Si t’as une meilleure idée qu’un tiers de confiance, je suis tout ouïe.
J’ai effectivement dû mal m’exprimer.
PGP ne supprime pas la nécessité d’un tiers de confiance, mais ce tiers est une toile (soit des tiers de confiance) et la confiance que l’on accorde à chacun est pondérée et à la discrétion de l’utilisateur, là où le système de CA n’est qu’une liste de toiles à un fil qui obligent à faire confiance à chaque tiers au bout de chaque fil. Il faut donc identifier chaque tiers individuellement, ce que personne ne fait et préfère considérer que la liste de CA qu’il a récupérée en HTTP avec son Firefox vérolé sur télécharger.com est fiable. PGP permet juste de de ne choisir de faire confiance que si un chemin de confiance — qui peut s’établir uniquement via des échanges de clés sûrs (physiques présentiels) — nous lie au signataire de la ressource à authentifier.
Le système de toile a pour seul défaut (encore majeur pour le moment, je l’admets volontiers) son manque d’utilisateurs à portée des Michu pour établir les premiers fils vers la toile, défaut qui doit beaucoup au peu de support proposé par les gros acteurs du Web. Mais à l’inverse, établir une mini-toile avec des potes ou un client que l’on a l’occasion de rencontrer au moins une fois physiquement, c’est très facile et bien plus sûr que le système des CAs pour lequel on a rarement l’occasion de visiter les bureaux de Verisign avec une clé USB pour récupérer leur empreinte.
[^] # Re: Mélange
Posté par jyes . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 7.
J’ai effectivement dû mal m’exprimer.
PGP ne supprime pas la nécessité d’un tiers de confiance, mais ce tiers est une toile (soit des tiers de confiance) et la confiance que l’on accorde à chacun est pondérée et à la discrétion de l’utilisateur, là où le système de CA n’est qu’une liste de toiles à un fil qui obligent à faire confiance à chaque tiers au bout de chaque fil. Il faut donc identifier chaque tiers individuellement, ce que personne ne fait et préfère considérer que la liste de CA qu’il a récupérée en HTTP avec son Firefox vérolé sur télécharger.com est fiable. PGP permet juste de de ne choisir de faire confiance que si un chemin de confiance — qui peut s’établir uniquement via des échanges de clés sûrs (physiques présentiels) — nous lie au signataire de la ressource à authentifier.
Le système de toile a pour seul défaut (encore majeur pour le moment, je l’admets volontiers) son manque d’utilisateurs à portée des Michu pour établir les premiers fils vers la toile, défaut qui doit beaucoup au peu de support proposé par les gros acteurs du Web. Mais à l’inverse, établir une mini-toile avec des potes ou un client que l’on a l’occasion de rencontrer au moins une fois physiquement, c’est très facile et bien plus sûr que le système des CAs pour lequel on a rarement l’occasion de visiter les bureaux de Verisign avec une clé USB pour récupérer leur empreinte.