L'empreinte ne sert pas à cela. L'identifiant de la clé (genre 618D63E9) est suffisant pour juste se dire que si Oumph sur LinuxFr.org a collé 618D63E9 dans son profil utilisateur, c'est qu'il accepterait de recevoir des courriels chiffrés pour cette clé (à supposer qu'on soit capable de trouver son adresse de courriel, ce que son profil ne fournit pas de base, mais sa clé GPG l'indique sûrement si elle est publiée sur un serveur de clés).
Non avec le short id tu n'es pas sûr d'avoir la bonne clef. Je m'auto-réferencie : cf. un de mes journaux
Pas exactement, car en mettant l'intégralité de la clef (ou son empreinte), on a l'info suivante : l'utilisateur Oumph de LinuxFR.org revendique la possession de la clef en question. Si tu as mis une clef de fingerprint fpr sur ton profil, je ne pourrais pas envoyer un courrier signé disant je suis Oumph de LinuxFR.org sauf si je parviens à obtenir une clef de même fpr que toi.
A contrario si quelqu'un reçoit un courriel signé avec la clé 618D63E9, le simple fait que cette clé soit mentionné sur le profil de Oumph sur LinuxFr.org ne devrait pas lui suffire à croire que c'est une seule et même personne (car Mallaury pourrait très bien mettre 618D63E9 sur son profil aussi).
Dans ce cas ça veut dire que Mallaury accèpte le fait que tu puisses te faire passer pour lui. C'est pareil que sur une carte de visite, je peux mettre la clef de quelqu'un d'autre, c'est crétin, mais je peux.
Surtout le problème de ne mettre que le short id (les 4 derniers octets du fpr) ou le long id (8 derniers octets du fpr), c'est qu'il est aisé de générer des clef qui ont même id. Allez je me fait de la pub deux fois : cf. un de mes journaux.
[^] # Re: Hmm
Posté par jben . En réponse à l’entrée du suivi Empreinte OpenPGP dans son profil. Évalué à 3 (+0/-0).
Non avec le short id tu n'es pas sûr d'avoir la bonne clef. Je m'auto-réferencie : cf. un de mes journaux
Pas exactement, car en mettant l'intégralité de la clef (ou son empreinte), on a l'info suivante : l'utilisateur Oumph de LinuxFR.org revendique la possession de la clef en question. Si tu as mis une clef de fingerprint fpr sur ton profil, je ne pourrais pas envoyer un courrier signé disant je suis Oumph de LinuxFR.org sauf si je parviens à obtenir une clef de même fpr que toi.
Dans ce cas ça veut dire que Mallaury accèpte le fait que tu puisses te faire passer pour lui. C'est pareil que sur une carte de visite, je peux mettre la clef de quelqu'un d'autre, c'est crétin, mais je peux.
Surtout le problème de ne mettre que le short id (les 4 derniers octets du fpr) ou le long id (8 derniers octets du fpr), c'est qu'il est aisé de générer des clef qui ont même id. Allez je me fait de la pub deux fois : cf. un de mes journaux.