[Précédent (date)] [Suivant (date)] [Précédent (sujet)] [Suivant (sujet)] [Index par date] [Index par sujet]

Une bonne raison d'utiliser PGP



En lien avec le dernier PGP-Party tenu au CRIM, voici un texte qui
résume bien l'utilisation la plus courante de PGP: la signature.

http://g-blog.net/entry/3431



Je jongle aussi avec l'idée d'utiliser les signatures PGP contre le
SPAM. Le serveur de Linux-Québec utilise plusieurs filtres qui tentent
tous d'éliminer le SPAM et les virus. Le problème demeure toujours les
faux-positifs (un mail qui n'est pas un spam est jeté à la poubelle).

Il serait facile de laisser passer tous les messages signés par une clef
faisant partie d'une "whitelist". Cette liste de clefs serait maintenue
par les administrateurs des forums.

Dans le cas de Linux-Québec, où n'importe qui peut poster, les messages
signés par une clef présente dans la "liste blanche" pourraient s'éviter
la modération, alors que les messages qui ne sont pas signés (ou dont la
signature ne correspond à aucune clef de la whitelist) devraient passer
par la modération. Avantage? Moins de travail pour le modérateurs.

Mailman permet déjà de modérer seulement les messages en provenance des
non-inscrits. Je suis certain que ça fonctionne, mais je vois passer
beaucoup de messages générés par un virus (ou worm) qui contiennent
n'importe quoi comme champs "To" et "From". En utilisant la
fonctionalité de Mailman mentionnée, des messages infectés ayant le
"From" d'un abonné passeront au travers des mailles du filet.

L'utilisation de signatures PGP pourrait régler ce problème. Si la
signature est acceptée, le message est envoyés aux abonnés
immédiatement. Autrement, il fait une escale dans la boîte du
modérateur.

Toutefois, on ne veut pas qu'un spammeur puisse générer une paire de
clefs PGP, s'inscrire à la mailing-list (avec une vraie addresse),
recevoir une demande de confirmation de la part de Mailman, confirmer
son inscription, ajouter sa clef au système, et poster un spam *signé* à
la liste, en atteignant tous les membres.

Pour ne pas que ça puisse se produire, l'ajout de la clef à la whitelist
pourrait être fait manuellement, seulement après avoir posté un premier
message. Son premier message, signé avec un clef non-approuvée, serait
envoyé à la modération. Le modérateur vérifie que le message n'est pas
un spam, constate qu'il est signé mais que la clef n'est pas encore
approuvée, ajoute la clef à la whitelist, et laisse passer le message.
Les messages suivants n'ont donc plus à passer par la modération.

Bien sûr, rien n'empêche une personne ayant déjà posté un message
légitime à se convertir en spammeur. Dans ce cas, le premier spam
passerait, jusqu'à ce qu'un administrateur retire la clef PGP de la
whitelist.

Bref, ce tout petit rien réduirait le travail des modérateurs, tout en
éliminant pratiquement tous les spams. Ça a comme autre avantage
d'inciter les gens à utiliser PGP, étant donné que leurs messages se
rendront à destination plus rapidement. Aussi, on bénéficie de la
vérification d'identité (il devient plus difficile de se faire passer
pour quelqu'un d'autre).

Les changements à apporter à Mailman me semble minimes. Ça prend une
interface pour permettre aux inscrits de soumettre leurs clefs PGP (le
serveur de clefs actuel, qui possède même une interface web, pourrait
être suffisant). Il faut ensuite insérer une entrée dans la "pipeline"
de livraison de Mailman, pour qu'il laisse passer les messages signés
par une clef présente dans un keyring considéré comme la whitelist. Puis
on peut optionnellement modifier l'interface web de modération pour y
ajouter l'option "add PGP key to whitelist".

Qu'en pensez-vous? Est-ce qu'il existe déjà une solution semblable?

Nicolas


-- 
OpenPGP public key:         http://nicolas.marchildon.net/pubkey.txt
Key fingerprint:  5E84 1089 0036 BB63 6997  232C 8FFB 777D 39D4 B2D4
Jabber ID: [email protected]              http://www.jabber.org
What have you done for freedom today?             http://www.gnu.org

Attachment: signature.asc
Description: This is a digitally signed message part