PGP鍵に署名するとき、何を言っているのですか？
PGP/GPGキーに署名するとき、あなたの署名を見たすべての人に正確に何を言っていますか？本人またはメールアドレスを検証していますか？
私の意味を説明するために、次の2つの例を取り上げます。
人物の検証： "私はその鍵を信頼しています0x559E3EE8は会計においてボブに属しています。彼は個人的に、昼食時にその公開鍵の入った紙を私に手渡しました。ボブのメールアドレスが何であるかはわかりませんが、彼が彼のUIDの1つとしてキーに記載している場合、それは彼のものであるとかなり確信しています。
メールアドレス（UID）の検証： "キーが信頼できる0x559E3EE8 属する [email protected];彼が実際に誰であるかはわかりませんが、暗号化された電子メールをやり取りしてきました。私が書いたものを時々引用するので、彼が送った電子メールを解読して読むことができることは間違いありません。私のコンピューターと彼のメールサーバーの間の真ん中に人がいないことも非常に確かです。」
OpenPGPは認証のルールを定義していません
RFC 488 から、署名タイプ：
[...]これらの意味の曖昧さは欠陥ではなく、システムの機能であることに注意してください。 OpenPGPは、署名の受信者に有効性の最終的な権限を与えるため、ある署名者の偶発的な行為は、他の権限の積極的な行為よりも厳格である可能性があります。 [...]
非公式のベストプラクティス
ただし、非公式のベストプラクティスのようなものがあります。 未定義またはカジュアルな信頼レベルの証明書を投稿することによって（sigまたは sig2、署名タイプ0x10および0x12）あなたが宣言する署名者の身元を確認してください。これは、公式文書をチェックしたり、誰かを非常によく知っていたりすることによって発生した可能性があります。多くの場合、人々は署名を添付ファイルとして含む暗号化メールをメールアドレスの所有権を確認するために送信します。
正の信頼レベルの認証（sig3、タイプ0x13）通常、署名者が行っていることについて、署名者の高度な確実性を主張します。これは、署名者に関する長年の知識、または提示されたよく知られている文書（たとえば、自分の国のパスポート）に対する高い信頼性が原因である可能性があります。
認定ポリシー
認定には一般的な強制ルールがないため、 一部の人々は認定ポリシーを投稿します であり、従うと主張しています。多くの場合、非公式のベストプラクティスを表すだけですが、認定ステートメントを正当化する際に他の人を助けることができます。
これらには、キーの検証方法、必要なドキュメント、署名者名のバリエーションの処理方法などの情報が含まれていることがよくあります。多くの場合、それらは署名された文書であり、発行された各証明書から参照されます GnuPG's cert-policy-urlオプション 。
あなたは両方を行うことになっています。特定のUIDのみまたはすべてのUIDに署名するオプションが表示されます。署名できるのは、保証できるUIDのみです。たとえば、Example Incで働いていて、Bobが「[email protected]」と「[email protected]」を持っている場合、彼の[email protected] UIDにのみ署名する必要があります。
PGP署名は次のように述べています
- このキーはボブのものであることを保証します
- 彼の証明書に記載されているこのメールIDはボブのものであることを保証します
実際には、＃2を行う人はほとんどいません。ほとんどの人は、チェックせずにすべてのUIDに署名します。
PGPに参加している人は、CPS（Certification Practice Statement）を持っている必要がありますが、これは、通常の場合ほど一般的ではありません。
これらのポリシーは通常、人との面会の共通の特徴を備えており、政府発行のIDが彼らが提示している名前と一致することを検証し、その人が問題のメールアドレスを確実に制御できるようにします。
特にエイリアスのキーまたは組織キーの署名に関するポリシーに関しては、CPSの形式が好きです。
CPSは、オーソリティが鍵または証明書に署名する時期と理由を示します。 http://en.wikipedia.org/wiki/Certification_Practice_Statement
髪の毛を分割するには、理由を問わず誰の鍵にも署名できます。署名をpublishする場合は、CPSが必要であり、CPSにデジタル署名する必要があります。誰かがなぜ誰かの鍵に署名したのかと尋ねられた場合は、それらにそれを指摘することができます。