OpenPGP - J'ai participé à une fête de la signature des clefs

Le 2 novembre 2017, Ludovic Hirlimann, qui est membre du staff technique chez Mozilla, a organisé une rencontre pour que les détenteurs d'une clef PGP puissent certifier les autres clefs : c'est une key signing party.

Le principe est simple. Chaque participant donne sa clef publique à l'organisateur. L'organisateur va regrouper l'ensemble des clefs sur une feuille. Cette feuille est ensuite distribuée à chaque participant. Le but est de vérifier l'identité du détenteur de la clef et de certifier ou non la clef PGP.

Cela paraît simple, mais il faut une bonne organisation. Lors de cette rencontre, nous étions 20 personnes.

Il y a deux rangées de 10 personnes qui se font face. À tour de rôle, les personnes posent des questions pour vérifier l'identité de leur interlocuteur. Prenons un exemple avec Bob et Alice.

Bob: Qui es-tu? Alice: Je suis Alice. Bob: Est-ce que l'empreinte de la clef est correcte ? Alice: Oui Bob: Est-ce que je peux voir une pièce d'identité ? Alice: Oui, la voici. Bob: vérifie le nom, prénom et la photo. Ok je valide ton identité.

Ensuite Bob met une croix pour dire que l'empreinte de la clef est bonne et que l'identité est vérifiée. Ce dialogue est inversé puis reproduit avec les 19 autres personnes.

Une fois l'événement terminé, il faut certifier les clefs des personnes que l'on a vérifié. Certifier une clef, c'est donner sa confiance à la personne rencontrée. Cette action n'est pas anodine car elle sera retranscrite dans la clef que je vais certifier. Par exemple, je n'ai pas certifié de clefs dont le nom et prénom incrit dans la clef PGP ne correspond pas à ce qui a été vérifié avec la pièce d'identité.

Comment certifie-t-on une clef ? Il faut tout d'abord charger la clef maître dans le trousseau de clef GPG.

wilson@spaceship:~$ gpg2 --import 1A8132B1.priv.asc

Ensuite, je télécharge la clef publique que je veux certifier.

wilson@spaceship:~$ gpg2 --keyserver pgp.mit.edu --recv-key 0x66B9A0141AD7A463

Je vérifie que la clef est bien téléchargée.

wilson@spaceship:~$ gpg2 --list-keys
/home/thierry/.gnupg/pubring.gpg
--------------------------------
pub   rsa4096/1A8132B1 2017-10-05 [C]
uid         [ultimate] Wilson Eleven <wilson.eleven@labs.com>
sub   rsa4096/B73A9C79 2017-10-05 [E] [expires: 2018-10-05]
sub   rsa4096/9CC8B2FB 2017-10-05 [S] [expires: 2018-10-05]
sub   rsa4096/8047B454 2017-10-05 [A] [expires: 2018-10-05]

pub   rsa2048/1AD7A463 2017-01-05 [SC] [expires: 2018-11-03]
uid         [  full  ] Thierry Thuon <thierry@thuon.eu>
sub   rsa2048/9AC774F5 2017-01-05 [E] [expires: 2018-08-03]
sub   rsa2048/BCA82453 2017-08-05 [S] [expires: 2018-08-05]
sub   rsa2048/178CF83B 2017-08-05 [A] [expires: 2018-08-05]

Et je certifie la clef.

wilson@spaceship:~$ gpg2 --sign-key 1AD7A463

pub  rsa4096/1A8132B1
     created: 2017-10-05  expires: never       usage: C
     trust: ultimate      validity: ultimate
ssb  rsa4096/B73A9C79
     created: 2017-10-05  expires: 2018-10-05  usage: E
ssb  rsa4096/9CC8B2FB
     created: 2017-10-05  expires: 2018-10-05  usage: S
ssb  rsa4096/8047B454
     created: 2017-10-05  expires: 2018-10-05  usage: A
[ultimate] (1). Wilson Eleven <wilson.eleven@labs.com>

gpg: using "1A8132B1" as default secret key for signing

pub  rsa2048/1AD7A463
     created: 2017-10-05  expires: never       usage: C
     trust: ultimate      validity: ultimate
 Primary key fingerprint: F493 8474 2A00 383E 1B4D  6511 66B9 A014 1AD7 A463

     Thierry Thuon <thierry@thuon.eu>

Are you sure that you want to sign this key with your
key "Wilson Eleven <wilson.eleven@labs.com>" (1A8132B1)

Really sign? (y/N) y

Taper 'y' et entrée. Voilà, la clef est certifiée. Il est possible de la déposer directement sur le serveur de clef ou de l'envoyer par email de manière chiffée et signée.

wilson@spaceship:~$ gpg2 --keyserver pgp.mit.edu --send-keys 0x66B9A0141AD7A463

Si je vais sur le serveur de clef je peux voir que ma clef a été certifiée par plusieurs personnes rencontrées lors de l'événement.

Pour conclure, cet événement m'a permis de rencontrer d'autres personnes intéressées par le protocole PGP, qui se base principalement sur la confiance. Plus la clef est certifiée par de nombreuses personnes, plus les autres personnes qui voudront communiquer avec moi auront confiance en cette clef. C'est un cercle vertueux :).

N'hésitez pas à y participer ou même en organiser une.

Article en relation

• OpenPGP - Une paire de clés presque parfaite (partie 1)
• OpenPGP - Exporter les clefs secrètes sur une Yubikey (partie 2)
• OpenPGP - Stockage sur le long terme de clefs (partie 3)
• OpenPGP - J'ai participé à une fête de la signature des clefs (partie 4)

Resources

• Se rencontrer pour échanger ses clefs le 2 novembre à Paris
• Wikipedia Key signing party
• Debian Keysigning