En gros, l'auteur explique que le serveur Hagrid de keys.openpgp.org ne résoud pas tout à fait le problème puisque son approche consiste à ne pas supporter les signatures tierces (pour le moment), mettant à mal la toile de confiance (Web of Trust).
Effectivement, ce sont des problèmes qu'il faudra adresser dans le développement de Hagrid, qui est loin d'être complet en terme de fonctionnalités (il s'agit à la base d'un simple proof-of-concept).
La RFC "Abuse-resistant OpenPGP Keystores" propose dans son chapitre 6 ("Attestation par le serveur de signatures tierces") que le serveur de clés devrait authentifier les tiers signant une clé.
Daniel Lange, lui, propose en commentaire une solution potentiellement plus simple (et à mon sens radicalement plus efficace) :
[Ce problème] est mieux résolu en requérant une réciprocité de signature de clés.
En gros, traiter le processus de signature de clé comme un processus bidirectionnel et non comme une attestation (unidirectionnelle) établie par une tierce personne.
Avec une telle implémentation, il faudrait l'accord explicite d'une personne pour pouvoir signer sa clé (ou en tout cas publier la signature sur un serveur de clés). Si ça n'est pas possible/souhaitable dans 100% des cas de figure, cela correspond à l'usage que font les humainEs de OpenPGP. Qu'en pensez-vous ?
[^] # Re: Un vrai problème
Posté par cmal . En réponse au journal Quelqu'un est en train de spammer les serveurs SKS. Évalué à 3.
Cet article sur le blog de mgorny est excellent.
En gros, l'auteur explique que le serveur Hagrid de keys.openpgp.org ne résoud pas tout à fait le problème puisque son approche consiste à ne pas supporter les signatures tierces (pour le moment), mettant à mal la toile de confiance (Web of Trust).
Effectivement, ce sont des problèmes qu'il faudra adresser dans le développement de Hagrid, qui est loin d'être complet en terme de fonctionnalités (il s'agit à la base d'un simple proof-of-concept).
La RFC "Abuse-resistant OpenPGP Keystores" propose dans son chapitre 6 ("Attestation par le serveur de signatures tierces") que le serveur de clés devrait authentifier les tiers signant une clé.
Daniel Lange, lui, propose en commentaire une solution potentiellement plus simple (et à mon sens radicalement plus efficace) :
En gros, traiter le processus de signature de clé comme un processus bidirectionnel et non comme une attestation (unidirectionnelle) établie par une tierce personne.
Avec une telle implémentation, il faudrait l'accord explicite d'une personne pour pouvoir signer sa clé (ou en tout cas publier la signature sur un serveur de clés). Si ça n'est pas possible/souhaitable dans 100% des cas de figure, cela correspond à l'usage que font les humainEs de OpenPGP. Qu'en pensez-vous ?