À mon avis, tu confonds le fait de signer et le fait d’accorder ta confiance.
Signer indique que tu sais que la clef appartient bien à qui elle prétend appartenir : tu certifies, auprès de tous ceux qui te font confiance, que telle clef et telle identité sont associées. En signant, tu ne dis absolument rien de la confiance à accorder au titulaire de la clef (hors le cas des trust signature, très peu utilisées en pratique).
Si tu n’as pas confiance dans le titulaire de la clef, pour quelque raison que ce soit (tu penses qu’il est laxiste, qu’il utilise sa clef sur une machine vérolée jusqu’à la moelle, que sa phrase de passe est sur un post-it sous l’écran, etc.), ben... tu dis explicitement à GnuPG que tu ne lui fais pas confiance (ownertrust = never). Les certifications émises par cette clef seront alors systématiquement ignorées, et le laxisme du titulaire n’aura pas de conséquence sur ta toile de confiance.
[^] # Re: Utilité des sous-clés
Posté par gouttegd . En réponse au journal De la gestion des clefs OpenPGP. Évalué à 3.
À mon avis, tu confonds le fait de signer et le fait d’accorder ta confiance.
Signer indique que tu sais que la clef appartient bien à qui elle prétend appartenir : tu certifies, auprès de tous ceux qui te font confiance, que telle clef et telle identité sont associées. En signant, tu ne dis absolument rien de la confiance à accorder au titulaire de la clef (hors le cas des trust signature, très peu utilisées en pratique).
Si tu n’as pas confiance dans le titulaire de la clef, pour quelque raison que ce soit (tu penses qu’il est laxiste, qu’il utilise sa clef sur une machine vérolée jusqu’à la moelle, que sa phrase de passe est sur un post-it sous l’écran, etc.), ben... tu dis explicitement à GnuPG que tu ne lui fais pas confiance (ownertrust = never). Les certifications émises par cette clef seront alors systématiquement ignorées, et le laxisme du titulaire n’aura pas de conséquence sur ta toile de confiance.