GnuPG UIDのメールアドレスを確認するにはどうすればよいですか？
私は鍵署名ポリシーとベストプラクティスについて読んでいます。私が理解できなかったのは、GnuPGキーのUIDに添付された電子メールアドレスを確認する方法です。
IDを使用して名前を確認できますが、電子メールアドレスを確認するにはどうすればよいですか？私はアドレスが有効であることを確認しようとしているだけでなく、秘密鍵を制御している人のものでもあります。
これまでに見た最も一般的なケースは、キーに署名し、署名されたキー（まあ、単一の署名のみ）を電子メール経由で目的の電子メールアドレスに送信することです。キーに複数の電子メールアドレスがある場合は、各アドレスに、このアドレスの署名を公開キーで暗号化して送信するだけです。署名を鍵サーバーにアップロードしたり、他の方法で使用可能にしたりしないでください。次に、その人は署名を受け取ってそれを復号化でき、すべてが正常であるか、そうではなく、あなたが気にしないかのいずれかです。
もちろん、これは鍵署名者のケース（または同様のケース）の問題のみを解決します。名前（ID文書で確認したもの）と電子メールアドレス（上記のプロトコルで確認したもの）で構成されるIDが正しいことを他の人に証明します。自分で確認するには、署名をローカルで削除するか（最初のケースでは署名を鍵リングにインポートしないでください）、受信者が署名を鍵サーバーにアップロードするまで待つ必要があります。
このプロトコルを実装するツールがあります： caff 。
信頼できるソース
ルート証明書（通常はソフトウェアベンダー/ディストリビューターによって選択される）から始まる階層的な信頼を持つX.509証明書モデルとは異なり、OpenPGPでユーザーIDを検証するための「デフォルト」の信頼エンティティはありません。信頼の発行は完全にあなたに任されており、「信頼の網」というツールがあなたの手に渡っています。
OpenPGP鍵サーバーは通常、特に確認メールの送信以外の検証を行わないことを理解することが非常に重要です（そのため、確認メールはしないユーザーIDの名前部分を確認します）。
関連する語彙
答えを続ける前に、いくつかの表現を明確にする必要があります：validキーは、信頼要件を満たすキーです。信頼には2つの異なる種類があります。trust in identity（OpenPGPユーザーは、相手の身元、OpenPGPの署名を検証したと主張した後、別のキーを認証します）、および他のユーザーの証明書を信頼する（保証とも呼ばれ、OpenPGPでは単に「信頼」と呼ばれます）。証明書と署名という用語はしばしば同等に使用されます。
web of trustは、その間に発行されるすべてのキーと証明書のセットです。
証明書は、署名者の身元を適切に確認した後でのみ発行されます。通常、これは署名者が彼のキー（または指紋、キーサーバーからキーを取得するため）といくつかのドキュメント（パスポートやIDカードなど）を署名者に渡すことによって実行されます。多くの場合、それらは双方向で実行されます（両方が当事者間でキーとドキュメントを交換します）が、簡単に一方向になることもあります。
OpenPGPはGnuPG（フリーソフトウェア）によって実装された標準ですが、また、[〜＃〜] pgp [〜＃〜]（OpenPGPのルーツはどこから来たのか、現在は商用ソフトウェアです）と他のいくつかの製品。
即時認証
自分で相手の身元を確認した場合は、相手の身元を確認できるので、自分の鍵で認証された鍵は有効と見なされます。これを達成するために、あなた自身の鍵は「究極の」信頼を備えています。究極の信頼を備えたすべてのキーは、X.509のルート認証局と比較できます。
Web of TrustとTrustモデル
今ではコミュニケーションを始める前にみんなに会うのは難しいです、遠くに住んでいる人もいれば、身元確認のために旅行するのは難しいかもしれません。
これが信頼の網の出番です。明らかに、受け取った証明書を確認するだけでは鍵を有効と見なすことはできません。鍵と証明書の作成は簡単で安価であり、数百または数千の鍵と証明書を偽造することさえできます。別のキーを検証するには、キー（最終的に信頼できるキー）と他のユーザーの間にtrust pathを構築し、その間にすべてのキーを置く必要がありますまた有効です。
たとえば、アリスはボブを認定し、ボブはキャロルを認定しました。アリスは簡単にボブの鍵を検証できます（彼女は自分で署名しました）。アリスが他のユーザーのIDを適切に検証するためにアリスも信頼する場合（つまり、ボブはフィッシングドキュメントを実現でき、偽の証明書を発行する意図がない場合）、アリスはボブに信頼を発行します。今、彼女はボブを通してキャロルの鍵を確認することもできます。
OpenPGPには、中程度の信頼と完全な信頼という2つの信頼レベルがあります。それらをどのように使用するかはあなた次第ですが、GnuPGは次の信頼モデルを提案しています：完全に信頼された鍵による1つの証明書で十分です（したがって、他の人の意図をよく知っている必要があります（おそらく友人や家族のため））、中程度に信頼された3つの証明書キーが必要です（これらは-あなたの個人的な要件に応じて-オープンソースの参加、出版物、科学などを通じてあまりよく知らない人になることもできます... 、この場合は6つの目）。
Web of Trustのブートストラップ
信頼の網の基盤としての認証の正規のソースは、いわゆるキー署名パーティです。そこでは、多くの人々が、自分の身元を確認し、キーに署名するために集まります。
CAcert OpenPGP証明書も発行し、ドイツ語 Heise Verlag さまざまなドイツのテクノロジーマガジンを運営している、信頼のWebで認証局として機能している機関もあります。