Пример
Помогите разобраться с примером, который приведен в документации.
Там таблица и сеть на картинке. Частично затрудняюсь перевести и поэтому затрудняюсь полностью понять все варианты.
Using trust to validate keys
https://www.gnupg.org/gph/en/manual.html#WOT-EXAMPLES
[moderator]
Нижеследующая инструкция содержит ложные выводы. Следование ей способно скомпрометировать вашу безопасность.
[/moderator]
Для PGP это делается так. Применительно к GPG, так как у самого нет PGP, но можно посмотреть.
1) Идем на официальный сайт ключей симантика https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
2) Ищем ключ филла циммерманна по ID prz@mit.edu или почте prz@mit.edu
3) Скачиваем этот ключ
4) Импортирруем на связку
5) Открываем его через консоль
6) gpg.exe --homedir="?" --list-sigs
7) видим что на нем много подписей, значит он подлинный
к примеру sig sig CF73EC4C все на том же https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
находим этого пользователя Will ну и так далее по всем подписям.
ОБРАТИ ВНИМАНИЕ на подпись CA57AD7C PGP Global Directory Verification Key. Эта подпись говорит о том что компания
семантик подписала ключ филла циммермана, говоря о том что семантик подтверждает подлинность ключа филла циммерманна и полностью доверяемт его ключу.
А ТАКЖЕ то что филл циммерман подписал ключ CA57AD7C PGP Global Directory Verification Key компании семантик, он утверждает его подлинность и полностью ему доверяет.
СКЛАДЫВАЯ ВСЕ СЕМЬ ПУНКТОВ, мы делаем вывод что ключ филла циммерманна на сервере ключей семантика ПОЛНОСТЬЮ подлинный и ему можно ПОЛНОСТЬЮ доверять.
комментариев: 11558 документов: 1036 редакций: 4118
Никогда так не делайте. Сгенерировать ключ с любым UID — не проблема, сгенерировать кучу других ключей и подписать ими первый — не проблема.
Ничего подобного. Это подпись автоматической валидации почтового адреса и ничего более. Никакой проверки, принадлежит ли этот ключ и email тому человеку, имя которого указано в UID, не проводится.
Гость написал какой-то феерический бред, не читайте его.
У многих на открытых ключах ее вижу, не могу понять откуда она берется? И для чего она вообше нужна?
Кто ее добавляет, компания семантик?
комментариев: 11558 документов: 1036 редакций: 4118
А для чего компании семантик необходимо проверять емайлы указанные в UIDах ?
Что это дает? Или ничего не дает? Как интерпретировать эту информацию?
И почему у многих на ключах сразу по несколько десятков этих CA57AD7C PGP Global Directory Verification Key
комментариев: 9796 документов: 488 редакций: 5664
Компания Саймантик заверяет своим ключом, что кто-то умеет перехватывать почту владельца и слать ей подставные ответы.
комментариев: 11558 документов: 1036 редакций: 4118
Они позиционировали эту фичу как возможность дать владельцу ключа некоторый контроль по загрузке ключа на сервер (загрузка также требует подтверждения) и его удалению.
Принимайте её в том духе, что владелец ключа с некоторой вероятностью имеет доступ к указанному в UID почтовому ящику.
Раньше это подтверждение выдавалось на ограниченный срок (то ли 3, то ли 6 месяцев) и по его окончании сервер повторно пинговал почтовые ящики и продлевал свою подпись. Для продления подписи требуется сгенерировать новую с новым сроком действия, из-за чего пакеты подписей аккумулировались в нездоровом количестве. Видимо, по данной причине эту порочную практику свернули.
комментариев: 11558 документов: 1036 редакций: 4118
Лолда.
А у филла циммерманна аж 2014 годом CA57AD7C PGP Global Directory Verification Key датирован и начиная кажись с 2003 что ли
комментариев: 11558 документов: 1036 редакций: 4118
https://keyserver.pgp.com/vkd/.....ificationPGPCom.html
[moderator]
Оверквотинг, исправлена ссылка. Автору напоминаю о правилах сайта, в другой раз пост будет просто удалён.
[/moderator]
https://keyserver.pgp.com/vkd/.....ificationPGPCom.html + https://keyserver.pgp.com/vkd/.....gningKey.event?rep=4 ???