Подписывание ключей

Поскольку многие разработчики встречаются на торговых выставках или конференциях, последние представляют собой хорошую возможность получения подписи GnuPG ключа и улучшения сети доверия. Подписывание ключей и встреча с другими разработчиками в особенности очень интересны для новых людей в Проекте.

Этот документ поможет вам с проведением сессии по подписыванию ключей. Заметьте, все примеры используют keyring.debian.org в качестве сервера ключей. Если ключ отсутствует в брелоке Debian, замените keyring.debian.org публичным сервером ключей, например wwwkeys.pgp.net (который, несмотря на название, хранит и GnuPG-ключи.)

Люди должны подписывать ключ лишь при выполнении по меньшей мере двух следующих условий:

  1. Владелец ключа убеждает того, кто подписывает ключ, что личность, указанная в UID, в действительности совпадает с его личностью, вне зависимости от того, какое доказательство желает получить подписывающий. Обычно это означает, что владелец ключа должен представить выданный правительством документ, идентифицирующий личность, с фотографией и информацией, которая совпадает с информацией о владельце ключа. (Некоторые подписывающие знают, что выданные правительством документы легко изготовить и что следует с подозрением относиться к властям, выдающим документы, и поэтому они могут потребовать дополнительное и/или альтернативное доказательство личности).
  2. Владелец ключа подтверждает, что отпечаток и длина ключа, который должен быть подписан, в действительности принадлежат ему.

Наиболее важно, что если владелец ключа не участвует активно в обмене, то вы не сможете завершить выполнение требований 1 или 2. Никто не может завершить часть требования 1 со стороны владельца ключа от лица владельца ключа, поскольку в противном случае всякий с украденным документом, подтверждающим личность, мог бы легко получить PGP-ключ, притворившись агентом владельца ключа. Никто не может завершить часть требования 2 со стороны владельца ключа от лица владельца ключа, поскольку агент мог бы подставить отпечаток другого PGP-ключа с именем владельца ключа на этом отпечатке, что привело бы к тому, что был бы подписан неправильный ключ.

Пакет Debian signing-party предоставляет некоторые инструменты, которые могут помочь вам с этим процессом. gpg-key2ps превращает ключ GnuPG в файл PostScript, чтобы печатать полоски с вашим отпечатком, а gpg-mailkeys отправляет подписанные ключи авторам. Этот пакет также содержит caff, который является более продвинутым инструментом. Дополнительную информацию см. в документации пакета.

Чего вам не следует делать

Вы никогда не должны подписывать ключ тому, кого вы не встречали лично. Подписывание ключа без личного знакомства разрушает полезность Сети доверия. Если чей-то друг представляется другим разработчикам с вашим документом, удостоверяющим личность, и вашим отпечатком, но вас нет по близости, чтобы подтвердить, что этот отпечаток принадлежит вам, как должны эти разработчики связать отпечаток и личность? У них есть только слово друга и другие подписи на вашем ключе — это не лучше, чем если бы они подписали ваш ключ просто потому, что другие люди его подписали!

Чем больше подписей у ключа, тем лучше, и на этом пути соблазнительно срезать несколько углов. Но иметь надёжные подписи более важно, чем иметь много подписей, поэтому важно, что мы сохраняем процесс подписывания ключей насколько чистым, насколько мы можем. Подписывание чьего-то ключа является подтверждением того, что вы лично проверили личность владельца ключа. Если вы подписываете ключ, а на самом деле не проверили личность владельца ключа, то Сети доверия больше нельзя доверять.