On Thu, May 15, 2003 at 09:37:02AM +0200, J�r�me Marant wrote: > Bonjour, > > J'ai r�cemment rencontr� un d�veloppeur Debian qui vient d'arriver > � Paris et nous avons �chang� nos empreintes GPG selon la proc�dure > habituelle. Ma carte de visite, sur laquelle est incrite mon > empreinte, ne mentionne que mon adresse @debian.org. > > Le d�veloppeur en question a r�cup�r� ma cl� mais ne l'a sign�e que > pour l'UID @debian.org alors que celle-ci contient d'autres UID, et > ceci pour des raisons de s�curit�. Je n'ai pas r�ussi � obtenir > d'explications convaincantes sur les probl�mes li�s � la s�curit�. > > Est-ce quelqu'un saurait expliquer les probl�mes et risques ou > pourrait me diriger vers une documentation claire ?
Supposons : * une des UID corresponde � une adresse [EMAIL PROTECTED], qui ne t'appartient plus (tu as chang� de boulot) * ancien_employeur a r�assign� cette adresse � quelqu'un d'autre * tu n'as pas supprim� cette adresse de ta cl�. J'imagine que c'est assez improbable (surtout le dernier point), mais pas impossible. Il y a dans ce cas un probl�me de s�curit�. Une solution valable serait que ce d�veloppeur envoie un mail encrypt� avec ta cl� publique individuellement � toutes les adresses de ta cl�, et que tu r�pondes en signant les messages. Il pourra alors v�rifier que toutes les UID correspondent bien et les signer. -- Alexandre Fayolle LOGILAB, Paris (France). http://www.logilab.com http://www.logilab.fr http://www.logilab.org D�veloppement logiciel avanc� - Intelligence Artificielle - Formations
