Grosse mise à jour de ce billet de mon blog pour tenir compte de l'expérience acquise lors d'une crypto-party et des questions que l'on m'a posé depuis.

Ce qui a changé :

• Redirection des utilisateurs winwin vers des tutos adaptés ;

• GPG 1.X versus 2.X et ce que ça change à la conf' ;

• Indication que RSA 4096 bits, ça vaut toujours quelque chose ;

• Ajout de comment générer une bonne phrase de passe pour sa clé ;

• Ajout d'un complément d'information sur la différence entre expiration et révocation et sur ce qu'apporte l'expiration ;

• Ajout d'une précision que toute identité / adresse mail liée à votre clé OpenPGP permet une corrélation entre vos identités. Toutes vos identités ne sont pas bonnes à lier ;

• Ajouter de la commande GPG « lsign » qui permet de signer localement une clé c'est-à-dire que la clé ne sera jamais exportée vers un serveur de clé. Ça permet deux-trois choses comme de ne pas exposer publiquement tout votre graphe de relations ;

• Ajout d'un usage de GPG comme gestionnaire de mots de passe ;

• Ajouts de précisions sur la manière de vérifier l'appartenance d'une clé récupérée sur un serveur de clés à une personne précise ;

• Il vaut mieux installer Enigmail depuis addons.mozilla.org que depuis le système de packages de votre système GNU/Linux ;

• Enigmail n'est pas forcément le meilleur choix : il s'agit d'une bidouille du workflow de Thunderbird, d'un ajout disgracieux et il gère très très mal les enchaînements et les imbrications de plusieurs compartiments MIME dans un corps de mail, ce qui peut conduire l'utilisateur-trice en erreur et donc en insécurité ;

• Ajout d'explications sur pourquoi vouloir utiliser OpenPGP avec un webmail est une mauvaise idée ;

• Ajout d'une note sur l'absence de confidentialité persistante avec OpenPGP ;