Veil e Keyoxide a confronto

Come funziona Keyoxide#

Keyoxide è nato nel 2020. Le tue dichiarazioni d’identità stanno nella tua chiave, scritte come notazioni secondo la specifica Ariadne: una riga nella chiave OpenPGP, o in un profilo di firma più recente, che nomina un account come un profilo Mastodon o un gist su GitHub. Sull’account pubblichi un link all’impronta della chiave. Un client di Keyoxide scarica la chiave, segue ogni dichiarazione fino all’account e controlla che l’account rimandi alla chiave.

Su un server di Keyoxide non resta niente. Il sito keyoxide.org è uno dei client possibili, e chiunque può farne girare uno suo. Le chiavi si scaricano da dove le pubblichi, di solito keys.openpgp.org o una Web Key Directory sul tuo dominio. Se cambi la chiave, cambia anche il profilo.

Come funziona Veil#

Veil è la rubrica pubblica delle identità crittografiche. Ogni persona o organizzazione ha una scheda che lega le sue chiavi agli account con cui la gente la conosce. Puoi partire da un account che conosci già, come un ID Discord, un indirizzo email o un dominio, e ottenere la scheda con le sue chiavi, controllate nel tuo browser. Siccome le chiavi restano sui dispositivi di chi le possiede, un account rubato non può firmare a suo nome.

Ogni modifica a una scheda è firmata da una delle chiavi di dispositivo del proprietario e scritta in un registro pubblico. Testimoni indipendenti controfirmano il registro, e il tuo browser controlla la scheda con quello. Così il server non può riscrivere di nascosto il passato di una scheda né mostrare schede diverse a chi legge.

Dove è più forte ciascuno#

Keyoxide è più forte sull’indipendenza. Non c’è un account da creare né qualcuno di cui fidarsi, e le prove stanno con la tua chiave. Se domani keyoxide.org sparisse, le tue prove tornerebbero lo stesso in qualunque altro client. Accetta anche dichiarazioni da molte piattaforme, alcune delle quali Veil ancora non collega.

Veil è più forte nell’altro verso, da un account alla chiave. Con Keyoxide devi conoscere prima l’impronta o l’email, e nessuno può chiedere quale chiave corrisponde a un certo account. Veil risponde direttamente a questa ricerca, e funziona anche al contrario: da una chiave, da una riga SSH o da un’impronta PGP arriva alla scheda che la contiene.

Veil tiene anche la storia. Keyoxide mostra cosa dichiara la tua chiave adesso. Una scheda di Veil ha tutte le versioni passate nel registro, quindi chi legge vede quando una chiave o un account sono stati aggiunti e tolti. Se un account viene rubato, il proprietario lo dichiara dalla scheda con una data, e chi cerca quell’account vede prima di tutto l’avviso.

Questo ha un prezzo. Alcuni collegamenti di Veil, Discord per esempio, si provano con l’accesso alla piattaforma nel momento in cui li aggiungi, e il server di Veil mette per iscritto quell’accesso nella scheda firmata. Chi legge si affida poi a quella registrazione, tenuta nel registro con i testimoni. Chi usa Keyoxide va invece a guardare l’account stesso, ogni volta.

Usarli tutti e due#

Non si escludono. Se hai già una chiave OpenPGP con le dichiarazioni di Keyoxide, puoi mettere la sua metà pubblica sulla scheda di Veil come chiave pubblica di altri sistemi. Firmi una breve sfida con la chiave privata sul tuo computer, e Veil non la vede mai. Il profilo di Keyoxide continua a funzionare, e chi ti trova con Veil vede la stessa chiave, controllata nel suo browser.

Se non usi PGP, Veil non te lo chiede. Quando crei una scheda il browser crea una chiave di dispositivo, e gli account li colleghi dalla pagina della scheda.