Re: [TECH] [GNUPG] Choix de clés?

[Damien Goutte-Gattat <dgouttegattat AT incenp.org>]

On 06/12/2014 09:53 AM, Nicolas VINOT wrote:
> Dans tous les cas, comme il faut aujourd'hui des clefs de 4096 bits (et en 
> tout cas de plus de 2048), seul RSA reste en lice.

Personnellement, je recommanderais plutôt le compromis suivant :

– une clef maître de 4096 bits ;
– des sous-clefs de 2048 bits.

La clef maître est la clé « de long terme ». Elle sert à
ajouter/révoquer des sous-clefs et des identités, et à signer les clefs
des autres utilisateurs. C’est aussi cette clef qui est à son tour
signée par les autres participants de la toile de confiance. Une
compromission de cette clef serait désastreuse (besoin de générer une
nouvelle clef et de la ré-intégrer dans la toile de confiance), raison
pour laquelle elle doit être de grande taille, et idéalement stockée
ailleurs que sur le poste de travail (on n’aura que rarement besoin de
l’utiliser).

Les sous-clefs sont utilisées pour les opérations quotidiennes
(chiffrer/déchiffrer, signer, s’authentifier). Comme elles peuvent
(doivent ?) être changées régulièrement et à tout moment sans trop de
contrainte, une taille de 2048 bits est *à mon avis* suffisante ici.

Attention en revanche, à ma connaissance RSA ne fournit pas de « forward
secrecy » : le jour où la sous-clef de chiffrement est cassée, tous les
anciens messages chiffrés avec cette clef sont déchiffrables. Ça *peut*
justifier l’utilisation d’une sous-clef de chiffrement de 4096 bits,
même si personnellement je trouve ça surdimensionné.


-- 
Damien Goutte-Gattat

Attachment: signature.asc
Description: OpenPGP digital signature