Oui, mais comment identifier quelqu’un ? Dans la vraie vie, ce n’est pas
trop dur. Tu disposes de quelques critères rapides qui font appel à ta mémoire et
ton sens de l’observation et de de l’ouie ;-)

 son visage ;
 sa taille ;
 sa couleur de cheveux ;
 sa coupe de cheveux ;
 sa tenue vestimentaire ;
 son port (démarche/façon de se tenir) ;
 sa langue ;
 son langage ;
 sa voix ;
 ses intonations ;
 etc.

Ainsi, si l’un de ses aspects change entre le moment où tu auras mémorisé
l’individu et le moment où tu le rencontres à nouveau, tu éprouveras des difficultés à
l’identifier, mais si les autres caractères changent, tu parviendras tout de même à reconnaître la personne.
Un seul critère est généralement suffisant : voix, visage, empreintes
digitales permettent d’identifier l’individu dans 80% des cas. Mais une
voix, ça s’imite. Un visage, ça se maquille. Des empreintes... ça se
falsifie.
Seule la concordance de l’ensemble des critères augmente
la probabilité de reconnaissance au dessus d’un certain seuil,
que tu pourras considérer comme sûr (ou réputé sûr ?). Tu diras alors "Je
suis sûr à 95% que c’est bien le même individu", ce qui est
généralement abrégé en "c’est bien la même personne".

Bien. Maintenant, voyons l’identification électronique.
Tu disposes de plusieurs critères :
 adresse courriel ;
 façon de rédiger ;
 adresse IP ;
 serveurs de messagerie ;
 taille du message ;
 pays d’envoi ;
 heure d’envoi ;
 logiciel de messagerie utilisé ;
 nom ;
 prénom ;
 clé GPG.

Un des problèmes du numérique, c’est la facilité avec laquelle on peut imiter/falsifier l’un, voire l’ensemble des critères de reconnaissance.

Là, au moment où je te parle (où tu me lis plutôt), comment peux-tu être sûr que c’est
bien moi que tu entends^Wlis ? Mon courriel ? Rien de plus facile à
falsifier. Ma parlure ? Mouais, c’est plus un critère secondaire. Mon IP
 ? Le serveur d’envoi ? Je connais d’autres abonnés à la liste qui ont le mot de passe root sur ce serveur. Le logiciel d’envoi ? Mutt, c’est facile à trouver. Beaucoup de monde l’utilise. L’heure d’envoi ? C’est vrai qu’en général les gens travaillent à 15h30... ou sont au café. Taille du message ? Bof... Clé GPG ? Si elle n’est pas compromise, c’est un bon moyen, en
effet.
Reprenons donc. Rien n’est sûr sur le Net, pas même l’adresse courriel. Néanmoins, on peut supposer que si un utilisateur qui vous présente sa clé est soigneux et que même si sa clé publique a été barbotée, il aura pris la peine de vérifier que ses adresses déclarées (vraisembablement sur plusieurs serveurs - genre laposte.net, free.fr,
boulot.com) ne sont pas tous compromises simultanément. C’est à dire que le voleur ne pourra pas relever toutes les boîtes électroniques à la fois.
En revanche, rien n’empêche le voleur de clé de se fabriquer une boîte aux lettres chez Hotmail.com par exemple, en utilisant l’identifiant (et d’autres informations comme le nom ou le prénom) de la personne à qui appartenait la clé initialement.

Comme le voleur sait utiliser la clef privée parce qu’il connaît la passphrase (phrase d’authentification), ou qu’il n’y en a pas, il ajoute son adresse de courriel à la clef GPG. Ainsi, il gagne une chance de plus de ne pas être
démasqué par toutes les personnes qui prennent pour habitude de faire confiance aux clef GPG et aux informations qu’elles contiennent.
Tu reçois un mail de toto@hotmail.com signé par la clé n°1234 qui est celle qu’utilise habituellement toto@linux.net. D’ailleurs, tu as signé cette clé, et l’adresse toto@hotmail.com y figure - du moins sur les
serveurs de clé -. Tu te dis "ah, toto s’est fait un nouvel e-mail". Et tu mets à jour ton trousseau.

L’intérêt pour le voleur, c’est qu’il t’écrit depuis un e-mail que tu
penses appartenir à toto, mais qui lui est complètement étranger. Toto
ne sais pas que tu crois lui parler. C’est tout bénef pour le voleur.

Si les signatures GPG étaient associées au numéro de clé, et non au
courriel, tu n’aurais - à la limite - aucun moyen de savoir que toto a
un nouvel e-mail. Pire, comme TU as signé la clé, et que le voleur a
ajouté son e-mail qu’il utilise pour se faire passer pour toto, les gens
à qui il va écrire auront confiance. Ils n’imagineront même pas que toto
a un nouvel e-mail en hotmail.com depuis le moment où tu as signé sa
clé.

La clé est compromise, c’est sûr, mais ni toi ni le vrai toto, ne le sauront peut-être pas avant que le voleur ait accompli son forfait.

GPG ne servirait alors à rien.

Pour éviter cela, il FAUT signer chaque UID lors des "soirées GPG échange de
clé", et se méfier lorsque des UID sont ajoutés.

Ne pas oublier les questions rituelles : "toto@hotmail.com, c’est bien à
toi ?"

Là, j’ai quand même la vague impression que c’est, comme on dit,
"overkill". J’ai peur que ce genre de subtilité freine l’adoption de
GPG, mais je reconnais qu’il peut y avoir une utilité.

Overkill = tuer les mouches au bazooka, c’est ça ? Désolé, je ne cause pas bien le nerd.

Bon. Il faut bien comprendre que les réseaux de confiance GPG (PGP) ne tiennent qu’à un fil. Si l’un des membre (maillon) du réseau est défaillant, prend la sécurité par dessus la jambe, signe un peu n’importe qui, il met en péril l’ensemble des membres du réseau. Lorsque vous signez des clef, il faut bien être sûr que la personne à qui vous accordez votre confiance ait bien compris cet aspect. Personnellement, le nombre de clé que j’ai signées se compte sur les doigts d’une seule main. Par exemple, je ne signerais pas la clé GPG de quelqu’un qui signe trop de clés, même si par ailleurs je lui fais confiance. Je ne lui accorderais pas la délégation de la mienne

Tout cela pour dire, que la signature des UID est une sécurité supplémentaire, et que GPG ne PEUT PAS être utilisé avec tous ses mécanismes, de façon simple et sécurisée à la fois.

Cela dit, si on ne signe pas n’importe quoi, si on n’a pas de besoins de sécurité extraordinaires, nul besoin de se péoccuper des détails : On protège bien sa clé. On crée un certificat de révocation au cas où. On ne diffuse pas sa passphrase. On restera dans des conditions d’utilisations moyennes, et il ne devrait pas y avoir de problème.

D’autre part, J’en ai fait la douloureuse expérience, moins il y a d’UIDs associés à une clef donnée, mieux c’est. L’idéal étant d’avoir UNE clef par adresse de courriel. Personnellement, j’ai une clef professionnelle, et
une clef personnelle. Si ma clef perso, j’ai 3 UID, en laposte.net, free.fr, et ryckeboer.org. Si un beau jour je ne loue plus ryckeboer.org, je n’ai plus qu’à révoquer ma clef. Pareil si je change de fournisseur d’accès Internet et quitte Free.fr.

Mettre plus de 3 UID sur une clef me paraît plus que déraisonnable.