3 liens privés
Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.
Linux users need to check out their distributions to see if a nasty bug in libgcrypt20 has been patched.
Nous avons accueilli Ludovic Hirlimann, développeur chez Mozilla, ex QA lead pour thunderbird, pour nous parler de OpenGPG. Autour d'un repas, il nous a présenté les intérêts des signatures sécurisées PGP, l'utilisation de l'outil GPG pour gérer son trousseau de clés et fait une petite démonstration de signature croisée de clés.
GnuPG is the de-facto way to use OpenPGP compliant smart cards. However in order to use the card for anything other than GPG (and SSH), e.g. TLS Client authentication, PKCS#11 is the industry standard used by all other non-GPG software.
La génération d'une clé asymétrique GPG sous un système Unix / Gnu/Linux est particulièrement simple (une fois que l'on sait le faire ;-)), et c'est justement ce que nous allons voir ici. Si les détails vous intéressent, ou si vous avez besoin d'explications plus détaillées, vous pouvez aller voir sur gnupg.org (le site officiel), wikipedia.fr (qu'est ce que GPG), ou encore wikibooks.org (pour quelques détails). La commande man gpg est bien entendu toujours disponible en cas de besoin. via shkaen
Ceci est une version 0.1 d’un jeu d’initiation à Tor et GPG. Le concept sera amélioré avec le temps, les parties. L’idée étant de faire une sorte de carte qui ait des règles simples, différentes variantes. Je ferai peut être un pad collaboratif si le concept plait. Le tout est sous licence Creative Commons CC BY-SA.
Le dernier billet de la série sur GPG concerne la chaîne de confiance et pourquoi il n’est pas bon de changer de clé à longueur de temps. Suite à une grande discussion sur la signature de clés GPG avec Kaiyou, je lui ai proposé d’écrire un billet pour Sete’ici à ce sujet. C’était chose déjà faite. Il m’a permis de re-publier ce texte déjà paru chez lui.