🚲 Tanguy Ortolo a écrit 12091 commentaires

Mais comment faire cette vérification justement?

Par une ou plusieurs connaissances communes, considérées comme des autorités de certification.

Ce n'est pas pour rien qu'il y a des authorités de confiance en SSL, c'est pour éviter ce problème que ça a été créé.

Nawak : le modèle PGP est strictement supérieur à celui de X.509 (SSL). La seule différence entre un certificat PGP et un certificat X.509, c'est que le PGP peut être signé par plusieurs autorités alors que le X.509 peut être signé par une seule. Du coup :

• PGP permet d'implémenter un modèle pyramidal à la X.509 avec des autorités de certification, il suffit pour ça de se restreindre volontairement à une signature par certificat ;
• PGP permet aussi de faire mieux, en implémentant un modèle en toile de confiance.

Vous parlez bien de la même chose, les signatures PGP en ligne.

Attends, excuse-moi, il explique qu'il n'aime pas récupérer des clefs sur des serveurs publics. C'est son droit de se compliquer la vie, en attendant tu peux quand même les utiliser, toi. Ou te faire envoyer les clefs par courrier électronique, le médium importe peu du moment qu'on fait la vérification.

Oui, sauf que là, pas de chance, des solutions ils n'y en a pas, pour contourner les défauts de logiciels merdiques qui ne changeront jamais. Donc soit on ne fait rien, soit on se dit qu'on ne peut pas se permettre de laisser Microsoft se mettre en travers du progrès, et on avance.

Une façon de placer la signature en attachement, comme ça :

• multipart/signed (inline)
  • text/plain (inline) : le texte du message
  • application/pgp-signature : la signature

Pour un client ne prenant pas en charge PGP, ça apparaît au mieux comme un message normal, au pire comme un message avec un fichier attaché inutile. Pour un client pourri, c'est à dire un client Microsoft, ça apparaît comme un message vide avec un fichier attaché contenant le texte du message.

Pour le chiffrement, PGP/MIME ça ressemble à ça :

• multipart/encrypted (inline)
  • application/pgp-encrypted

Pour le chiffrement et la signature, une combinaison des deux, il me semble.

Si j'ai bien compris, PGP/MIME, c'est pratique pour le chiffrement. Pour la signature, quel intérêt d'envoyer un mail incompatible avec des lecteurs "normaux"

Rectification : incompatible avec les lecteurs anormaux, à savoir ceux de Microsoft. Tous les autres sont compatibles.

Tu as le droit de demander à tes amis de te fournir leurs clefs sur clef USB si ça t'amuse : les serveurs publics sont seulement là pour faciliter les échanges de clefs, mais il n'est pas obligatoire de les utiliser, si tu veux faire plus compliqué, tu peux.

C'est pareil avec PDF et le lecteur Adobe. Par exemple, je diffuse des photos par BitTorrent :

• Tanguy, tu fais chier, c'est compliqué d'installer un logiciel pour ça, tu ne pourrais pas les mettre sur un site Web normal ?
• Euh, dis-moi, juste pour savoir, tu peux lire des PDF ?
• Oui, pouquoi ?
• Avec quel logiciel ?
• Adobe Reader…
• Et il était fourni avec ton système ?
• Ah non, c'est un des premiers trucs que j'ai installé.
• Super, c'était compliqué d'installer un logiciel pour ça mais tu l'as bien fait au premier PDF que tu as eu à lire. Ben pareil pour mes photos.

Jamais entendu parler de PGP/MIME ?

Oups, moinssez-moi, je viens de dire une belle connerie. Pour signer, d'accord, mais pour chiffrer, on oublie. :-)

Si, ils pourraient. Les messages de contrôle des groupes de nouvelles USENET sont signés selon PGP dans un en-tête prévu à cet effet. C'est un processus semblable à celui utilisé pour DKIM.

garder de manière sécurisée le certificat de révocation de la clef

Celui-là, si tu te le fais voler, c'est très ennuyeux mais pas grave, comparé à ta clef privée. Le voleur peut révoquer ta clef, pas déchiffrer à ta place ou se faire passer pour toi.

Il y avait FireGPG pour faire cela dans Firefox. Malheureusement le projet a été abandonné. Il y a GPG4Browsers pour faire cela dans Google Chrome…

Comme dis dans un article, je me fous de savoir que Linus Torvalds est en fait Bill Gates, du moment que la personne avec qui je discute depuis le début est toujours la même.

Pas de chance, ce n'est pas encore équivalent à ça non plus. Tu peux te retrouver dans la situation où tu parles avec Bill Gates au lieu de Torvalds, ce qui semble bizarrement te convenir, mais avec en plus Richard Stallman qui lit toutes vos communications depuis le début.

Et accessoirement, si tu as commencé la conversation par un autre médium, la continuité n'est pas garantie non plus.

Ce sont des cartes à puce SSL. Et SSL, c'est basé sur X.509, et X.509, c'est mal parce que :

1. c'est un truc de téléphonistes ;
2. ça encourage les pires dérives (concentration sur un minimum d'acteurs de pouvoir qui ont intérêt à mal faire leur travail).

C'est loin d'être équivalent, cette idée…

Du calme, tout ce que je voulais faire remarquer, c'est que

Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…

est faux.

Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…

Je te suggère de brûler les maîtres d'écoles avec des bûchers de livres, alors.

Marrant, moi pour avoir essayé Enigmail, il n'y avait rien à faire, si la clef est connue la vérification se fait toute seule.

L'histoire du Fingerprint, par exemple, est très rigolo pour les geeks mais pourrait être présentée 100fois plus simplement.

Ah, pas de chance, c'est impossible ça. Il faut vérifier l'empreinte, sinon on ne vérifie rien du tout.

Éditer les adresses liées à sa clé: je n'en parle pas, depuis 9 ans, je m'y réessaie une fois par an et je n'ai toujours pas compris.

Ah, je ne sais pas quelle UI tu utilises, mais en tout cas avec gpg en ligne de commande c'est vraiment très simple : adduid, et il te demande le détail de l'adresse que tu veux ajouter.

Plus profondément, je m'interroge également sur la pertinence de la manière dont GPG fonctionne avec les adresses mails. Par exemple, rien n'empêche d'avoir plusieurs clés pour la même adresse. Avoir une relation bijective clés adresses mails permettraient de simplifier énormément l'utilisation de GPG.

Comment voudrais-tu interdire à qui que ce soit de créer une nouvelle clef en utilisant ton adresse par exemple ? Ce n'est pas non plus possible, ça.

Enfin non, plus précisément « travailler sous Linux ». Parce que bon, en utilisant Debian GNU/Linux, il est exact que j'utilise le noyau Linux. Pas seulement le noyau, mais notamment lui. En revanche, je ne travaille pas sous Linux, strictement parlant : il y a plus que le seul noyau en-dessous de mes logiciels.

« Utiliser Linux » est donc une synecdoque !

Bon, d'accord, tout n'est pas aussi compliqué, les choses ne sont pas uniformes. Mais tout ce qui, en informatique, dépasse de la simple saisie de texte et du dessin à main levée sort automatiquement de ce que les gens ont appris. Écrire à quelqu'un par exemple, ce n'est simple que parce que les gens ont appris à écrire, ce qui est extrêmement compliqué au passage.

Donc, ce qui sort de ce cadre nécessite un apprentissage. En particulier, les concepts de base de cryptographie et de certification. Ces concepts sont lié à l'objectif et ne peuvent pas être supprimés, tout au plus expliqués de façon la plus abordable possible.

En revanche, après avoir été formé rapidement par quelqu'un qui s'y connaît, quand on dispose de sa paire de clef, envoyer un message chiffré, c'est aussi simple que de cocher un case « chiffrer ce message ».

• Complexité de mise en oeuvre décourageante (j'ai longtemps utilisé mutt comme MUA principal).

Alors ça c'est bizarre comme point de vue. Dans le genre décourageant à mettre en œuvre, Mutt n'est pas mal : c'est un excellent exemple de logiciel très personnalisable, et très efficace après avoir passé du temps pour cela. En revanche, GPG est remarquablement linéaire dans son utilisation, et très bien intégré à Mutt. Donc, je ne comprends pas…

À mon avis, c'est utile, utilisé dans les milieux motivés pour cela (en ce qui me concerne, Debian). Et pas plus compliqué qu'autre chose en informatique :

• le système de toile de confiance n'est pas intuitif, mais en même temps il ne peut pas l'être ;
• l'utilisation courante avec des outils comme Enigmail pour Thunderbird est simplissime ;
• la mise en œuvre initiale et la formation de base nécessite, comme tout le reste en informatique, l'assistance de quelqu'un qui s'y connaît.

Actuellement par exemple, je peux très facilement écrire des messages signés et chiffrés à ma famille, et eux peuvent faire de même. Ce n'est pas utile pour la plupart des communications, mais pour transmettre un mot de passe c'est appréciable par exemple.