Je poste un tutoriel très bien explicite pour ceux qui désirent en connaître plus sur l’usage de mails chiffrés, signés à base d’un client logiciel mails, tel que TB/Icedove, et du module Enigmail, pour la gestion de clés OpenPGP - :
https://emailselfdefense.fsf.org/fr/index.html
Le bot Edward est correctement présenté au chapitre 3A - pour les tests de clés GPG, merci de s’adresser à lui, et uniquement à lui. Il est fonctionnel, et sert à cela !
« Et, vive la FSF … »
Le guide d’autodéfense numérique nous rappelle dans son tome 2 : comment créer et maintenir une clé GPG !
Celui fait par Mozilla « himself ».
Le mini-guide howto fait par gnupg.org
Le guide suivant Bonnes pratiques pour l’utilisation d’OpenPGP contient les bonnes pratiques liées à l’usage de clés GPG ; celles-ci sont :
- Avoir à jour son outil GPG !
- Configurer son fichier de config pour utiliser correctement un serveur de clé GPG :
- installer l’outil ‹ gnupg-curl ›
- Paramétrer son fichier
~/.gnupg/gpg.conf, en commentant/supprimant toutes les options suivantes commençant parkeyserver, puis en ajoutant :
keyid-format 0xlong
with-fingerprint
- Paramétrer le fichier
~/.gnupg/dirmngr.conf- le créer au besoin - et y ajouter :
keyserver hkps://keys.openpgp.org
Cette disposition est nécessaire suite à une faille majeure du fonctionnement d’OpenPGP !
Le seul serveur de clé GPG à utiliser est bel et bien : keys.openpgp.org. Des màj ont normalement été faites, depuis Juillet 2019, pour que ce soit le cas. Juste par acquis de conscience, vérifier !
- Ne pas utiliser
gpg --refresh-keysou le menu correspondant dans votre logiciel de gestion GPG, mais utiliser l’outil Parcimonie, un démon logiciel qui rafraîchira régulièrement les informations depuis le serveur de clé, de manière anonyme et sécurisée, lentement. (il est dans les dépôts) - Ne pas avoir une confiance aveugle dans les clés que l’on vous fournies, qu’elles viennent du serveur de clé, et/ou différement : vérifier auprès de la personne ; une fois fait, vérifier par ces étapes (entourer l’empreinte de simple, voire double, quotes) :
- Télécharger l’empreinte de la clé, depuis le serveur :
gpg --recv-key 'fingerprint' - Vérifier l’empreinte de la clé :
gpg --fingerprint 'fingerprint' - Signer la, au moins localement :
gpg --lsign-key 'fingerprint'
- Ne pas avoir confiance dans l’ID de la clé, qu’elle soit courte ou longue ! Utilisez les empreintes digitales des clés :
gpg --with-fingerprint keyfile - Pour créer votre propre clé, utiliser un chiffrement fort, tel que sha512, et une longueur de clés à 4096 minimum, avec le chiffrement RSA ; ajouter dans votre fichier de config personnel
.gnupg/gpg.conf, les informations suivantes :
cert-digest-algo SHA512
default-preference-list SHA512 SHA384 SHA256 SHA224 AES256 AES192 AES CAST5 ZLIB BZIP2 ZIP Uncompressed
personal-digest-preferences SHA512
6.1. Mettre une date d’expiration à votre clé, pas plus de deux ans !
6.2. Utilisez un calendrier qui vous rappellera de changer à temps votre clé.
7. Générez un certificat de révocation, cela vous aidera si vous avez oublier votre passphrase, et/ou que votre clé privée soit compromise/volée/perdue : gpg --output revoke.asc --gen-revoke 'fingerprint'
Pour finir, il existe un outil pour vérifier visuellement qu’une clé est correcte, à partir de son empreinte, est correcte, c’est l’outil hkt. Il est intégré dans le package hopenpgp-tools, fourni dans les dépôts officiels.
Pour s’en servir, c’est la commande suivante :
hkt export-pubkeys 'fingerprint' | hokey lint
- Les tests corrects sont affichés en vert.
- Tout problème avec la clé vérifiée est affiché en rouge !
Il faut alors IMPÉRATIVEMENT se méfier d’une telle clé, voire la régénérer si c’est la vôtre, après avoir configuré votre fichier de configuration personnelle, avec les recommandations ci-dessus !
C’est outil semble ne pas fonctionner avec GPG 2 !
Serveurs de clés consultables :
-
keys.openpgp.org
Faire une recherche par mail associé à une clé ou par 0xGPG:ID !
Il est donc possible de consulter, télécharger une clé publique, relative à une adresse mail, pour l’insérer dans son client mail.
« Et, merci à eux … »
Logiciels qui gèrent :
PS : Je propose un script shell pour gérer les clés GPG à partir des empreintes …
PS 2 : Je ne suis pas le bot Edward, ni ne suis pas non plus la hotline de la FSF. MERCI de NE PAS ME CONTACTER À MOINS QUE je ne vous le propose, ce qui sous-entend que JE vous connais, et/ou que vous vous êtes CORRECTEMENT présenté !
PS 3 : Ce post est en mode wiki ; édition ouverte possible. N’hésitez pas à collaborer !
