Veil e i keyserver PGP
Per trent’anni, per trovare la chiave di qualcuno, la risposta è stata un keyserver. I keyserver fanno ancora bene una cosa, cioè dare la chiave PGP di un indirizzo email. Non sono mai stati pensati per dirti chi c’è dietro gli altri account di una persona.
Scritto il
La rete SKS#
I keyserver SKS erano un gruppo di server che si copiavano a vicenda ogni chiave. Chiunque poteva caricare qualsiasi chiave con qualsiasi nome e indirizzo email, e nulla veniva mai cancellato. Quell’apertura li rendeva facili da sfruttare. Nel 2019 qualcuno ha riempito alcune chiavi molto note con decine di migliaia di firme spazzatura, e le copie di quelle chiavi hanno smesso di funzionare in GnuPG. La rete principale ha chiuso nel 2021.
SKS ha insegnato che una chiave con sopra un indirizzo email non prova niente su quell’indirizzo. Cosa c’è scritto lo decide chi la carica.
keys.openpgp.org#
keys.openpgp.org è nato nel 2019 e ha sistemato la parte peggiore. Pubblica un indirizzo email solo dopo aver mandato a quell’indirizzo un link di conferma, e solo se qualcuno lo apre. Scarta le firme fatte da altre persone, cosa che ferma i riempimenti, e ti lascia cancellare il tuo indirizzo. Si cerca una chiave per email o per impronta, e GnuPG e Thunderbird sanno interrogarlo.
Non fa invece niente oltre l’email. Non ha prove per un profilo GitHub, un account Discord o un dominio. Non tiene una storia pubblica, quindi non puoi vedere quale chiave aveva un indirizzo l’anno scorso. E la sua risposta la prendi così com’è, perché niente fuori dal server controlla quello che serve.
Cosa aggiunge Veil#
Veil è la rubrica pubblica delle identità crittografiche. Una scheda lega le chiavi di una persona agli account con cui la gente la conosce, email compresa, ognuno con la sua prova. Trovi una scheda da un ID Discord, un indirizzo email, un dominio o un account del Fediverso, e il tuo browser la controlla con un registro pubblico controfirmato da testimoni indipendenti. Un account rubato non dà le chiavi a chi lo ruba, perché restano sui dispositivi del proprietario.
Una chiave PGP può essere tra queste. Porti la sua metà pubblica sulla scheda come chiave pubblica di altri sistemi e firmi una breve sfida con la chiave privata, sul tuo computer. Da quel momento chi incolla nella ricerca di Veil le 40 cifre esadecimali della tua impronta arriva alla tua scheda e vede quali account la confermano.
Quando un keyserver è ancora lo strumento giusto#
Se ti serve che la gente cifri le email per te, tieni la chiave su keys.openpgp.org o in una Web Key Directory sul tuo dominio. I programmi di posta la cercano lì da soli, e Veil non prova a sostituirli. Comandi come gpg --locate-keys e la ricerca automatica delle chiavi di Thunderbird si aspettano un keyserver o una WKD, non una scheda.
Quando puoi, pubblica in tutti e due i posti. Il keyserver permette ai programmi di trovare la chiave di un indirizzo. La scheda permette a una persona di controllare che la chiave sia di chi conosce con quell’indirizzo, e con gli altri account della scheda.
Domande#
Veil è un keyserver?
No. Un keyserver dà le chiavi PGP per indirizzo email. Veil tiene una scheda per persona o organizzazione, con le chiavi di dispositivo che la firmano, gli account su più piattaforme e, se il proprietario vuole, chiavi pubbliche di altri sistemi come PGP e SSH.
Posso caricare su Veil la chiave di qualcun altro?
No. Una chiave pubblica di altri sistemi entra in una scheda solo con una firma della sua chiave privata su una sfida legata a quella scheda, quindi può aggiungerla solo chi ha la chiave privata.
Veil può cifrare le email per me?
No. Veil ti dice di chi è una chiave. Cifrare e decifrare restano compiti del tuo programma di posta o di GnuPG.
Cosa succede alla mia chiave se chiudo la scheda?
Dopo un’attesa di 24 ore il contenuto della scheda viene distrutto. Il registro tiene le chiavi pubbliche e i loro ruoli, perché una firma fatta prima deve restare controllabile. L’informativa sulla privacy dice esattamente cosa resta.