PGP è progettato per utilizzare una "rete di fiducia" per autenticare le chiavi pubbliche. Non esiste un'autorità centrale (come una CA) per PGP, quindi è necessario che altre persone firmino la propria chiave.
Per convalidare una chiave, puoi confrontare quanto ti fidi delle persone che lo hanno già firmato, con quanto ti fidi di loro. Se vedi solo una firma e non proviene da nessuno che conosci, forse non dovresti fidarti troppo. Ma se è firmato da cinque persone e uno dei firmatari è il tuo capo, probabilmente ti fideresti un bel po '.
Web of trust - signing
La firma delle chiavi è importante per PGP, ma all'inizio è difficile da capire.
Quando firmi un tasto, prendi in considerazione due fattori: quanto so che sei tu chi dici di essere e quanto mi fido di te per controllare le altre persone prima di firmare le loro chiavi?
Se tu fossi il mio migliore amico, direi che sei senza dubbio Martin. Ma non ti conosco affatto, quindi oggi non firmerò la tua chiave. Ora, diciamo che ci siamo incontrati a una conferenza e tu mi hai chiesto di firmare la tua chiave. Ti chiederei di mostrarmi prima la tua patente di guida. Allora firmerei la tua chiave, con un livello che corrisponde alla mia fiducia che la tua licenza non è stata falsificata.
Ma ancora non ti conosco come persona. Non so se sei un tipo responsabile o no, quindi non mi fiderei della tua capacità di fare attenzione quando controllo le altre persone. Ma la mia migliore amica è una persona molto attenta, e mi fiderei anche che controllasse le altre persone molto attentamente prima di firmare le loro chiavi. Quindi firmerei la chiave del mio amico e attesto che il mio livello di fiducia in lui è molto alto.
Web of trust - utilizzando
Quindi ora hai una chiave pubblica da qualcuno. Come ti fidi che in realtà è la loro chiave? Guardi le firme. Guardi chi ha attestato l'autenticità di questa persona. Sono quelle persone firmatari di cui ti fidi? Sono personaggi famosi? Sono solo estranei casuali? I firmatari hanno posto molta fiducia nella chiave, o solo una conferma che l'hanno firmata. Se i firmatari sono persone di cui ti fidi, lo accetti rapidamente. Ma persone a caso? Forse ti puoi fidare se un numero sufficiente di loro lo ha firmato. Ed è qui che si imposta il livello soglia di fiducia. Ti fidi di una chiave firmata dal tuo migliore amico. Ti fidi di una chiave che il tuo migliore amico ha detto è stata firmata da un bravo ragazzo, ma forse non quella in cui il tuo amico ha detto "Non lo conosco bene". Altrimenti, forse sceglierai di fidarti se ha 10 o più firme casuali.
In definitiva, esiste un "set strong" di circa 50.000 firmatari di cui le persone di tutto il mondo si fidano. Se due o tre di loro hanno firmato una chiave, è una strong indicazione che dovresti aver fiducia anche in essa. Le persone di quel gruppo sono chi vuoi veramente firmare le tue chiavi in modo che i membri del pubblico possano fidarsi delle tue.
Organizzazioni
Quindi ora ci sono alcune persone nella tua organizzazione che vuoi affidare alle chiavi pubbliche di PGP. Come si fidano delle loro chiavi? Per prima cosa, invitali a firmare a vicenda le chiavi. Quindi, falli firmare da altri. Molti altri. Pubblica le chiavi pubbliche di quei dipendenti nella pagina "contattaci" del tuo sito web ufficiale. Quello che vuoi è stabilire molte connessioni nella rete di fiducia in modo che molte persone, alcune delle quali sono rispettate e degne di fiducia, abbiano attestato che questi impiegati sono coloro che tu dici di essere.