Key signing party

L'échange se fait de visu, de la main à la main. En partant du principe qu'une clé publique appartient réellement à la personne qui le prétend, les participants signent numériquement le certificat contenant cette clé publique, le nom de la personne, et diverses informations avant de passer à la personne suivante (les participants se disposant généralement en 2 lignes, face à face, afin de vérifier la clé de la personne en face, se décalant d'une personne à chaque fois. Ainsi chacun signe la clé de tous les autres).

Bien que les clés OpenPGP soient généralement utilisées avec des ordinateurs personnels dans le cadre d'applications liées à Internet, les key signing parties se déroulent généralement sans ordinateur, puisque cela augmenterait le risque « d'abus de confiance ». Au lieu de cela, les participants communiquent une chaîne de caractères, appelée empreinte cryptographique, qui représente de façon unique leur clé publique[1].

L'empreinte est créée via une fonction de hachage cryptographique, qui réduit la clé à une chaîne hexadécimale (plus courte et facilement gérable). Les participants échangent ces empreintes tout en vérifiant chacun l'identité des autres personnes. Puis, après la rencontre, chaque participant récupère (par le biais des serveurs de clés disponibles via Internet) les clés correspondant aux empreintes qu'on lui a données, et signe chacune des clés[2].

En définitive, une key signing party permet à chacun d'accroître et de renforcer sa toile de confiance (web of trust, en anglais), et donc d'être sûr, qu'une clé récupérée depuis un serveur de clés appartient bien à la personne qui le prétend. Cette certitude est souhaitable, voire indispensable, dans de nombreux environnements ; le système de messagerie électronique conventionnel, par exemple, ne contient aucun moyen de se prémunir contre une usurpation d'identité ou d'adresse électronique.