Che cosa stai dicendo quando firmi una chiave PGP?

OpenPGP non definisce alcuna regola per le certificazioni

Da RFC 4880 , Tipi di firma:

[...] Please note that the vagueness of these meanings is not a flaw, but a feature of the system. Because OpenPGP places final authority for validity upon the receiver of a signature, it may be that one signer's casual act might be more rigorous than some other authority's positive act. [...]

Best practice informali

Però c'è una sorta di best practice informale. Pubblicando una certificazione di livello di affidabilità indefinito o casuale ( sig o sig2 , tipi di firma 0x10 e 0x12 ) tu dichiari di essere sicuro dell'identità del firmatario . Questo potrebbe essere successo controllando documenti ufficiali o conoscendo qualcuno molto bene. Spesso le persone inviano una mail cifrata contenente la firma come allegato anche per verificare la proprietà dell'indirizzo mail .

Le certificazioni di livello di fiducia positivo ( sig3 , tipo 0x13 ) di solito richiedono alcune certezze avanzate del firmatario in quello che sta facendo. Ciò potrebbe essere dovuto alla conoscenza a lungo termine del firmatario o all'alto livello di confidenza dei documenti noti presentati (ad esempio, i passaporti del proprio paese).

Politiche di certificazione

Poiché non ci sono regole generali e applicate per le certificazioni, alcune persone pubblicano politiche di certificazione , che sostengono di seguire. Spesso rappresentano solo le migliori pratiche informali, ma possono aiutare gli altri a giustificare le dichiarazioni di certificazione.

Spesso contengono informazioni su come si controllano le chiavi, su quali documenti si richiedono, su come gestisci le variazioni nei nomi dei partecipanti e possibilmente di più. Spesso, sono documenti firmati e referenziati da ciascuna certificazione rilasciata l'opzione cert-policy-url di GnuPG .

Dovresti fare entrambe le cose. Ti viene offerta un'opzione per firmare solo UID specifici o tutti gli UID e devi solo firmare gli UID che puoi garantire. Ad esempio, se lavori a Example Inc e Bob ha "[email protected]" e "[email protected]", devi solo firmare il suo UID [email protected].

Una firma PGP indica quanto segue

1. Sto attestando che questa chiave appartiene a Bob
2. Sto attestando che questo ID e-mail elencato nel suo certificato appartiene a Bob

In realtà, poche persone fanno il # 2 e la maggior parte si limita a firmare tutti gli UID senza controllo.

Le persone che partecipano a PGP dovrebbero avere una certificazione di pratica (CPS), ma questo non è così comune come dovrebbe essere Ad es.,

• link
• link

Queste politiche hanno in genere un comune denominatore di incontro con la persona, la convalida del documento d'identità rilasciato dal governo corrisponde al nome con cui si presentano e garantisce che la persona abbia il controllo sull'indirizzo email in questione.

Mi piace la formalità di un CPS, specialmente quando si tratta di politiche riguardanti la firma di chiavi di alias o chiavi organizzative.

Il CPS indicherà quando e perché un'autorità firmerà una chiave o un certificato. link

Per dividere i capelli, puoi firmare la chiave di nessuno per qualsiasi motivo. Se pubblica la firma, dovresti avere un CPS e devi firmare digitalmente il CPS. Se qualcuno ti chiede perché hai firmato la chiave di qualcuno, puoi indicarlo.