Deuxième série | Partie 16 : Participer à un tour de clés gpg
GPG a un important aspect social: il permet à diverses personnes de communiquer de manière sure et sécurisée.
D’ailleurs, la première étape de l’utilisation de GPG est elle même sociale: il s’agit d’échanger des adresses et identifiants de communications numériques !
- Partie 8 : Signer des fichiers
- Partie 9 : Chiffrer des fichiers
- Partie 10 : La configuration de GPG
- Partie 11 : Les détails des clés et des maths
- Partie 12 : Exporter et importer clés publiques et privées
- Partie 13 : Aspects de sécurité divers
- Partie 14 : Publier une politique de signature
- Partie 15 : Utilisation de gpg en ligne de commande
Aller à un tour de clés GPG
Je suis l’inventeur de l’expression «tour de clés». On a également, en français, la «session de signature de clés». Mais c’est moins court, et moins rigolo. On emploie souvent l’expression anglaise signing party.
Un tour de clés gpg consiste en un événement où plein de monde va réaliser la signature d’un grand nombre de clés gpg d’un seul coup. Vous rassemblez une cinquantaine de geeks à un endroit, et hop, tout le monde se met à signer la clé du voisin !
Bon un peu de sérieux
La participation à un tour de clés requiert avant tout des preuves d’identité valides et vérifiables. Des cartes d’identité, passeports, permis de conduire avec photos. Et bien sûr, des papiers avec l’empreinte ou l’identifiant de sa clé dessus. De nombreux geeks ont l’empreinte complete de leur clé sur leur carte de visite. Il est déconseillé d’utiliser son ordinateur ou son téléphone.
NB : Le logiciel OpenKeyChain permet apparemment d’échanger très facilement des clés et/ou de les signer à la volée, sur le terrain.
C’est une bonne chose, mais ne comptez pas dessus. Je ne dis pas que le logiciel est de mauvaise qualité, loin de là.
Mais que ce passe t-il si vous tombez en rade de batterie ? Si vous vous emmêlez les crayons lors de la signature ?
La meilleure méthode reste de vérifier l’identité et la clé en face de la personne, et de signer une fois chez soi.
Participer à un tour de clés permet de rencontrer des gens ayant très souvent les mêmes intérêts et motivations : technophiles, mais aussi citoyens préoccupés par les questions de vie privée et de politique, journalistes, universitaires.
Cet événement permet également d’agrandir la toile de confiance, comme je l’ai décris dans l’article consacré à la signature des clés. Ainsi, peut être allez-vous signer la clé de quelqu’un, Georges, clé dont un de vos contacts, Arthur, a besoin. Arthur verra alors votre signature et se dira qu’il peut effectivement contacter Georges avec cette clé.
Le tour de clés Gpg informel
Vous rencontrez du monde à un bar, vous échangez des cartes de visite avec des empreintes de clés gpg dessus. Ok. Il suffit de vérifier les identités des gens et c’est tout bon !
Le tour de clé organisé …
… ou la méthode Zimmermann–Sassaman consiste en un truc assez puissant et organisé.
Ces tours de clés sont souvent organisés longtemps à l’avance, par exemple à l’occasion d’une convention ou d’un événement liés aux logiciels libres.
- Les participants préviennent à l’avance de leur participation effective par courriel avec leur clé en pièce jointe.
- L’organisateur compile la liste des participants et la leur renvoie, signée bien sûr.
- Chaque participant imprime la liste la veille avant l’événement ou le matin, vérifie la signature de l’organisateur, puis l’empreinte de sa propre clé dans la liste.
- Lors de l’événement, les personnes présentes attestent que la liste qu’ils ont reçue correspond bien à celle envoyée.
- Lorsque leur clé est annoncé, le propriétaire atteste qu’il s’agit bien de la sienne. Tout le monde peut alors cocher la case “clé vérifiée”.
- Puis, les participants se mettent en ligne et vérifient mutuellement et un par un l’identité de chacun.
- Ils cochent alors la case “identité vérifiée”.
- Une fois retourné chez soi, on signe les clés qui ont les deux cases cochées.
Cette méthode est un poil laborieuse pour l’organisateur, mais elle est très efficace et permet d’organiser des tours de clés avec un grand nombre de gens.
Le tour de clé modèle géant …
… ou la méthode Zimmermann en son et lumière.
Il s’agit simplement de la même méthode que précédemment, mais avec les clés projetées sur écran géant. On est en quelque sorte passé à l’échelle industrielle, avec 2000 participants qui signent la moitié du continent d’un seul coup.
Une fois chez soi…
Une fois qu’on est allé au tour de clé et qu’on a vérifié l’identité de tout le monde, on peut donc signer les clés de tout ce petit monde.
Si vous avez récupéré cinq ou six clés au bar, pas la peine de vous creuser le chou, signez donc à la main et envoyer les clés signées par courriel.
Si, par contre, vous avez plus de monde, il devient très vite important d’utiliser un script pour faire ça, comme je l’ai signalé dans l’article précédent.
Divers outils et scripts ont été créés pour se faciliter la tâche. On utilisera par exemple Caff de la collection d’outils signing party (paquet deb) ou paquet pgp-tools sur Fedora.
Il y a également pius qui est nettement plus léger, a un paquet Debian et fedora.
NB : oui, je suis désolé, je n’ai pas vérifié sur les autres distributions. Je pense que vous trouverez facilement avec les noms des scripts et programmes et les liens indiqués.
Keybase.io
Le site internet keybase.io entend utiliser cet aspect social, en utilisant vos divers comptes sur des réseaux sociaux comme preuve d’identité. Si vous souhaiter vous inscrire sur leur service, n’hésitez pas à me demander, j’ai des invitations disponibles. Il s’agit donc en quelque sorte d’un tour de clés permanent et mis à jour en continu, un silo de clés.
Vous pouvez utiliser leur client en ligne de commande. Il est par exemple disponible dans les dépots communnity d’ArchLinux.
Par contre, évitez d’envoyer vos clés privées sur leur site web. Vos clés privées doivent impérativement rester sur des supports que vous maîtriser.