Cher journal,
Je me suis posé une question toute bete ce matin, peut-etre en as tu la réponse.
Lorsque qu'on génère une paire de clé PGP/GPG, on génére une ID pour cette clée.
A 1ère vue, cette ID tient sur 8 caracteres, un nombre en hexa.
En fait, le VRAI ID est beaucoup plus long, c'est en effet ce qu'on appele le fingerprint. Mais pourquoi les serveurs de clés n'identifient les clés que par la fin de leur fingerprint, à savoir les 8 derniers caractères ? Ya t il des paramètres aléatoires si forts qu'il est tout aussi efficace de gérer les ID des clés sur 8 caractères plutot que sur leur fingerprint qui en compte 40 ?
De plus, si on suit les recommandations des docs GPG, il faut, lors d'un echange de clé avec quelqu'un, lui donné son fingerprint pour pas qu'il y ait d'ambiguités sur le serveur en cas de clé ayant des memes adresses mails, donc si on prend soin de donner le fingerprint COMPLET de 40 caracteres, et que les serveurs n'en n'utilisent que 8, là je pige pas !
De meme, que se passe t il si je fais un gpg --recv-key XXXXXXXX et qu'il ya un doublon sur le serveur ? C'est potentiellement possible non ? sinon encore une fois je m'interroge sur la nécéssité du fingerprint total...
Si quelqu'un se sent d'humeur a m'expliquer...
-cho7, qui n'a pas tout compris aux fingerprints-
Journal Fingerprint, a quoi sert tu ?
25
mai
2004
# Il me semble que
Posté par Calim' Héros (site web personnel) . Évalué à 3.
Ce que je connais moins c'est comment marches les traitement en cas de doublons sur les 8 derniers caracteres, je suppose que selon les cas ils t'affiche plusieurs resultat ou te demande de reformuler la question de maniere plus complete.
[^] # Re: Il me semble que
Posté par cho7 . Évalué à 1.
Pour le cas des doublons j'avoue que j'en ai jamais vu encore sur 8 chiffres, donc savoir ce qui se passera quand un doublon aura été crééé, bah... :-(
Une chose est sûr avec le systeme actuel il y aurait un probleme :
quand je vais sur un serveur de clé comme pgp.mit.edu, que je tappe un nom bidon, voici a koi ressemble un lien pointant vers une clé :
http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x********(...)
Là on voit clairement qu'en cas de doublon, les liens pointeront tous deux vers le meme bloc de clé, mais lequel ??
Bref, n'est il alors toléré de ne donner que son ID 8 caracteres, un peu comme un numéro de téléphone, plutot que de refiler le fingerprint comme le disent les docs ?
[^] # Re: Il me semble que
Posté par cho7 . Évalué à 1.
pour un nombre hexadécimal de 8 caracteres, on obtient une palette de 4 294 967 296 combinaisons possibles, ce qui n'est pas mal quand meme, et donc ca limite *un peu* les risques...
[^] # Re: Il me semble que
Posté par dlfpbot . Évalué à 2.
http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x123456789A(...)
--> "Key ID string should be 8, 16, or 40 characters long"
Si on lui donne un ID de 40 caracteres, pas de pb...
[^] # Re: Il me semble que
Posté par cho7 . Évalué à 1.
Lorsqu'on fait une recherche sur un nom par exemple, il liste tout un tas de clé, et un lien pour chacune sous la forme que j'ai décrite précédemment, et dans ce cas, leur script prévoit il de différentier les doublons par leur fingerprint ?
C'etait une simple question sans prétention a la base, pourquoi une telle agressivité ? (cf. Tu aurais mieux fait de tester un peu mieux le site avant)
Je rappele que l'idée de base etait "le fingerprint est il vraiment utile, ou bien l'ID court suffit il ?"
Voilou
++
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.