Nyckelsignering

Eftersom många utvecklare träffas på mässor eller konferenser har de blivit ett trevligt sätt att få andra att signera sina GnuPG-nycklar och förbättra sitt tillitsnätverk. Speciellt har det varit mycket intressant att signera nycklar och möta andra utvecklare för de som är nya i projektet.

Följande lista är avsedd att hjälpa dig köra en nyckelsigneringssession. Observera att alla exempel använder keyring.debian.org som nyckelserver. Om nyckeln i fråga inte finns i Debians nyckelring ersätter du keyring.debian.org med en allmän nyckelserver, till exempel wwwkeys.pgp.net (vilken, trots namnet, även lagrar GnuPG-nycklar).

Man bör bara signera en nyckel som uppfyller åtminstone två villkor:

  1. Nyckelns ägare övertygar den som skall signera att identiteten i UID verkligen är sin egen identitet, på ett sätt som den som skall signera är villig att acceptera. Vanligtvis innebär detta att nyckelägaren måste visa ett ID-kort med bild utgivet av en myndighet, som stämmer med nyckelns ägare. (Somliga känner till att myndigheternas ID-kort är lätta att förfalska, och att trovärdigheten hos den utgivande myndigheten är tvivelaktig, så de kan begära andra och/eller alternativa identitetsbevis.)
  2. Nyckelägaren verifierar att nyckelns fingeravtryck och längden på nyckeln som skall signeras faktiskt är sin egen.

Det viktigaste är att om nyckelns ägare inte aktivt deltar i utbytet kan varken krav 1 eller 2 uppfyllas. Ingen kan utföra nyckelägarens del i krav 1, för då kan vem som helst med ett stulet ID-kort skapa en PGP-nyckel till det och låtsas vara en bulvan för nyckelägaren. Ingen kan heller göra nyckelägarens del av krav 2, för då skulle bulvanen byta ut fingeravtrycket till ett annat med nyckelägarens namn på, och få någon att signera fel nyckel.

Debianpaketet signing-party innehåller några verktyg som gör detta enklare. gpg-key2ps gör om en GnuPG-nyckel till en PostScript-fil för att skriva ut pappersremsor med ditt fingeravtryck, och gpg-mailkeys e-postar en signerad nyckel till dess ägare. Paketet innehåller även caff som är ett mer avancerat verktyg. Se paketets dokumentation för vidare information.

Vad du inte skall göra

Du skall aldrig signera en nyckel som tillhör någon du inte träffat personligen. Att signera en nyckel baserat på något annat än förstahandsinformation förstör användbarheten av tillitsnätverket. Om någon vän tar med ditt ID-kort och ditt fingeravtryck utan att du är där och intygar att fingeravtrycket är korrekt, hur kan andra utvecklare koppla identiteten till fingeravtrycket? Bara din väns ord och andra signaturer på din nyckel – det är lika illa som att signera nyckeln bara för att andra har gjort det!

Det är trevligt att ha fler signaturer på sin nyckel, och det är frestande att fuska lite på vägen. Men att ha pålitliga signaturer är viktigare än att ha många, så det är mycket viktigt att vi är så strikta vi kan med signeringsprocessen. Att signera någon annans nyckel är en försäkran om att du har förstahandsinformation om nyckelägarens identitet. Om du signerar utan att egentligen mena det, så är tillitsnätverket inte längre pålitligt.