François TOURDE a écrit :Par contre il est extrèmement difficile de falsifier une signature,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fournis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clà ©s publiques.
Un serveur de clés où l'on soit obligé de prouver son iden tité pour
déposer sa clé.
Quoi de mieux que le service publique pour ça ?
François TOURDE a écrit :
Par contre il est extrèmement difficile de falsifier une signature,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fournis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clà ©s publiques.
Un serveur de clés où l'on soit obligé de prouver son iden tité pour
déposer sa clé.
Quoi de mieux que le service publique pour ça ?
François TOURDE a écrit :Par contre il est extrèmement difficile de falsifier une signature,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fournis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clà ©s publiques.
Un serveur de clés où l'on soit obligé de prouver son iden tité pour
déposer sa clé.
Quoi de mieux que le service publique pour ça ?
Un mail est signé avec sa clef privée ; la signature obtenue d épend de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef pub lique sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donn é
par l'auteur du mail.
Donc, là j'ai un peu de mal à comprendre comment obtenir une cl ef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur , l'auteur
peut se faire passer pour n'importe qui, mais autrement non.
Un mail est signé avec sa clef privée ; la signature obtenue d épend de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef pub lique sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donn é
par l'auteur du mail.
Donc, là j'ai un peu de mal à comprendre comment obtenir une cl ef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur , l'auteur
peut se faire passer pour n'importe qui, mais autrement non.
Un mail est signé avec sa clef privée ; la signature obtenue d épend de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef pub lique sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donn é
par l'auteur du mail.
Donc, là j'ai un peu de mal à comprendre comment obtenir une cl ef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur , l'auteur
peut se faire passer pour n'importe qui, mais autrement non.
[...]
> Non pas.
> (En tout cas en France. Nâoubliez pas que le -french du d.u.f.
> sâapplique à la langue, pas au pays.)
>
> â 8 ans seulement (décret n°99-973 du 25 novembre 199 9 art. 1 et
> 6 (JORF 30 novembre 1999)) ;
>
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 re latif au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html
> â une seule empreinte (index gauche ou, à défaut, le droit) ;
> â la carte dâidentité nâest pas obligatoir e ;
>
Oui mais elle est quand même pratique pour prouver qui l'on est...
> â surtout, ça ne mâempêche pas dâà ªtre contre
Les goûts, les couleurs...
[...]
> Non pas.
> (En tout cas en France. Nâoubliez pas que le -french du d.u.f.
> sâapplique à la langue, pas au pays.)
>
> â 8 ans seulement (décret n°99-973 du 25 novembre 199 9 art. 1 et
> 6 (JORF 30 novembre 1999)) ;
>
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 re latif au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html
> â une seule empreinte (index gauche ou, à défaut, le droit) ;
> â la carte dâidentité nâest pas obligatoir e ;
>
Oui mais elle est quand même pratique pour prouver qui l'on est...
> â surtout, ça ne mâempêche pas dâà ªtre contre
Les goûts, les couleurs...
[...]
> Non pas.
> (En tout cas en France. Nâoubliez pas que le -french du d.u.f.
> sâapplique à la langue, pas au pays.)
>
> â 8 ans seulement (décret n°99-973 du 25 novembre 199 9 art. 1 et
> 6 (JORF 30 novembre 1999)) ;
>
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 re latif au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html
> â une seule empreinte (index gauche ou, à défaut, le droit) ;
> â la carte dâidentité nâest pas obligatoir e ;
>
Oui mais elle est quand même pratique pour prouver qui l'on est...
> â surtout, ça ne mâempêche pas dâà ªtre contre
Les goûts, les couleurs...
Un mail est signé avec sa clef privée ; la signature obtenue dépe nd de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef publiqu e sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donné
par l'auteur du mail.
C'est ensuite que l'on doit vérifier que l'auteur est la bonne person ne
en comparant les fingerprints de l'auteur et celui obtenu via la clef
publique. Il faut ici être certains de parler avec le véritable aut eur.
Donc, là j'ai un peu de mal à comprendre comment obtenir une clef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur, l' auteur
peut se faire passer pour n'importe qui, mais autrement non.
Un mail est signé avec sa clef privée ; la signature obtenue dépe nd de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef publiqu e sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donné
par l'auteur du mail.
C'est ensuite que l'on doit vérifier que l'auteur est la bonne person ne
en comparant les fingerprints de l'auteur et celui obtenu via la clef
publique. Il faut ici être certains de parler avec le véritable aut eur.
Donc, là j'ai un peu de mal à comprendre comment obtenir une clef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur, l' auteur
peut se faire passer pour n'importe qui, mais autrement non.
Un mail est signé avec sa clef privée ; la signature obtenue dépe nd de ce
que contient le mail, et cette signature est ajoutée à l'envoie du mail
comme une pièce jointe.
Le destinataire s'assure que le mail n'a subit aucune modification, en le
vérifiant à l'aide de la clef publique. Il a obtenu la clef publiqu e sur
un serveur de clef grâce aux 8 premiers octets du fingerprint donné
par l'auteur du mail.
C'est ensuite que l'on doit vérifier que l'auteur est la bonne person ne
en comparant les fingerprints de l'auteur et celui obtenu via la clef
publique. Il faut ici être certains de parler avec le véritable aut eur.
Donc, là j'ai un peu de mal à comprendre comment obtenir une clef
_publique_ peut-être dangereux !
Bien sûr si tu n'as pas validé la clef publique avec son auteur, l' auteur
peut se faire passer pour n'importe qui, mais autrement non.
Mais si tu as confiance en lui pour délivrer des cartes d'identità ©s,
alors tu peux aussi avoir confiance en lui pour valider des clé
publiques... du moment qu'on génère sois-même sa paire de clé je ne vois
pas non plus où est le problème...
Bien sure il n'y aurait d'obligation pour personne... ni de signer sa
correspondance, ni de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le
problème !
Mais si tu as confiance en lui pour délivrer des cartes d'identità ©s,
alors tu peux aussi avoir confiance en lui pour valider des clé
publiques... du moment qu'on génère sois-même sa paire de clé je ne vois
pas non plus où est le problème...
Bien sure il n'y aurait d'obligation pour personne... ni de signer sa
correspondance, ni de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le
problème !
Mais si tu as confiance en lui pour délivrer des cartes d'identità ©s,
alors tu peux aussi avoir confiance en lui pour valider des clé
publiques... du moment qu'on génère sois-même sa paire de clé je ne vois
pas non plus où est le problème...
Bien sure il n'y aurait d'obligation pour personne... ni de signer sa
correspondance, ni de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le
problème !
[...]
Bien sure il n'y aurait d'obligation pour personne [...]
de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le probl ème !
[...]
Bien sure il n'y aurait d'obligation pour personne [...]
de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le probl ème !
[...]
Bien sure il n'y aurait d'obligation pour personne [...]
de lire le courrier anonyme.
PS : S'il y en a que ça gène de voir les les bloques PGP dans l es
e-mails, un petit apt-get install enigmail devrait résoudre le probl ème !
Le 13740ième jour après Epoch,
Hugues LARRIVE écrivait:
En fait, si je me crée un couple clef publique/clef privée, et que je
publie la clef publique sur un site web proche de ton nom, et que je
mets ça dans l'entête des mails, je peux envoyer un mail en ton nom,
et signé. C'est sûr que ce ne sera pas la même signature q ue toi, mais
pour quelqu'un qui n'a pas encore ta vraie clef publique, ça passe
tout seul.
D'où l'intérêt d'avoir un mécanisme de serveurs de cl efs indépendants.
> D'où l'utilité d'un endroit sûr où stocker les cl és publiques.
> Un serveur de clés où l'on soit obligé de prouver son id entité pour
> déposer sa clé.
Non, tu fais un amalgame entre stockage et vérifications. GPG (et PG P)
permettent un niveau de confiance, ce qui permet de dire par exemple
qu'on peut faire totalement confiance en quelqu'un qu'on a
physiquement rencontré, qu'on peut accorder une confiance un peu
moindre à un contact indirect, etc...
Le 13740ième jour après Epoch,
Hugues LARRIVE écrivait:
En fait, si je me crée un couple clef publique/clef privée, et que je
publie la clef publique sur un site web proche de ton nom, et que je
mets ça dans l'entête des mails, je peux envoyer un mail en ton nom,
et signé. C'est sûr que ce ne sera pas la même signature q ue toi, mais
pour quelqu'un qui n'a pas encore ta vraie clef publique, ça passe
tout seul.
D'où l'intérêt d'avoir un mécanisme de serveurs de cl efs indépendants.
> D'où l'utilité d'un endroit sûr où stocker les cl és publiques.
> Un serveur de clés où l'on soit obligé de prouver son id entité pour
> déposer sa clé.
Non, tu fais un amalgame entre stockage et vérifications. GPG (et PG P)
permettent un niveau de confiance, ce qui permet de dire par exemple
qu'on peut faire totalement confiance en quelqu'un qu'on a
physiquement rencontré, qu'on peut accorder une confiance un peu
moindre à un contact indirect, etc...
Le 13740ième jour après Epoch,
Hugues LARRIVE écrivait:
En fait, si je me crée un couple clef publique/clef privée, et que je
publie la clef publique sur un site web proche de ton nom, et que je
mets ça dans l'entête des mails, je peux envoyer un mail en ton nom,
et signé. C'est sûr que ce ne sera pas la même signature q ue toi, mais
pour quelqu'un qui n'a pas encore ta vraie clef publique, ça passe
tout seul.
D'où l'intérêt d'avoir un mécanisme de serveurs de cl efs indépendants.
> D'où l'utilité d'un endroit sûr où stocker les cl és publiques.
> Un serveur de clés où l'on soit obligé de prouver son id entité pour
> déposer sa clé.
Non, tu fais un amalgame entre stockage et vérifications. GPG (et PG P)
permettent un niveau de confiance, ce qui permet de dire par exemple
qu'on peut faire totalement confiance en quelqu'un qu'on a
physiquement rencontré, qu'on peut accorder une confiance un peu
moindre à un contact indirect, etc...
Le mercredi 15 août 2007 à 19:43 +0200, Hugues LARRIVE a écrit :François TOURDE a écrit :Par contre il est extrèmement difficile de falsifier une signature ,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fo urnis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clés publique s.
Un serveur de clés où l'on soit obligé de prouver son identité pour
déposer sa clé.
Ainsi toutes les clés sur ce serveur prouveraient réellement l'ide ntité
de leur propriétaire.
Quoi de mieux que le service publique pour ça ?
le réseau de confiance que tu établis avec ceux qui te signes et ce ux
que tu signes (en vérifiant le fingerprint).
le service public est une chose, mais c'est aussi l'état qui en est
responsable et le dirige.... et si l'état est totalitaire ???
Ça me fait penser au vote électronique, les machines sont validée s par
les préfectures avant la mise en service (et qui nomme les préfets) ....
et si l'état est totalitaire ???
bon, j'arrête et j'attends vendredi avant de trollé ;)
nono
Le mercredi 15 août 2007 à 19:43 +0200, Hugues LARRIVE a écrit :
François TOURDE a écrit :
Par contre il est extrèmement difficile de falsifier une signature ,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fo urnis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clés publique s.
Un serveur de clés où l'on soit obligé de prouver son identité pour
déposer sa clé.
Ainsi toutes les clés sur ce serveur prouveraient réellement l'ide ntité
de leur propriétaire.
Quoi de mieux que le service publique pour ça ?
le réseau de confiance que tu établis avec ceux qui te signes et ce ux
que tu signes (en vérifiant le fingerprint).
le service public est une chose, mais c'est aussi l'état qui en est
responsable et le dirige.... et si l'état est totalitaire ???
Ça me fait penser au vote électronique, les machines sont validée s par
les préfectures avant la mise en service (et qui nomme les préfets) ....
et si l'état est totalitaire ???
bon, j'arrête et j'attends vendredi avant de trollé ;)
nono
Le mercredi 15 août 2007 à 19:43 +0200, Hugues LARRIVE a écrit :François TOURDE a écrit :Par contre il est extrèmement difficile de falsifier une signature ,
[...]
Disons que dans ton cas, c'est plus simple, étant donné que tu fo urnis
dans ton en-tête l'endroit où est la clef. Dans ce cas, je peux
fabriquer une fausse clef, avec ton email, et faire pointer ce fameux
en-tête ailleurs. :)
La c'est la clé que tu falsifies, pas la signature.
C'est à ça que je pensais quand j'ai écris le PS....
D'où l'utilité d'un endroit sûr où stocker les clés publique s.
Un serveur de clés où l'on soit obligé de prouver son identité pour
déposer sa clé.
Ainsi toutes les clés sur ce serveur prouveraient réellement l'ide ntité
de leur propriétaire.
Quoi de mieux que le service publique pour ça ?
le réseau de confiance que tu établis avec ceux qui te signes et ce ux
que tu signes (en vérifiant le fingerprint).
le service public est une chose, mais c'est aussi l'état qui en est
responsable et le dirige.... et si l'état est totalitaire ???
Ça me fait penser au vote électronique, les machines sont validée s par
les préfectures avant la mise en service (et qui nomme les préfets) ....
et si l'état est totalitaire ???
bon, j'arrête et j'attends vendredi avant de trollé ;)
nono
.......--- 8 ans seulement (décret n°99-973 du 25 novembre 1999 art. 1 et
6 (JORF 30 novembre 1999)) ;
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 relati f au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html--- une seule empreinte (index gauche ou, à défaut, le droit) ;
--- la carte d'identité n'est pas obligatoire ;
.......
--- 8 ans seulement (décret n°99-973 du 25 novembre 1999 art. 1 et
6 (JORF 30 novembre 1999)) ;
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 relati f au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html
--- une seule empreinte (index gauche ou, à défaut, le droit) ;
--- la carte d'identité n'est pas obligatoire ;
.......--- 8 ans seulement (décret n°99-973 du 25 novembre 1999 art. 1 et
6 (JORF 30 novembre 1999)) ;
Non non, c'est bien 20 ans (Décret n° 87-179 du 19 mars 1987 relati f au
relevé d'une empreinte digitale lors d'une demande de carte nationale
d'identité.) http://www.admi.net/jo/INTD8700077D.html--- une seule empreinte (index gauche ou, à défaut, le droit) ;
--- la carte d'identité n'est pas obligatoire ;
Du coup, une confiance répartie (comme c'est le cas en ce moment a vec
les serveurs de clefs) empêche de facilement 'pirater' les clefs.
Du coup, une confiance répartie (comme c'est le cas en ce moment a vec
les serveurs de clefs) empêche de facilement 'pirater' les clefs.
Du coup, une confiance répartie (comme c'est le cas en ce moment a vec
les serveurs de clefs) empêche de facilement 'pirater' les clefs.
