Signature de clés

Comme de nombreux développeurs se rencontrent lors de manifestations commerciales ou de conférences, celles-ci sont devenues une façon simple de faire signer des clés GnuPG et d'étendre le réseau de confiance. Et les gens qui sont nouveaux dans le projet apprécient particulièrement la signature de clé et la rencontre d'autres développeurs.

Ce document a pour but de vous aider à organiser une séance de signature de clés. Veuillez noter que tous les exemples utilisent le serveur de clés keyring.debian.org. Si la clé recherchée n'est pas dans le trousseau de Debian, remplacez keyring.debian.org par un serveur de clé public comme wwwkeys.pgp.net (qui malgré son nom conserve des clés GnuPG).

Deux conditions au moins sont nécessaires pour une signature de clé :

  1. le propriétaire de la clé persuade le signataire que l'identité de l'UID est bien la sienne au moyen de toute preuve que le signataire voudra bien accepter comme convaincante. Habituellement cela signifie que le propriétaire de la clé doit présenter une pièce d'identité délivrée par un gouvernement avec une photo et des informations lui correspondant (certains signataires savent que des pièces d'identité délivrées par des gouvernements sont facilement falsifiables et peuvent donc demander des preuves complémentaires ou alternatives d'identité) ;
  2. le propriétaire de la clé vérifie que la longueur de la clé à signer est correcte et que l'empreinte est bien la sienne.

Plus important encore, si le propriétaire de la clé ne participe pas activement à l'échange, vous ne pourrez pas remplir l'un ou l'autre des prérequis. Personne ne peut effectuer la première partie des prérequis du propriétaire de la clé pour le compte du propriétaire car sinon quiconque avec une carte d'identité volée pourrait facilement obtenir une clé PGP allant avec en prétendant être un représentant du propriétaire. Personne ne peut effectuer la seconde partie des prérequis du propriétaire de la clé pour le compte du propriétaire car le représentant pourrait substituer l'empreinte par celle d'une autre clé PGP avec le nom du propriétaire et faire signer la mauvaise clé.

Le paquet Debian signing-party fournit des outils pour vous aider dans ce processus. gpg-key2ps crée un fichier PostScript avec votre clef GnuPG pour imprimer des fiches papiers contenant votre empreinte digitale et gpg-mailkeys envoie un courriel contenant une clef signée à son auteur. Ce paquet comprend aussi caff qui est un outil plus avancé. Veuillez vous reporter à la documentation du paquet pour de plus amples informations.

Ce que vous ne devez pas faire

Vous ne devez jamais signer la clé de quelqu'un que vous n'avez pas rencontré personnellement. La signature d'une clé, basée sur autre chose qu'une rencontre directe, détruit l'utilité du réseau de confiance. Si un ami se présente à d'autres développeurs avec votre carte d'identité et votre empreinte mais que vous n'êtes pas présent pour vérifier que l'empreinte vous appartient, comment les développeurs peuvent-ils associer l'empreinte et la carte d'identité ? Ils n'ont que la parole de votre ami et les autres signatures sur votre clé – ce n'est pas mieux que s'ils signaient votre clé simplement parce que d'autres personnes l'ont signée !

Faire signer sa clé de nombreuses fois est agréable et il est tentant de raccourcir un peu la procédure. Mais avoir des signatures de confiance est bien plus important que d'avoir beaucoup de signatures, aussi est-il très important de conserver le processus de signature aussi strict que possible. Signer la clé de quelqu'un d'autre est la garantie que vous avez la preuve directe de l'identité du détenteur de la clé. Si vous la signez sans cette certitude, il n'est plus possible de faire confiance au réseau de confiance.