GPG?? PGP??? Publique? Privée??

Efhache84 · Le 31/10/2006, à 15:20

Mais qu'est-ce donc que tout celà?? je n'ai pourtant vécu au fond de ma grotte que durant 50 ans... aurais-je manquer des choses?? Apple 2 n'est-il plus la référence? Les codes d'Enigma percée??

Bon vous l'aurez compris (ou pas en fait...) j'aimerais avoir plus d'éclaircissement sur ce que sont les GPG, PGP clés publiques, privées etc...

Pour résumé voilà ce que j'ai compris

GPG, pour GnuPG, est le pendant libre de PGP... petit programme permettant de créer des clés publique/privée qui vont me permettre de chiffrer et/ou signer mes emails... afin de s'assurer dans le premier cas que seul le destinataire puisse lire mon mail (bon là je n'ai pas tant de secret donc...) et dans le second mettre une signature numérique affirmant que je suis bien l'auteur du message (ça, ça peut aider... surtout que des mails que je n'ai jamais écrit sont arrivés dans les boites de mes contacts... bon à l'époque c'était outlook express...:rolleyes:)

Mais sinon, comment celà fonctionne-t-il? C'est bien gentil de dire que j'ai mis une signature numérique, mais comment le destinataire peut-il être sur que ce certificat est vrai? Que ce n'est pas qqn d'autre qui en a crée un vrai faux certificat?
Même chose pour le chiffrement, comment mon contact fait-il pour déchiffrer???

En bref ça fonctionne comment??? Voilà désolé de poser une question qui est vraiment honteusement idiote... mais ma grotte était grande... je me suis perdu le premier jour en cherchant ma cave à vin

szdavid · Le 31/10/2006, à 15:48

voici des éléments de réponse :

http://www.szdavid.com/wordpress/2005/12/16/cryptage-et-chiffrement-notions/

Efhache84 · Le 31/10/2006, à 15:57

Merci beaucoup.. je crois avoir donc compris dans les grandes lignes... je vais m'amuser à tester celà ce soir

JoelS · Le 31/10/2006, à 23:17

Efhache84 a écrit :

Mais sinon, comment celà fonctionne-t-il? C'est bien gentil de dire que j'ai mis une signature numérique, mais comment le destinataire peut-il être sur que ce certificat est vrai? Que ce n'est pas qqn d'autre qui en a crée un vrai faux certificat?

C'est bien la le problème de base, et le lien cité par szdavid n'en parle pas beaucoup. Les mathématiques utilisées dans la crypto numérique sont dignes de confiance (quand on sait ce que le logiciel implémente, et aux bugs près) mais toute la solidité repose sur les clefs, et donc toute la confiance qu'on peut faire au système repose sur la confiance qu'on peut faire à la clef (en fait, au certificat qui transporte la clef).

En gros, il y a 2 architectures concurrentes de système à clefs public/clefs privées: la norme OpenPGP (base de GnuPG) et la norme X509. Les clefs générées par ces 2 systèmes sont incompatibles bien sûr.

Pour simplifier, OpenPGP se base sur des réseaux de confiance et les membres de ces réseaux attribuent des valeurs de confiance aux différentes clefs publiques échangées: puisque je sais que mon ami Jérôme est un pro de la sécurité informatique, j'ai raison d'avoir confiance en sa clef, et surtout je peux avoir confiance dans les clefs publiques des gens qu'il connait, car il aura fait attention de bien vérifier la validité des ces clefs. Par contre, mon ami Franck est très sympathique, mais il est un peu trop naïf, alors je fais beaucoup moins confiance aux clefs qu'il me transmettra. Par ailleurs, j'ai confiance dans ce serveur de clef OpenPGP car il est administré de main de maitre (es sécurité) et donc il distribue des clefs dignes de confiance.

Avec ce principe, un réseau de confiance se construit petit à petit.

X509 est une approche hiérarchique dont la confiance est essentiellement basée sur la publication de la politique de certification mise en oeuvre (oui, elle doit être publiée!). En gros, une autorité de certification racine va publier ses propres clefs publiques (en fait ses certificats) ainsi que la politique de certification qu'il met en oeuvre à la fois pour protéger ses propres certificats et ceux qu'il délivre pour les autres. Par exemple une grande entreprise va mettre en oeuvre une autorité de certification propre qui va certifier (délivrer des certificats pour) ses salariés. Le certificat du salarié Alain est signé par le certificat de l'entreprise. Si je fais confiance au certificat de l'entreprise, alors de facto je fais confiance à la politique de certification de cette entreprise pour les certificats qu'elle délivre. Donc je fais confiance au certificat d'Alain!

Avec ce principe, il suffit d'avoir les certificats racine pour établir un arbre de confiance.

Est-ce clair ?

Efhache84 · Le 31/10/2006, à 23:23

Oui... enfin... si je dois te résumer c'est que pour faire confiance à ce système faut être vraiment naïf...

Mitchnumber1 · Le 21/06/2009, à 17:00

http://blog.rom1v.com/2009/05/gnupg-chi … r-les-nuls

Kasi · Le 14/08/2009, à 15:48

Je tape un peu l'incruste dans le topic pour une question un peu différente.

Si l'on publie la clé publique sur un serveur de clés, risque-t-on de se faire spammer l'adresse email associée à la clé ?

Wacken · Le 14/08/2009, à 15:54

Kasi a écrit :

Je tape un peu l'incruste dans le topic pour une question un peu différente.
Si l'on publie la clé publique sur un serveur de clés, risque-t-on de se faire spammer l'adresse email associée à la clé ?

Ca m'étonnerait qu'il y ait beaucoup de bot qui récupèrent les adresses mails à partir des clés (y'a déjà de quoi faire sur le web en général), mais a priori c'est pas impossible.

Kasi · Le 14/08/2009, à 16:40

hmmm c'est pas cool ça !

k-o-x · Le 14/08/2009, à 17:40

JoelS a écrit :

puisque je sais que mon ami Jérôme est un pro de la sécurité informatique, j'ai raison d'avoir confiance en sa clef, et surtout je peux avoir confiance dans les clefs publiques des gens qu'il connait, car il aura fait attention de bien vérifier la validité des ces clefs.

C'est pas exactement ça, la confiance en une clé. Avoir confiance en une clé ne signifie pas avoir confiance en son propriétaire, mais être certain qu'elle provient bien de la bonne personne. Si je te file une clé en me faisant passer pour Jérôme, ce n'est pas parce que c'est un pro que tu dois faire confiance en cette (fausse) clé. L'idéal étant que la personne te donne sa clé physiquement...
A titre d'exemple il existe des "key signing parties", des rencontres entre personnes qui signent leurs clés respectives, façon de dire "j'ai vu cette personne en vrai, cette clé est bien la sienne". Se construit alors un "réseau de confiance", et il suffit d'avoir confiance en une clé de ce réseau pour pouvoir avoir confiance en n'importe laquelle.
Rien à voir avec la personne elle-même, on peut très bien vouer une confiance sans limite à la clé d'un psychopathe pédophile terroriste.

Efhache84 a écrit :

Oui... enfin... si je dois te résumer c'est que pour faire confiance à ce système faut être vraiment naïf...

Non, il faut juste savoir ce qu'on fait. Je vais pas me poser des questions de confiance sur un mail d'un pote qui m'invite à boire une bière, mais sans doute plus sur un mail venant d'Ouganda me proposant des centaines de milliers d'euros facilement. Comme je l'ai dit plus haut, il suffit de faire confiance à une clé pour avoir d'office confiance en toute une paluchée de clés du même réseau.

Dernière modification par k-o-x (Le 14/08/2009, à 17:44)

Vysserk3 · Le 14/08/2009, à 17:45

Regarde par là aussi : http://www.securite-informatique.gouv.fr/autoformations/signature_elec/co/Signature_web.html avec quelques animations explicatives

Dernière modification par Vysserk3 (Le 14/08/2009, à 17:48)

꙳♒⏅⚓ ЅаίԼίՈԶ ⚓⏅♒꙳ · Le 14/08/2009, à 18:12

Très bon site de vulgarisation (et pourtant ça vient du gouvernement oO ) avec un test pour vérifier que vous avez compris.

J'me la pête :

Dernière modification par superpapalolo (Le 14/08/2009, à 18:13)

Grünt · Le 14/08/2009, à 20:37

superpapalolo a écrit :

Très bon site de vulgarisation (et pourtant ça vient du gouvernement oO )

Oui, ce site est excellent. Tu sais, le "gouvernement" (ou plutôt les gens qui travaillent pour lui, ce site n'est pas géré par le conseil des ministres ) fait souvent du boulot excellent, même si on ne voit que le mauvais travail.

Kasi · Le 14/08/2009, à 21:16

Bonne initiative mais très simpliste.

Par exemple il faut savoir que lors d'une signature électronique, seul l'empreinte de ce document est signée (chiffrée). Cela vient du fait qu'un algorithme asymétrique est plus gourmand qu'un algorithme symétrique. De ce fait, l'empreinte du document est beaucoup plus petite que le document lui même, ça fait beaucoup moins de données à chiffrer. C'est donc une des différences entre un acte de signature et un "pure" acte de chiffrement.

Kasi · Le 14/08/2009, à 22:39

Pour les intéressés, voici un extrait de mon rapport d'un stage ayant eu lieu dans une entreprise développement des logiciels de signatures électroniques : http://p2a06.free.fr/publications/chiffrement_signature_electronique.pdf

Dernière modification par Kasi (Le 14/08/2009, à 22:40)

philpep-tlse · Le 15/08/2009, à 04:36

Le chiffrement asymétrique pour les nuls :

Chaque personne a deux clef, une privée une publique, la clef publique est vraiment publique ça veux dire que vous pouvez la donner a n'importe qui. Par contre la clef privée ne doit jamais être publiée.

Ensuite deux méthodes :

- Quand on chiffre un message avec la clef publique, seule la clef privée peut le déchiffrer
- Quand on chiffre un message avec la clef privée, seule la clef publique peut le déchiffrer

Donc on récapitule :

- Quand je chiffre un message avec la clef publique de John, on s'assure que seulement John pourra le déchiffrer.

- Quand je chiffre un message avec ma clef privée, John est certain que c'est bien moi qui a crée ce message (puisque seule ma clef publique le déchiffre correctement). On appelle cette opération une signature et on joint généralement le message en clair avec la signature pour faire la comparaison.

Bien entendu, on peut aussi chiffrer + signer et là c'est sécurité absolue si les clef sont de confiance.

Dernière modification par philpep-tlse (Le 15/08/2009, à 04:38)

®om · Le 15/08/2009, à 09:46

Kasi a écrit :

Si l'on publie la clé publique sur un serveur de clés, risque-t-on de se faire spammer l'adresse email associée à la clé ?

En théorie c'est possible, en pratique j'ai ma clé sur 2 serveurs de clés, je n'ai pas reçu un seul spam…

Peut-être parce que pour les trouver, il faut faire une recherche sur le serveur de clés (on ne trouve pas une liste complète avec tous les e-mails) : http://pgp.mit.edu/
Et donc les programmeurs de bots ne s'embêtent pas.

Autre explication, la récupération d'e-mails à but de spam, c'est pour envoyer des pubs bidons en espérant que les gens soient naïfs, cliquent sur les liens et achètent. Et a priori ceux qui ont une clé GPG ont une certaine connaissance informatique qui font que les spams ne marcheront jamais sur eux (ils ne vont pas se faire avoir par le contenu du spam), aucun intérêt donc.

®om · Le 15/08/2009, à 10:01

Vysserk3 a écrit :

Regarde par là aussi : http://www.securite-informatique.gouv.fr/autoformations/signature_elec/co/Signature_web.html avec quelques animations explicatives

Très sympa

Juste un point qui n'est pas évoqué, à propos de la répudiation, si celui qui a signé quelque chose conteste le fait que la clé publique qui vérifie la signature c'est la sienne, et affirme que ce n'est pas lui qui l'a mis sur le serveur de clés, que peut-on faire?

Kasi · Le 15/08/2009, à 11:50

Une seule clé publique correspond à un clé privée. Puisqu'il est le seul à posséder la clé privé, il ne peut pas contester la signature.

La clé publique ayant pour but d'être diffusée, qu'elle ai été mise sur un serveur par le possesseur de la clé privée correspondante ou un autre, ça ne change rien au final.

C'est l'un des avantages de la signature électronique, la non répudiation .

®om · Le 15/08/2009, à 12:09

Kasi a écrit :

La clé publique ayant pour but d'être diffusée, qu'elle ai été mise sur un serveur par le possesseur de la clé privée correspondante ou un autre, ça ne change rien au final.

Oui, mais si ce n'est pas ta clé publique, mais celle de quelqu'un qui se fait passer pour toi?

Par exemple, je signe un message :

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Je certifie, par la présente, que je dois des millions d'euros à Kasl (ce n'est pas vrai).
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)

iEYEARECAAYFAkqGiP8ACgkQcvzBTWRGBfPrMQCfV1hJFFQCO3FKBQiLNCJysDV0
o1MAniiWb2diGchx6xO36BTpRZwbPaPM
=c4pi
-----END PGP SIGNATURE-----

(j'ai rajouté le "ce n'est pas vrai", on ne sait jamais ^^)

Ma clé publique est sur un serveur de clé par exemple ici : http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x72FCC14D644605F3

Maintenant, tu me fais un procès parce que je ne veux pas te rembourser. Moi je dis : ok, le message a été signé avec la clé privée correspondant à la clé publique, mais cette clé publique n'est pas à moi. C'est peut-être Kasl qui a créé une clé publique avec mon nom et mon e-mail et qu'il a uploadé sur ce serveur de clés, je n'y suis pour rien du tout.

Kasi · Le 15/08/2009, à 12:16

ça ne fonctionne pas aussi simplement .

Une signature n'est pas juste un copier collé d'une clé dans un document.

Pour faire simple, premièrement on calcule l'empreinte du document (avec un algorithme de hachage), cette empreinte est unique, la moindre modification du document entraine une empreinte différente.

Ensuite avec la clé PRIVEE qui est également unique, on chiffre cette empreinte. C'est donc l'empreinte chiffrée du document qui forme à proprement parlé la signature. Ce que tu vois dans un document signé (ce que tu as essayé de rajouter) est donc l'empreinte chiffrée avec la clé PRIVEE.

La clé publique intervient juste lors de la vérification de la signature.

On ne peut donc pas "fabriquer" une fausse signature puisque la clé privée n'est pas diffusée.

®om · Le 15/08/2009, à 12:31

Kasi a écrit :

ça ne fonctionne pas aussi simplement .
Une signature n'est pas juste un copier collé d'une clé dans un document.
Pour faire simple, premièrement on calcule l'empreinte du document (avec un algorithme de hachage), cette empreinte est unique, la moindre modification du document entraine une empreinte différente.
Ensuite avec la clé PRIVEE qui est également unique, on chiffre cette empreinte. C'est donc l'empreinte chiffrée du document qui forme à proprement parlé la signature. Ce que tu vois dans un document signé (ce que tu as essayé de rajouter) est donc l'empreinte chiffrée avec la clé PRIVEE.
La clé publique intervient juste lors de la vérification de la signature.
On ne peut donc pas "fabriquer" une fausse signature puisque la clé privée n'est pas diffusée.

Je crois que tu n'as pas compris ce que j'ai dis…

Ce que je dis, c'est qu'ok tu peux vérifier qu'un document a bien été signé avec la clé privée correspondant à la clé publique annoncée. Le problème se situe en pratique entre l'association clé publique / personne : comment empêcher une personne de nier qu'une clé est bien sa clé publique?

S'il y a une autorité qui accepte les clés publiques et qui les stocke sur vérification de carte d'identité, de la photo et que la personne se déplace pour la donner en main propre, ça fonctionne. Mais si c'est juste une clé uploadée sur un serveur de clés, la partie "non répudation" n'est pour moi plus valable.

Dernière modification par ®om (Le 15/08/2009, à 12:31)

Grünt · Le 15/08/2009, à 12:39

®om a écrit :

S'il y a une autorité qui accepte les clés publiques et qui les stocke sur vérification de carte d'identité, de la photo et que la personne se déplace pour la donner en main propre, ça fonctionne. Mais si c'est juste une clé uploadée sur un serveur de clés, la partie "non répudation" n'est pour moi plus valable.

L' "autorité" en question s'appelle un "réseau de confiance" dans le cas de GPG.

Ceci dit, ce serait merveilleux si un service public apparaissait pour certifier les identités des citoyens.
Tu imagines? Tu vas à la préfecture avec ta carte d'identité, ta clef GPG publique, et tu demandes à la faire signer par l'État.

®om · Le 15/08/2009, à 12:46

ǤƦƯƝƬ a écrit :

®om a écrit :
S'il y a une autorité qui accepte les clés publiques et qui les stocke sur vérification de carte d'identité, de la photo et que la personne se déplace pour la donner en main propre, ça fonctionne. Mais si c'est juste une clé uploadée sur un serveur de clés, la partie "non répudation" n'est pour moi plus valable.
L' "autorité" en question s'appelle un "réseau de confiance" dans le cas de GPG.

Le réseau de confiance n'empêche pas le problème de répudiation. Je peux créer 2 clés (une à moi, et une où je me fais passer pour Grunt), je signe la fausse clé de Grunt avec la mienne en disant que j'ai une confiance maximale en elle, d'autres ont signé ma clé, et par transitivité ils font confiance à Grunt (au faux Grunt mais sans le savoir).

Dans l'exemple présenté ci-dessus, rien n'empêche à Kasi de faire de même pour signer un faux message qui dit que je lui dois des millions, de le signer avec une fasse paire de clé "®om", qu'il a signé avec sa clé Kasl et diffusé aux autres… Je peux donc nier que la clé publique correspondant à la clé privée avec laquelle a été signé le message n'est pas la mienne.

Tu pourrais me répondre que du coup ®om a brisé la confiance en signant une fausse clé, mais ça veut quand même dire que n'importe qui peut nier qu'une clé publique n'est pas la sienne (dans le cas où il n'y a pas d'autorité qui fait l'association clé publique / personne).

Dans le cas d'un contrat d'entreprise comme présenté sur le site, il faudrait en plus aller chez le notaire (une fois pour toutes) pour certifier que la clé publique A appartient bien à untel et que la clé publique B appartient bien à untel.

Dernière modification par ®om (Le 15/08/2009, à 13:01)

®om · Le 15/08/2009, à 12:55

ǤƦƯƝƬ a écrit :

Ceci dit, ce serait merveilleux si un service public apparaissait pour certifier les identités des citoyens.
Tu imagines? Tu vas à la préfecture avec ta carte d'identité, ta clef GPG publique, et tu demandes à la faire signer par l'État.

Sur le plan théorique ce serait intéressant. Mais en pratique très dangereux : des forums pourraient obliger à signer tout ce que tu écris (c'était pas si loin de la proposition d'un sénateur de faire une autorité qui fait l'association pseudo/personne qui a fait un peu scandale récemment, où il proposait qu'on soit anonyme sur internet -comme maintenant- sauf pour une autorité qui pourrait lever l'anonymat).

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 31/10/2006, à 15:20

GPG?? PGP??? Publique? Privée??

#2 Le 31/10/2006, à 15:48

Re : GPG?? PGP??? Publique? Privée??

#3 Le 31/10/2006, à 15:57

Re : GPG?? PGP??? Publique? Privée??

#4 Le 31/10/2006, à 23:17

Re : GPG?? PGP??? Publique? Privée??

#5 Le 31/10/2006, à 23:23

Re : GPG?? PGP??? Publique? Privée??

#6 Le 21/06/2009, à 17:00

Re : GPG?? PGP??? Publique? Privée??

#7 Le 14/08/2009, à 15:48

Re : GPG?? PGP??? Publique? Privée??

#8 Le 14/08/2009, à 15:54

Re : GPG?? PGP??? Publique? Privée??

#9 Le 14/08/2009, à 16:40

Re : GPG?? PGP??? Publique? Privée??

#10 Le 14/08/2009, à 17:40

Re : GPG?? PGP??? Publique? Privée??

#11 Le 14/08/2009, à 17:45

Re : GPG?? PGP??? Publique? Privée??

#12 Le 14/08/2009, à 18:12

Re : GPG?? PGP??? Publique? Privée??

#13 Le 14/08/2009, à 20:37

Re : GPG?? PGP??? Publique? Privée??

#14 Le 14/08/2009, à 21:16

Re : GPG?? PGP??? Publique? Privée??

#15 Le 14/08/2009, à 22:39

Re : GPG?? PGP??? Publique? Privée??

#16 Le 15/08/2009, à 04:36

Re : GPG?? PGP??? Publique? Privée??

#17 Le 15/08/2009, à 09:46

Re : GPG?? PGP??? Publique? Privée??

#18 Le 15/08/2009, à 10:01

Re : GPG?? PGP??? Publique? Privée??

#19 Le 15/08/2009, à 11:50

Re : GPG?? PGP??? Publique? Privée??

#20 Le 15/08/2009, à 12:09

Re : GPG?? PGP??? Publique? Privée??

#21 Le 15/08/2009, à 12:16

Re : GPG?? PGP??? Publique? Privée??

#22 Le 15/08/2009, à 12:31

Re : GPG?? PGP??? Publique? Privée??

#23 Le 15/08/2009, à 12:39

Re : GPG?? PGP??? Publique? Privée??

#24 Le 15/08/2009, à 12:46

Re : GPG?? PGP??? Publique? Privée??

#25 Le 15/08/2009, à 12:55

Re : GPG?? PGP??? Publique? Privée??

Pied de page des forums