Utilisation de PGP avec une entité inconnue

Question

Je suis actuellement à la recherche de PGP et de schémas d'authentification. Disons que je communique avec quelqu'un qui prétend être un administrateur d'un site FTP. (Par exemple, son adresse e-mail est admin@genuine-website.com)

Supposons que nous ayons tous les deux des clés publiques PGP les uns des autres. Dites d'abord, nous échangeons les empreintes digitales et les vérifions (en les transmettant directement et en n'utilisant pas l'authentification hors bande comme le téléphone/SMS). Dans la deuxième étape, nous échangeons un message signé, puis vérifions la signature.

Ces deux étapes sont-elles suffisamment bonnes pour établir l'authenticité?

Au moyen de cet exemple fictif, la question fondamentale que je me pose est de savoir si ces étapes sont «suffisantes» ou si j'opte pour un autre système d'authentification mutuelle en plus de cela?

Answer 1

C'est assez, mais le plus difficile est de vérifier les empreintes digitales. Pour PGP, cela se fait via des clés de signature croisée avec d'autres clés. Alors que dans X.509 il s'agit d'une structure hiérarchique (CA supérieur et signé par les certificats), dans PGP, il s'agit d'un «réseau de confiance».

Answer 2

Non, ce n'est pas suffisant. Un homme du milieu peut substituer ses clés publiques à la vôtre et celle de votre partenaire, et faire la même chose avec les empreintes digitales pour que tout semble bien se vérifier.

Vous devrez utiliser le réseau de confiance de PGP ou échanger des empreintes digitales sur un autre support de confiance pour vérifier que la clé publique que vous avez reçue est authentique.