Pour ceux qui vont signer des clefs sur simple presentation de la carte d'identite, je vais vous poser une question: pourquoi avez-vous besoin de la carte d'identite ?
J'explique ma question a l'aide d'un exemple. Imaginons que vous rencontrez Jean Dupont, qui participe au developpement du celebre logiciel machintruc. Vous echangez vos clefs en vous montrant vos cartes d'identite respectives.
Et un jour, vous avez besoin de communiquer avec cette personne qui vous a dit participer au celebre logiciel machintruc. Et la personne vous raconte n'importe quoi, mais signe avec la clef que vous avez signe.
Bah oui, vous avez bien signe la clef de Jean Dupont, mais vous etes-vous assure que Jean Dupont etait bien la personne que vous pensiez, a savoir un developpeur actif dans le celebre logiciel machintruc ? Vous vous etes en fait assure de signer la clef du porteur de la carte d'identite de Jean Dupont, rien de plus !
Voici un autre exemple, a l'envers. Vous recuperez un logiciel depuis une source sure. Il contient une clef, que vous associez donc de maniere sure au responsable du logiciel. Si vous avez besoin de discuter avec cette personne par mail, avez-vous besoin de l'avoir vu et d'avoir vu sa carte d'identite pour etre sur que c'est bien cette personne physique que vous discutez ?
Et puis, si un jour vous rencontrez cette personne, une bonne discussion ne suffira-t-elle pas a verifier que c'est avec elle que vous avez communique et elle dont vous avez la clef ? A quoi cela sert-il de verifier sa carte d'identite ?
Et puis, une carte d'identite, quand elle est celle de votre etat, vous savez l'identifier. Mais saurez-vous reconnaitre la valeur officielle d'un papier d'identite d'un autre etat ? N'allez-vous pas confondre une carte nominative quelconque avec un papier d'identite d'un autre pays si votre interlocuteur se presente comme pakistanais ou bresilien ?
Et puis, si vous evoluez dans un milieu ou la confiance regne, avez-vous besoin de la carte d'identite ? Une bonne discussion ne suffit-elle pas ? Inversement, si le milieu n'est pas un milieu de confiance, que vous ne pouvez pas faire confiance facilement a votre interlocuteur qui vous semble louche, allez-vous lui faire confiance sur presentation d'une simple carte d'identite ? Qui vous prouve qu'elle n'est pas fausse ?
Voila divers arguments en la defaveur de la presentation de la carte d'identite. Mais alors, comment faire ? En ce qui me concerne, discuter avec l'interlocuteur et lui demander de signer ses messages electroniques valide bien plus la clef qu'autre chose. S'il par mails signes, il me montre effectivement les qualites et competences qu'il pretend avoir, alors sa signature a bien plus de valeur que sa carte d'identite.
Ceci dit, une key-signing party est une excellente occasion de signer des clefs: ca permet de rencontrer des gens, et d'avoir/remettre en main propre des signatures de clefs avec ces gens que vous connaissiez deja ou que vous venez de rencontrer et que vous trouvez sympas.
# Pourquoi une piece d'identite ?
Posté par a_jr . En réponse à la dépêche Signature de clés GPG jeudi 8 juillet. Évalué à 10.
J'explique ma question a l'aide d'un exemple. Imaginons que vous rencontrez Jean Dupont, qui participe au developpement du celebre logiciel machintruc. Vous echangez vos clefs en vous montrant vos cartes d'identite respectives.
Et un jour, vous avez besoin de communiquer avec cette personne qui vous a dit participer au celebre logiciel machintruc. Et la personne vous raconte n'importe quoi, mais signe avec la clef que vous avez signe.
Bah oui, vous avez bien signe la clef de Jean Dupont, mais vous etes-vous assure que Jean Dupont etait bien la personne que vous pensiez, a savoir un developpeur actif dans le celebre logiciel machintruc ? Vous vous etes en fait assure de signer la clef du porteur de la carte d'identite de Jean Dupont, rien de plus !
Voici un autre exemple, a l'envers. Vous recuperez un logiciel depuis une source sure. Il contient une clef, que vous associez donc de maniere sure au responsable du logiciel. Si vous avez besoin de discuter avec cette personne par mail, avez-vous besoin de l'avoir vu et d'avoir vu sa carte d'identite pour etre sur que c'est bien cette personne physique que vous discutez ?
Et puis, si un jour vous rencontrez cette personne, une bonne discussion ne suffira-t-elle pas a verifier que c'est avec elle que vous avez communique et elle dont vous avez la clef ? A quoi cela sert-il de verifier sa carte d'identite ?
Et puis, une carte d'identite, quand elle est celle de votre etat, vous savez l'identifier. Mais saurez-vous reconnaitre la valeur officielle d'un papier d'identite d'un autre etat ? N'allez-vous pas confondre une carte nominative quelconque avec un papier d'identite d'un autre pays si votre interlocuteur se presente comme pakistanais ou bresilien ?
Et puis, si vous evoluez dans un milieu ou la confiance regne, avez-vous besoin de la carte d'identite ? Une bonne discussion ne suffit-elle pas ? Inversement, si le milieu n'est pas un milieu de confiance, que vous ne pouvez pas faire confiance facilement a votre interlocuteur qui vous semble louche, allez-vous lui faire confiance sur presentation d'une simple carte d'identite ? Qui vous prouve qu'elle n'est pas fausse ?
Voila divers arguments en la defaveur de la presentation de la carte d'identite. Mais alors, comment faire ? En ce qui me concerne, discuter avec l'interlocuteur et lui demander de signer ses messages electroniques valide bien plus la clef qu'autre chose. S'il par mails signes, il me montre effectivement les qualites et competences qu'il pretend avoir, alors sa signature a bien plus de valeur que sa carte d'identite.
Ceci dit, une key-signing party est une excellente occasion de signer des clefs: ca permet de rencontrer des gens, et d'avoir/remettre en main propre des signatures de clefs avec ces gens que vous connaissiez deja ou que vous venez de rencontrer et que vous trouvez sympas.
Le bonjour chez vous,
Yves