS prend en charge, à ma connaissance.
[^] # Re: Pourquoi je vois les captures, sous Firefox, justement ?
Posté par gouttegd . En réponse à la dépêche Firefox 32. Évalué à 4.
Probablement Monkeysphere.
En gros, le principe est de faire valider les certificats par la toile de confiance OpenPGP.
Côté serveur :
Côté client, lorsqu’un visiteur qui utilise aussi Monkeysphere se connecte au serveur :
Ou alors, il parle du RFC 6091, qui vise au même but mais remplace carrément les certificats X.509 par des certificats OpenPGP, éliminant ainsi la gymnastique de Monkeysphere — mais que seul GnuTLS prend en charge, à ma connaissance.