Réunion mensuelle CAcert à Paris chaque premier Jeudi du mois

Posté par . Édité par Benoît Sibaud, baud123 et Nÿco. Modéré par baud123. Licence CC by-sa
Tags :
11
8
déc.
2012
Communauté

CAcert.org propose une réunion informelle chaque premier Jeudi du mois à Paris. La réunion se déroule chaque premier Jeudi du mois dans le cadre d'une brasserie, où vous pourrez dîner tout en discutant de CAcert.org

À cette occasion, des accréditeurs CAcert.org seront présents pour échanger et vous offrir une certification croisée. CAcert.org diffuse des certificats X.509 gratuits et organise un cercle de confiance OpenPGP entre utilisateurs (WoT : Web Of Trust, cercle de confiance). Les certificats X.509 permettent de signer des courriels, de se connecter à des VPN et de mettre en place des sites Web sécurisés par HTTPS. Environ 253.000 utilisateurs ont rejoint CAcert.org.

Avant de rejoindre notre rendez-vous, munissez-vous de deux pièces d'identité et inscrivez-vous sur CAcert.org en utilisant un email stable et durable.
Prenez également connaissance des règles de fonctionnement de CAcert.org, qui vous seront rappelées durant la réunion.

Durant cette réunion informelle, vous pourrez faire certifier votre identité par plusieurs certificateurs CAcert et atteindre rapidement 100 points.

NdM : LinuxFr.org en profite pour remercier l'organisation CaCert : notre certificat SSL repose sur cette autorité de confiance. Nous avons par ailleurs un accréditeur (Oumph) dans l'équipe, donc venir nous voir en conférence ou sur les salons est une façon de récupérer des points.

Les prochaines réunions auront lieu les :

  • jeudi 3 janvier 2013
  • jeudi 7 février 2013
  • jeudi 7 mars 2013

au :

Père Tranquille
16 rue Pierre Lescot
75001 Paris
Tél. 01 45 08 00 34

Métro-RER : Châtelet - Les Halles
Bus : 29, 38
Vélib : stations 1005, 1006, 1007, 4104

La participation est libre, mais vous pouvez vous inscrire à l'avance pour permettre à notre équipe de réserver une table adaptée à la réunion.

  • # Est-ce un gros mot ?

    Posté par (page perso) . Évalué à  2 .

    et organise un cercle de confiance entre utilisateurs (WoT : Web Of Trust) …

    Serait-ce un gros mot de préciser que ce ne se fait pas avec des certificats X.509, mais de dire "OpenPGP" ?

    D'autre part il aurait sans doute mieux fallu mettre ce lien wikipedia pour Wot :-)


    <Mode coup de gueule> :

    - Y'en a marre des pyramides … Fuck X.509 !
    - Les RFCs, c'est pas fait pour les chiens. Il n'y a pas que l'usine à gaz openssl dans la vie.

    </Mode coup de gueule>

    Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...

    • [^] # Re: Est-ce un gros mot ?

      Posté par (page perso) . Évalué à  2 .

      Merci, corrigé.

    • [^] # Re: Est-ce un gros mot ?

      Posté par . Évalué à  0 .

      Attention aux réactions (et corrections !) hâtives, ce n'est pas du WoT OpenPGP qu'il s'agit ici : http://en.wikipedia.org/wiki/Cacert#Web_of_trust

      (et pourtant je ne suis pas un grand expert en Cacerteries) :-)

      • [^] # Re: Est-ce un gros mot ?

        Posté par (page perso) . Évalué à  1 .

        Attention aux "Attention aux réactions (et corrections !) hâtives" : le wikipedia est sans doute pas assez clair sur le CaCert, mais c'est bien du Wot OpenPGP dont il s'agit.

        $ gpg --list-sigs jbar
        pub   4096R/EEF5EAE6 2011-03-04 [expire: 2022-03-01] uid                  Jean-Jacques B. (udid2;h;4c5441eb5fbe391b27f6baaa1e8203d1990d98b5;0;) <jbar@caramail.xxx>
        sig          C755922F 2011-07-12  HAESSIG Jean-Christophe
        sig 3        48C3C4A2 2011-07-12  Nicolas Sapa (ByMe.AT's Alias) <nic@byme.at>
        sig 3        AF146906 2011-07-13  Quentin Godfroy <quentin@godfroy.dg>
        sig          D4827E51 2011-07-14  Joel HATSCH <y@joel-hatsch.net>
        sig          383468BF 2011-07-15  robert olesinski (CAcert-Assurer) <contact-cacert@orange.fr>
        sig 3        0AA85FA4 2011-08-23  Stanislas Jourdan ...
        ...
        
        

        (J'ai rajouté des fantaisies dans les email, mais tout le reste est vrai, notamment le fait que nous nous sommes "vérifiés" avec entre autres M. Olesinski).

        Faire du Wot avec X509, c'est un peu comme faire du ski avec vélo : c'est pas du tout fait pour, et à moins de transformer tellement le vélo afin qu'il ressemble plus à un vélo : c'est tout simplement pas possible !-).

        Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...

  • # Plus strict que l'état

    Posté par (page perso) . Évalué à  3 .

    Ce n'est pas tres pratique quand on a qu'une seule pièce d'identité.

    D'autant plus qu'une carte d'identité et un permis de conduire ne sont certifiés que la même entité (l'État).
    Par contre on peut considérer que un passeport est certifié par tout les pays visités.

    • [^] # Re: Plus strict que l'état

      Posté par (page perso) . Évalué à  2 . Dernière modification : le 10/12/12 à 04:33

      Ta remarque est très pertinente, et en poussant le raisonnement jusqu'au bout ("Qu'est-ce qui nous définit ?"), c'est hélas ce qui justifie le besoin de photo ou d'empreintes digitales même dans le certificat OpenPGP.

      Par contre on peut considérer que un passeport est certifié par tout les pays visités.

      Ben là non : les douaniers des pays visités n'ont aucun moyen de vérifier non plus que les données d'identification à l'intérieur du passeport soient uniques et "correctes". Ils vérifient juste que le passeport semble bien avoir été fait et donc signé par une seule entité : le pays émetteur.

      Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...

  • # Pièces d'identité

    Posté par . Évalué à  2 .

    Si vous n'avez pas de passeport, une carte d'identité et un permis de conduire font l'affaire.

    Pour la France, les documents acceptés sont:
    * Carte nationale d'identité
    * Passeport
    * Permis de conduire

    Nous nous sommes équipés d'une lampe UV à pile, pour vérifier les marques de sécurité.

    Pour information, l'accréditeur CAcert ne fait que vérifier la validité de votre carte d'identité et/ou de votre passeport ou de votre permis de conduire, en s'assurant que les nom+prénom et la date de naissance concordent avec les informations de votre compte CAcert.org. Nous effectuons un contrôle visuel de la photo et des marques de sécurité. Contrairement aux CA commerciaux, nous ne conçervons pas de copie des papiers d'identité. Les seules informations conservées par CAcert.org sont votre nom+prénom et votre date de naissance.

    La gestion des identités numériques est un immense business commercial, comme l'est la gestion des noms de domaine. Nous luttons contre toute emprise commerciale sur Internet. CAcert.org est une démarche citoyenne, où les membres d'une association construisent un cercle de confiance. CAcert.org est la seule association offrant une certification X.509 gratuite.

    Par ailleurs, il est considérablement plus compliqué à un falsificateur de pénétrer le cercle de CAcert.org que de se faire signer une clé GPG. A une réunion Debian day en 2010, j'ai vu un étudiant étranger faire signer sa clé sur seule foi de sa carte de visite. Pour preuve de son identité, il a fourni une carte de sécurité sociale de son pays, sans photo. Preuve invérifiable car la carte ressemblait à une carte d'adhérent d'un club de sport.

    Durant la réunion CAcert, nous effectuons une mini-formation, qui présente les droits et obligations des utilisateurs et des accréditeurs CAcert.org. Nous répondons également à toutes vos questions. Notamment concernant les libertés publiques que notre association défend.

    • [^] # Re: Pièces d'identité

      Posté par (page perso) . Évalué à  3 .

      Si vous n'avez pas de passeport, une carte d'identité et un permis de conduire font l'affaire.

      En tant que pieton je n'ai qu'un passeport, la CNI etant inutile. Je ne peux donc pas me faire certifier ?

      • [^] # Re: Pièces d'identité

        Posté par (page perso) . Évalué à  2 .

        Habituellement, un assureur attribuera 35 points, mais si la personne n'a qu'une seule pièce d'identité, il en attribuera moins, et le processus sera donc plus long.

        Pourquoi exiger deux pièces d'identité ? CAcert est un projet international, et ses règles sont les mêmes dans tous les pays ; peut-être qu'une seule pièce serait suffisante en France, mais pas dans d'autres pays.

    • [^] # Re: Pièces d'identité

      Posté par (page perso) . Évalué à  2 .

      Par ailleurs, il est considérablement plus compliqué à un falsificateur de pénétrer le cercle de CAcert.org que de se faire signer une clé GPG. A une réunion Debian day en 2010, j'ai vu un étudiant étranger faire signer sa clé sur seule foi de sa carte de visite. Pour preuve de son identité, il a fourni une carte de sécurité sociale de son pays, sans photo. Preuve invérifiable car la carte ressemblait à une carte d'adhérent d'un club de sport.
      
      

      Par qui s'est il fait signé ? (c'est ça la bonne question).

      Car si il s'agit d'un cacert-assureur dont je supposais jusqu'à présent qu'ils étaient tous un peu plus sérieux que la moyenne, oui : ça craint et cela m'ennuie, car je ne vais devoir désormais ignorer le statut de "cacert-assureur" pour mettre à jour ma trustdb OpenPGP. (Bref, le statut "cacert-assureur" ne servira pour moi plus à rien pour la Wot OpenPGP, et c'est pas plus mal. Le Cacert, en tant qu'association organisant des key signing parties ou des formations sur les certificats, restera par contre très appréciable).

      S'il s'agit pour le signataire d'un quidam que je ne connais pas, c'est pas grave non plus puisque qu'il n'a de toute façon pas un gros niveau de confiance/sérieux dans ma trustdb.

      S'il s'agit pour le signataire de quelqu'un que je connais, et bien j'aimerais le savoir pour baisser son niveau de sérieux dans ma trustdb (voir le mettre à zéro).

      Bref si t'as le nom (ou mieux le fingerprint OpenPGP) du mec qui a (mal) signé, cela pourrait être utile pour tout le monde !

      Cela dit t'es qui toi pour que je puisse avoir confiance (ou non) en le fait que " X a signé à l'aveugle Y" ?

      Cela dit aussi, la définition de "mal" ou "bien" signer, n'est pas la même pour tout le monde. Et si l'étudiant en question est un contributeur debian régulier, et le signataire quelqu'un qui a déjà pas mal travaillé avec lui et du coup pense le connaître suffisamment pour avoir confiance en lui quand il lui dit "je suis Jean-Pierre Tramo* et voilà mon fpr OpenPGP" en lui sortant une carte à la c… .
      Et bien pour beaucoup (moi compris) et dans la plupart des cas, ce n'est pas "mal" signer.

      (Mais ça qui le sait ? donc dans le doute j'aimerais bien vous connaître : toi et le signataire :-) ).

      *: le célèbre architecte J2EE qui serait passé du coté lumineux de la force…

      Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...

      • [^] # Re: Pièces d'identité

        Posté par (page perso) . Évalué à  1 .

        Et bien pour beaucoup (moi compris) et dans la plupart des cas, ce n'est pas "mal" signer.

        Tout à fait, j'ai plus confiance dans des relations humaines sur le long terme que dans un bout de papier.

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.