Les problèmes de PGP
▻http://blog.notmyidea.org/les-problemes-de-pgp.html
Une fois passé l’euphorie du « il faut utiliser PGP pour l’ensemble de nos communications », j’ai réalisé lors de discussions que PGP avait plusieurs problèmes
#Chiffrement #Courrier_électronique #Cryptographie #E-mail #PGP #Pretty_Good_Privacy #Vie_privée
Très mauvaise idée, le « hidden recipient » ►http://www.bortzmeyer.org/gpg-option-no-keyid.html
Merci @stephane, ça tombe sous le sens en fait ! Surtout que comme tu le dis, ça n’a quasiment aucun intérêt appliqué à l’e-mail...
L’article ne parlant que de PGP/GPG appliqué à l’e-mail, pas de PGP en général comme peut le laisser supposer le titre.
Blog Stéphane Bortzmeyer : L’option GnuPG qui permet de ne pas indiquer les ID...
►http://www.bortzmeyer.org/gpg-option-no-keyid.html
La sécurité, ce n’est pas gratuit. Il y a parfois des techniques qui améliorent la sécurité mais qui sont tellement embêtantes à l’usage qu’on préfère les abandonner. C’est ainsi que je viens de supprimer l’option throw-keyids de ma configuration GnuPG.
Cette option est a priori bonne pour la sécurité : pour citer la documentation elle permet de « ne pas mettre les identificateurs de clé dans le message ». Qu’est-ce que cela veut dire ? Par défaut, GnuPG, lorsqu’il chiffre un message, indique dans le message l’identificateur de la clé du (ou des destinataires). C’est décrit dans le RFC 4880, section 5.1. On peut l’afficher avec gpg :
% gpg report.txt.gpg
gpg : encrypted with 2048-bit RSA key, ID 336525BB, created 2009-12-15
"ISC Security Officer <security-officer@isc.org>"