id: Гость   вход   регистрация
текущее время 01:20 29/03/2024
Автор темы: i_df, тема открыта 25/08/2011 14:31 Печать
Категории: инфобезопасность, сеть доверия, разное, офф-топик
https://www.pgpru.com/Форум/Офф-топик/ВиртуальнаяKeySigningParty
создать
просмотр
ссылки

Виртуальная Key Signing Party


Я недавно использую PGP, и использую преимущественно для переписки с несколькими друзьями и коллегами которые очень (даже может быть слишком) ценят свою приватность. Но сама идея с подписанными ключами и децентрализованной сетью доверия показалась мне очень интересной.


Мне хотелось бы иметь "сильный" ключ, подписанный большим количеством активных пользователей PGP, чтобы в будущем если кто-то захочет написать мне защищенный е-мейл или выслать зашифрованный файл и получит мой ключ с серверов ключей – чтобы у него не возникало сомнений в подлинности ключа.


К сожалению, я в ближайшее время врядли попаду на какую-нибудь Signing Party в реальности и по этому предлагаю провести такую "встречу" в виртуальности.


Проверить личность друг дуга можем каким-нибудь из следующих способов:
1) Подтвержденный PayPal аккаунт. (перевести доллар с последующим возвратом)
2) На основе WebMoney-сертификата.
3) или оба эти способа сразу.
4) предлагайте другие варианты.


Что думаете?


 
Комментарии
— unknown (25/08/2011 14:55)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
4) Стать крупным разработчиком самой программы GnuPG; мантейнером дистрибутивов Linux, которые полагаются на строгую политику подписания патчей/пакетов GnuPG-ключами Debian или участвовать в каком-нибудь подобном проекте.
— unknown (25/08/2011 16:23)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Кое-что описано здесь: Signing Role Keys and Pseudononymous Keys.

Короткий вывод — виртуальным путём можно подписать виртуальную идентичность. С соответствующим виртуальным доверием. Достаточно просто попросить владельца такого ключа, представляющего не реального человека, а псевдоним или организацию, подписать любую присланную вами случайную строку. Если он соглашается и все подписи сходятся — то вы его заверяете. Не заботясь о том, кто он на самом деле есть, ведь вы заверяете виртуала, псевдонима и т.п.

Правда там не рассмотрена ситуация, что он может после этого повесить на свой ключ UID реального человека и как тогда быть? Ведь для заверения ключей реальных лиц такой метод не подходит.

С сертификатами и аккаунтами такая же ситуация. Это заверение виртуала, который на момент подписания (его ключа вашим) контролирует: данный ключ, e-mail, сертификат, аккаунт, домен и т.д.
Но это не сеть доверия в традиционном смысле, как связь виртуальных идентичностей с реальными.

Хотя, опять же, как указано в ссылке и такое использование сети возможно, если подписывается ключ: заведомо анонимный (псевдонимный), представляющий виртуальную роль (лэйбл, марку, организацию) — разработчик ПО, владелец домена, и т.д. (хоть модератор форума).
— sentaus (25/08/2011 16:41, исправлен 25/08/2011 16:42)   профиль/связь   <#>
комментариев: 1060   документов: 16   редакций: 32
Правда там не рассмотрена ситуация, что он может после этого повесить на свой ключ UID реального человека и как тогда быть?

В OpenPGP всё-таки UID-ы подписываются, и если некто добавит ещё один, то на нем подписи не будет. Проблема в таком случае заключается в правильной программной обработке этого случая в интерфейсах и понимании этого пользователями.


Хорошо бы, конечно, иметь возможность частичного заверения данных: имя отдельно, email-ы отдельно, телефон отдельно... Но такого пока нет.

— unknown (25/08/2011 16:52)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Абсолютно верно подмечено насчёт UID'ов и интерфейсов. Но понятно, почему этого и нет. (Open)PGP рассчитан всё-таки на традиционную модель сети доверия, когда подписывают ключи реальных людей. И это жёстко прописано даже в интерфейсе GnuPG.

Также нужен простой однобитовый ответ: "верю/не верю данной идентичности (UID'у)" или с градациями степени доверия. Но не так, чтобы это вычислялось по частям: "имейлу верю, в имени сомневаюсь, телефон не знаю".
— SATtva (25/08/2011 19:33)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Если UID выглядит как "Имярек <me@somewhere.com> (phone +71233210099)", и заверитель уверен только в имени и мэйле, то, по логике, подписывать UID он не должен. Если пользователь так уж хочет подпись от заверителя, пусть добавляет UID, где укажет только проверенные реквизиты.

Возвращаясь к вопросу TS, полагаться на установления личности, выполненные третьими лицами, при заверении чужих ключей в общем случае не следует. По крайней мере, при подписании ключа надо использовать опцию --ask-cert-level и явным образом указать, что проверка не была доскональной.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3