Читать «PGP: Кодирование и шифрование информации с открытым ключом.» онлайн - страница 12

Для более децентрализованных массовых "партизанских" использований, разрешение всем пользователям действовать как доверенные поручители для их друзей, вероятно, сработает лучше, чем центральный сервер ключей. PGP настроена, чтобы подчеркивать этот органически децентрализованный подход.

Он лучше отражает естественный способ взаимодействия людей на персональном социальном уровне, и позволяет людям лучше выбирать, кому они могут доверять управление ключами.

Все это дело защиты открытых ключей от подделки — наиболее трудная проблема в программных средствах, использующих принцип открытого ключа. Это ахиллесова пята криптографии с открытым ключом, и некоторая сложность программ связана с решением именно этой проблемы.

Вы должны использовать открытый ключ только после того, как вы уверены, что он вполне достоверен, не был подделан и действительно принадлежит тому человеку, который на это претендует. Вы можете быть в этом уверены, если вы получили открытый ключ непосредственно от его владельца, либо если этот ключ имеет подпись кого-либо из тех, кому вы доверяете и от которого вы уже получили достоверный открытый ключ. Кроме того, идентификатор пользователя должен содержать полное имя и фамилию владельца, а не только имя.

Неважно, как вас соблазнят — а вас будут соблазнять — никогда , НИКОГДА не признавайте целесообразность и не доверяйте открытому ключу, который вы переписали с BBS, если он не подписан кем-либо, кому вы доверяете. Такой никем не удостоверенный ключ вполне мог быть поделан кем-то, возможно даже администратором BBS.

Если вас попросят подписать чей-либо сертификат открытого ключа, убедитесь, что этот ключ действительно принадлежит человеку, чье имя указано в идентификаторе пользователя удостоверения этого ключа. Это необходимо потому, что ваша подпись на этом удостоверении — ваше личное утверждение принадлежности этого ключа. Другие люди, доверяющие вам, будут принимать этот ключ как достоверный, потому что он подписан вами. Плохой совет — полагаться на слухи; не подписывайте открытый ключ, пока не получите независимую информацию из первых рук о принадлежности этого ключа. Предпочтительно подписывать только после получения ключа прямо от автора.

Если вы удостоверяете открытый ключ, вы должны быть уверены в принадлежности этого ключа в гораздо большей степени, чем при простом шифровании сообщения этим ключом. Чтобы быть убежденным в достоверности ключа настолько, чтобы использовать его, ключ должен иметь удостоверяющие подписи от надежных поручителей. Однако, для того, чтобы самому удостоверить этот ключ, вы должны знать о действительном владельце этого ключа из первых рук. К примеру, вы могли бы позвонить ему по телефону и прочитать ему файл ключа для окончательного подтверждения того факта, что этот ключ — его, при этом будучи уверенным, что разговариваете с тем, кем надо.

Имейте в виду, что ваша подпись на удостоверении открытого ключа не подтверждает честность человека, а только утверждает целостность (монопольное использование) открытого ключа этого человека. Вы не рискуете вашим авторитетом при подписании открытого ключа человека с социально-патологическими изменениями, если вы были полностью уверены, что ключ действительно принадлежал ему. Другие люди будут верить, что ключ принадлежит ему, потому что вы подписали его (если они доверяют вам), но они не будут доверять владельцу ключа.