Key signing party

En cryptographie, une key signing party est un événement pendant lequel des personnes s'échangent entre elles leurs clefs compatibles PGP. L'échange se fait de visu, de la main à la main. En partant du principe qu'on a confiance en le fait que la clef appartient bien à la personne qui le prétend, les participants signent numériquement le certificat contenant cette clef publique, le nom de la personne, et ainsi de suite.

Bien que les clefs PGP (Pretty Good Privacy) soient généralement utilisées avec des ordinateurs personnels dans le cadre d'applications liées à Internet, les key signing parties se déroulent généralement sans ordinateur, puisque cela augmenterait le risque d'abus de confiance. Au lieu de cela, les participants communiquent une chaîne de lettres et de numéros, nommée empreinte de la clef publique, qui représente leur clef.

L'empreinte est créée via une fonction de hachage cryptographique, qui réduit la clef à une chaîne (plus courte et plus facilement gérable). Les participants échangent ces empreintes tout en vérifiant chacun l'identité des autres personnes participant à l'échange. Puis, après la rencontre, chaque participant récupère (par le biais des serveurs de clés existant sur Internet) les clefs correspondant aux empreintes qu'on lui a données, et signe chacune des clefs.

En définitive, une key signing party permet à chacun d'accroître et de renforcer sa toile de confiance (en anglais, Web of Trust), et donc d'être sûr, qu'une clé récupérée depuis un serveur de clés appartient bien à la personne qui le prétend. Cette certitude est souhaitable, voire nécessaire, dans de nombreux environnements ; par exemple, le système de messagerie électronique conventionnel ne contient aucun moyen de se prémunir d'une usurpation d'identité ou d'adresse de messagerie.

Voir aussi

Article connexe

• GNU Privacy Guard
• Cryptoparty

Lien externe

• (en) Keysigning Party Howto