Perché le persone controllano il passaporto sugli eventi di firma delle chiavi?

Question

Perché le persone controllano il passaporto sugli eventi di firma delle chiavi?

#1 da (2 voti)

2

Trovo la procedura comune delle parti per la firma delle chiavi un po 'scomoda:

La persona A presenta il passaporto e un'impronta digitale "Questa è la mia chiave!". La persona B controlla i passaporti e decide un livello di fiducia per firmare la chiave a casa.

Ora l'unica cosa che la persona B può veramente confermare è che la persona A era presente (basata sulla fiducia nel passaporto) sostenendo che la chiave stampata è sua / sua. L'unica mappatura alla chiave è per nome però - che potrebbe non essere nemmeno unica.

In effetti, la persona A avrebbe potuto cercare qualcuno che avesse lo stesso nome e pagarlo per andare invece a firmare quella chiave. A meno che la chiave non abbia un identificativo (ne hanno pochissimi) nessuno se ne accorgerebbe. Forse non molto probabile o addirittura un vettore di attacco ma un esempio per mostrare il problema.

L'unico modo per confermare che la persona A abbia accesso alla chiave privata è che lei / lui firmi qualcosa. Tuttavia, la firma (o anche solo la consegna di chiavi) di solito non è consentita / richiesta per la maggior parte degli eventi di firma delle chiavi.

Ma non avrebbe molto più senso? Nessuna delega di fiducia a un passaporto. Nessuna corrispondenza visiva con una foto. Cosa mi manca?

Considereresti la procedura comune più sicura della firma sul posto? Riesci a immaginare un'alternativa migliore alla procedura comune?

key-management pgp gnupg openpgp web-of-trust

posta tcurdt 11.07.2018 - 22:43

fonte

1 risposta

Leggi altre domande sui tag key-management pgp gnupg openpgp web-of-trust

E-mail di frode "DHL" scaricata su Linux, è necessaria un'azione? Ed25519 è ancora sicuro, nonostante l'attacco di errore pubblicato nel 2017?

score 2 · Answer 1

Le parti che firmano le chiavi sono, in effetti, una specie di inutili se si tratta di persone che non si sono mai incontrate prima. A meno che tu non sia un esperto nel riconoscere documenti contraffatti, non sarai mai in grado di dire un vero passaporto da un passaporto falso ben fatto (o, peggio, un vero e proprio ID laminato da un falso ID laminato, se proviene da un altro stato della provincia ). Inoltre, è nella natura umana comportarsi bene quando si tratta di altri umani, quindi nessuno sta per colpire un ID cercando di vedere se si tratta di un falso o di una cosa reale. Il nerd umano con cui ti dovrai confrontare sorriderà, dirà qualcosa come "sì, sembra un ID" e acconsenti a firmare la tua chiave - il tutto mentre ti senti molto imbarazzante e imbarazzato.

Lo standard OpenPGP ha in realtà un meccanismo per indicare quanti sforzi hai fatto per verificare l'identità di qualcuno. Se esegui gpg con --ask-cert-level al momento della firma di una chiave, ti offrirà un modo per indicare la quantità di convalida dell'identità che hai eseguito, da "Nessuna in assoluto" a "verifica molto estesa". Questa opzione è disattivata per impostazione predefinita perché pochissime persone lo usano correttamente, quindi in questi giorni è piuttosto insignificante.

Significative parti per la firma dei tasti non implicano passaporti o altri tipi di documenti di identificazione, perché avvengono tra persone che si conoscono da precedenti impegni. Per esempio, quando qualcuno come Linus Torvalds firma una chiave appartenente ad un altro sviluppatore del kernel Linux, non lo fa per indicare che "questo è Dirk Hohndel perché ho controllato il suo ID rilasciato dal governo", ma per dire "questa chiave appartiene a un persona che conosco come Dirk Hohndel. " Non è importante per altri sviluppatori di kernel Linux con il nome di Dirk che carica le sue tasse - tutto quello che vogliono veramente sapere è che "questo è lo stesso Dirk che lavora con Linus Torvalds."

Quindi, se stai partecipando a una festa per la firma dei tasti in cui nessuno si conosce l'un l'altro, vai via - qualsiasi firma chiave ottenuta a tali eventi avrà un valore molto basso.