From madore@news.ens.fr Path: eleves!not-for-mail From: madore@news.ens.fr (GroTeXdieck) Newsgroups: ens.forum.informatique.crypto Subject: Cles PGP Date: 2 Oct 1999 17:23:43 GMT Lines: 108 Sender: madore@clipper.ens.fr Message-ID: <7t5f2v$qp4$1@clipper.ens.fr> NNTP-Posting-Host: clipper.ens.fr Mime-Version: 1.0 Content-Type: text/plain; charset=ISO-8859-1 Content-Transfer-Encoding: 8bit X-Trace: clipper.ens.fr 938885023 27428 129.199.129.1 (2 Oct 1999 17:23:43 GMT) X-Complaints-To: forum@clipper.ens.fr NNTP-Posting-Date: 2 Oct 1999 17:23:43 GMT X-Newsreader: Flrn (0.4.0 - 07/99) X-Number-Of-The-Day: 912 Xref: eleves ens.forum.informatique.crypto:343 Nous sommes plusieurs (parmi les lecteurs de forum, s'entend) à avoir une clé PGP (j'ai repéré au moins Fba, Efgé, Beig, Quisar et Nicolas Couchoud - pour ce qui est de celles disponibles sur les serveurs publics). Cependant, ces clés ne sont pas ou peu signées (sauf celle de Nicolas). Ce serait bien de faire un peu de key-signing. Accessoirement, ce serait aussi bien de convaincre des gens qui n'ont pas encore de clé de s'en faire une. Je propose donc que les gens qui ont une clé PGP en donnent l'id et le fingerprint dans forum avec un message suffisamment caractéristique pour qu'on puisse s'assurer de leur identité. Je pense pour ma part que le présent message est suffisamment naszce pour qu'on soit sûr qu'il est de moi, et voici l'empreinte de ma clé : $ gpg --fingerprint 0x0B2790DE gpg: Warning: using insecure memory! pub 1024D/0B2790DE 1999-03-21 David A. Madore Key fingerprint = 445E 6FA7 7B62 2FDE 3671 F1D3 0D93 6426 0B27 90DE sub 1536g/FC4D7234 1999-03-21 Pour ceux qui ne connaissent pas bien gpg, voici la marche à suivre : * Si vous n'avez pas (encore) de clé, tapez gpg --gen-key (en étant sûr que rien de ce que vous taperez ne passera en clair sur le réseau). Il vaut mieux faire ça sur une machine Linux (ou *BSD bien entendu), qui dispose d'un /dev/random. Prenez une clé combinée DSA et Diffie-Hellman. Choisissez entre 1024 et 2048 bits. Utilisez une passphrase assez longue. Notez l'ID de la clé qui vous sera communiqué. * Faites une image ascii de votre clé publique avec gpg --armor --export $ID (où $ID est l'id de la clé, avec 0x devant). Mettez-la dans un endroit évident de votre compte, et sur votre page web (normalement sous un nom en .asc). * Récpuérez l'empreinte de la clé avec gpg --fingerprint $ID, et postez-la dans forum dans un message qui vous caractérise bien, communiquez-la physiquement (sur un papier) à des gens qui vous connaissent. * Envoyez votre clé au monde entier avec gpg --keyserver wwwkeys.pgp.net --send-key $ID ; répétez avec keys.pgp.com et pgpkeys.mit.edu à la place de wwwkeys.pgp.net. Vous pouvez éventuellement attendre d'avoir quelques signatures (il faudra répéter l'opération pour communiquer les signatures). * Si vous voulez transporter (copier) votre clé secrète sur une autre machine, faites gpg --armor --export-secret-key $ID, et faites transiter le résultat avec les plus grandes précautions vers la machine but, où vous ferez gpg --import foobar.asc (foobar.asc étant le fichier où vous aurez mis la clé en question). Il vous faudra aussi importer la clé publique avec gpg --import pubkey.asc (où pubkey.asc a été obtenu par gpg --armor --export $ID). Si ça vous semble trop compliqué, copiez simplement le contenu des fichiers pubring.gpg et secring.gpg sur l'ordinateur destination et importez-les avec gpg --import (mieux vaut probablement ne pas les placer directement dans le .gnupg - mais enfin ça marcherait aussi). * Si vous utilisiez pgp, et que vous voulez passer à gpg, faites gpg --import ~/.pgp/{pubring.pkr,secring.skr} * Pour importer des clés, la commande est gpg --import (suivi normalement d'un fichier en .asc). Cela s'applique aux fichiers de clés publiques d'amis ou même à un fichier contenant votre propre clé munie d'une signature que vous n'aviez pas encore. Vous pouvez également recevoir des clés d'un serveur public, p.e. gpg --keyserver wwwkeys.pgp.net --recv-key $KID (où $KID est l'ID de la clé que vous voulez recevoir). * Comme bon anneau de clé de départ, vous pouvez importer le mien, ftp://quatramaran.ens.fr/pub/madore/PGP/fullring.asc qui contient diverses clés utiles (archives FTP de kernel.org, Linus Torvalds, Eric Raymond, Phil Zimmerman, Werner Koch, et quelques autres célébrités, clé de RedHat, et les clés que j'ai trouvées de normaliens divers ; j'ai signé les clés dont j'étais certain, par exemple celle de RedHat vérifiée sur un CD RedHat, ou celles de Garfinkel et Spafford, dont les empreintes étaient imprimées dans un bouquin d'eux que j'ai acheté). * Si vous êtes persuadé qu'une clé est bien celle de la personne à qui elle prétend être, vous pouvez la signer. Pour cela, faites gpg --sign-key $KID (où $KID est son ID précédé de 0x). Vérifiez l'empreinte qui vous est proposée par rapport à une source certaine, et rentrez votre phrase-clé pour signer. Une fois cette opération faite, exportez la version signée de la clé avec gpg --armor --export $KID et donnez-là à son propriétaire qui sera content d'avoir une signature de plus (vous pouvez également l'envoyer à un serveur public mais je pense que c'est plus poli de laisser ce soin au propriétaire). * Si vous avez reçu des signatures de votre clé, n'oubliez pas de réexporter tout ce qui doit l'être. * Pour utiliser gpg dans mutt, rajoutez à votre .muttrc : set pgp_default_version=gpg set pgp_gpg=/usr/local/util/bin/gpg (ça c'est sur les machines de l'École, avec /usr/local/util/bin/gpg comme chemin d'accès à gpg). Essayez alors la touche « p » avant d'envoyer un mail. * Pour signer un fichier texte c'est gpg --clearsign ; pour crypter un fichier, faites gpg --encrypt --recipient $RCPT où $RCPT est le nom de la personne à qui est destiné le fichier. Pour plus d'informations, man gpg. Voilà, j'espère que c'était intéressant. En tout cas, si vous avez signé ma clé, donnez-moi la signature ce sera gentil. From madore@news.ens.fr Path: eleves!not-for-mail From: madore@news.ens.fr (GroTeXdieck) Newsgroups: ens.forum.alt.bavardage.insultes,ens.forum.informatique.crypto Subject: Re: Le piratage, c'est MAL Followup-To: ens.forum.informatique.crypto Date: 25 Oct 1999 11:55:34 GMT Lines: 58 Sender: madore@clipper.ens.fr Message-ID: <7v1gfm$ss2$5@clipper.ens.fr> References: <7uvq9q$qhg$1@clipper.ens.fr> <7uvrhu$t80$3@clipper.ens.fr> <7uvrm1$8f$1@clipper.ens.fr> <7uvrok$f0$1@clipper.ens.fr> <7uvs0d$so$1@clipper.ens.fr> NNTP-Posting-Host: clipper.ens.fr Mime-Version: 1.0 Content-Type: text/plain; charset=ISO-8859-1 Content-Transfer-Encoding: 8bit X-Trace: clipper.ens.fr 940852534 29570 129.199.129.1 (25 Oct 1999 11:55:34 GMT) X-Complaints-To: forum@clipper.ens.fr NNTP-Posting-Date: 25 Oct 1999 11:55:34 GMT X-Newsreader: Flrn (0.4.0 - 07/99) X-Wisdom-Of-The-Day: According to some people, the opposite of faithfulness won't lead to justice. Xref: eleves ens.forum.alt.bavardage.insultes:871 ens.forum.informatique.crypto:411 Bon, soyons didactique pour une fois. PGP c'est un logiciel et un standard pour faire de la cryptographie (« pour tous »). Il implémente à la fois des méthodes symétriques (crypto classique), et des méthodes à clés publiques. Rappelons que dans une méthode à clés publiques, il y a deux clés, une secrète et une publique, et que la clé publique, comme son nom l'indique, est connue de tout le monde. Pour le chiffrement à clés publiques, n'importe qui peut chiffrer le message (à l'intention d'un destinataire donné) avec la clé publique (de celui-ci), et lui seul peut le déchiffrer (avec sa clé secrète). Les méthodes de signature, c'est un peu le contraire : le signataire utilise sa clé privée pour ajouter au message une « signature », qui est un bout de binaire (généralement encodé en ASCII), qui dépend du message, et qui ne peut avoir été générée qu'avec la clé privée ; et toute personne disposant de la clé publique (dont, généralement, tout le monde) peut vérifier l'exactitude de la signature. Celle-ci garantit l'authenticité (elle ne peut avoir été générée qu'avec la clé privée) et l'intégrité du message (on ne peut pas modifier le message car il faudrait recalculer la signature, donc disposer de la clé privée) ; elle permet donc l'authentification et interdit la répudiation du message (le signataire ne peut pas nier avoir signé le message car il y a sa signature qui témoigne qu'il l'a bien écrit - tout au plus peut-il prétendre que sa clé secrète a été piratée, et alors il sera accusé au moins de négligence). PGP est un logiciel propriétaire, donc c'est Mal ; il existe un remplacement libre de PGP, appelé GPG, qui implémente le même standard, que j'ai installé chez gourous. Un mode d'emploi, pour ceux que ça intéresse, figure dans le message 343 du forum crypto (<7t5f2v$qp4$1@clipper.ens.fr>). Peu importe. yaf, c'était un truc semblable à forum, mais en beaucoup plus naszce et raz-des-pâquerettes. La grande différence avec forum était l'anonymat (encore que... des messages comme les messages 1 et 2 du conti « Va te couchoud » prouvaient que cet anonymat n'était pas parfait). C'est d'ailleurs à cause de cet anonymat et de l'abus qui en a été fait (disons que des propos particulièrement injurieux ont été tenus à l'égard d'une certaine demoiselle) que yaf a été mis en read-only par les gourous avec le projet de décider de son sort plus tard (ce qui signifie, comme toujours chez gourous, qu'on garde le statu quo sans se décider jamais à le rouvrir ou à le blaster purement et simplement). Les différents posteurs dans yaf avaient leurs pseudo habituels (pas toujours les mêmes que dans forum, et avec certaines variations bizarres ; p.e. « Ska » devenait « Ska(rn) » dans yaf, et « Laura » c'était Hugues, tandis que la vraie Laura était « L. Dove ») mais bien entendu tout le monde pouvait prendre le pseudo de n'importe qui. Forcément, « on » a rapidement signé des faux messages avec mon pseudo (je sais qui « on » est, mais peu importe) ; j'ai menacé, si « on » continuait, de signer mes messages avec PGP pour rendre ça impossible. « On » a continué, et je l'ai fait. Ce fut une GroTeXitude de plus à mon actif. Voilà. Moralité : dans un talk, si vous n'êtes pas sûr de l'identité de votre interlocuteur, exigez qu'il signe, avec sa clé PGP secrète, une phrase de reconnaissance. (Cela exige bien entendu qu'il ait une clé et que vous ayez la clé publique associée ; à mon avis, tout le monde devrait avoir une clé PGP.)