Salut, Le jeudi 15 mai 2003 � 10:26 +0200, Alexandre Fayolle a �crit : > On Thu, May 15, 2003 at 09:37:02AM +0200, J�r�me Marant wrote: > > Bonjour, > > > > J'ai r�cemment rencontr� un d�veloppeur Debian qui vient d'arriver > > � Paris et nous avons �chang� nos empreintes GPG selon la proc�dure > > habituelle. Ma carte de visite, sur laquelle est incrite mon > > empreinte, ne mentionne que mon adresse @debian.org. > > > > Le d�veloppeur en question a r�cup�r� ma cl� mais ne l'a sign�e que > > pour l'UID @debian.org alors que celle-ci contient d'autres UID, et > > ceci pour des raisons de s�curit�. Je n'ai pas r�ussi � obtenir > > d'explications convaincantes sur les probl�mes li�s � la s�curit�. > > > > Est-ce quelqu'un saurait expliquer les probl�mes et risques ou > > pourrait me diriger vers une documentation claire ? > > > Supposons : > > * une des UID corresponde � une adresse [EMAIL PROTECTED], > qui ne t'appartient plus (tu as chang� de boulot) > * ancien_employeur a r�assign� cette adresse � quelqu'un d'autre > * tu n'as pas supprim� cette adresse de ta cl�. > > J'imagine que c'est assez improbable (surtout le dernier point), mais > pas impossible. Il y a dans ce cas un probl�me de s�curit�. > > Une solution valable serait que ce d�veloppeur envoie un mail encrypt� > avec ta cl� publique individuellement � toutes les adresses de ta cl�, > et que tu r�pondes en signant les messages. Il pourra alors v�rifier que > toutes les UID correspondent bien et les signer.
Note qu'en reprenant les arguments que tu as cit�, si le mec se fait
virer apr�s que la personne qui veut signer la cl� ait sond� l'adresse
email, le probl�me est le meme :-)
deluid fonctionne bien, autant l'utiliser :p
Donc pour r�pondre � J�r�me, il n'y a pas de bonnes raisons pour qu'il
ne signe pas tous tes UID :-p
a+
--
Pierre Machard
<[EMAIL PROTECTED]> TuxFamily.org
<[EMAIL PROTECTED]> techmag.info
+33(0)668 178 365 http://migus.tuxfamily.org/gpg.txt
GPG: 1024D/23706F87 : B906 A53F 84E0 49B6 6CF7 82C2 B3A0 2D66 2370 6F87
pgpzX0tWBoXkj.pgp
Description: PGP signature
