[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
developers/pgp.html was:Re:アイデンティティー
こんにちは。
小野寺です。
From: Takahiro Kambe <taca@back-street.net>, Date: Sun, 20 May 2012 15:39:23 +0900 (JST)
> こんにちは。
>
> In message <yfm1umfjrwo.wl%makoto@ki.nu>
> on Sun, 20 May 2012 15:19:35 +0900,
> 藤原 誠/ Makoto Fujiwara <makoto@ki.nu> wrote:
>> 正直なところ、
>> ・アイデンティティーという用語は出来れば避けたい
>> (日本語ではそのカタカナは少し違う意味に使われているからと
>> いうのも大きな理由です)
>> ・この文では、「本人であること」という意味に使っている
>> ・でも良い日本語訳がない
> 文脈見ずに書いていますが、多くの場合「(個人の)識別情報」で済むと思います。
「識別情報」を使わせていただきました。
他にもちょっとした所を直しています。
pgp.xmlファイルを添付し、htmlについては参照しやすいように
ウェブスペースに置きました。
http://ryo-on.users.sourceforge.net/netbsd/pgp.html
--
Ryo ONODERA // ryo_on@yk.rim.or.jp
PGP fingerprint = 82A2 DC91 76E0 A10A 8ABB FD1B F404 27FA C7D1 15F3
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE webpage
PUBLIC "-//NetBSD//DTD Website-based NetBSD Extension//EN"
"http://www.NetBSD.org/XML/htdocs/lang/share/xml/website-netbsd.dtd">
<webpage id="ja-developers-pgp">
<config param="desc" value="NetBSD開発者のためのPGP鍵管理ガイド"/>
<config param="cvstag" value="$NetBSD: pgp.xml,v 1.14 2010/11/21 16:45:26 kano Exp $"/>
<!-- Based on English version: -->
<!-- NetBSD: pgp.xml,v 1.14 2010/11/21 16:45:26 kano Exp -->
<config param="rcsdate" value="$Date: 2010/11/21 16:45:26 $"/>
<head>
<title>NetBSD開発者のためのPGP鍵管理ガイド</title>
</head>
<sect1 id="pgp-management">
<sect2 id="scope">
<title>範囲</title>
<para>
このガイドの話題はPGP鍵の管理です。
あなたが、非対称暗号(秘密鍵と公開鍵を使う)を理解していること、
PGP鍵を作る方法と使う方法を知っていること、
お気に入りの電子メールクライアントにPGPサポートを組み込む方法を知っていること
を前提とします。
あなたが、デジタルメッセージの署名と暗号化の概念を理解していることを前提とします。
</para>
<para>
PGP鍵を使うための情報は、以下で得ることができます。
</para>
<itemizedlist>
<listitem>
<ulink url="http://www.gnupg.org/faq/GnuPG-FAQ.html"/>
</listitem>
<listitem>
<ulink url="http://www.gnupg.org/documentation/howtos.en.html"/>
</listitem>
<listitem>
<ulink url="http://www.gnupg.org/gph/en/manual.html"/>
</listitem>
</itemizedlist>
</sect2>
<sect2 id="audience">
<title>予想される読者</title>
<para>
NetBSD開発者と、NetBSD Projectのメンバーへの応募者
</para>
</sect2>
<sect2 id="rationale">
<title>根拠: なぜPGPを使える開発者が必要なのか</title>
<para>
The NetBSD Projectは、世界中のプロジェクトメンバーからの
要求やその他のコミュニケーションの出自を明らかにできる必要があります。
これを実行する最も単純な方法は、メンバー間でPGPの信頼の輪を構築することです。
</para>
<para>
信頼の輪を必要とする典型的な活動の例を示します。
</para>
<itemizedlist>
<listitem>
<para>
例えばアカウントの詳細の変更に関連する管理者宛ての電子メールに署名できること
</para>
</listitem>
<listitem>
<para>
(プロジェクト全体の信頼の輪を構築するために)他の誰かの鍵に署名できること、
そして応募者の鍵に署名できること
</para>
</listitem>
<listitem>
<para>
外部に公開されないセキュリティーの問題についてのコミュニケーションを例とする
暗号化された電子メールを受信できること
</para>
</listitem>
</itemizedlist>
<para>
PGP鍵を作り、管理し、使う、最も一般的なプログラムは、
おそらくgpg (GNU Privacy Guard)であり、
pkgsrcの<filename role="pkg">security/gnupg</filename>から利用できます。
この文書中の例は、(pgpではなく)gnupgを使います。
</para>
</sect2>
<sect2 id="approach">
<title>信頼の輪アプローチ</title>
<para>
誰でも任意の数の鍵を作ることができ、
どの鍵も任意の識別情報を持たせることができます。
持ち主の識別情報は本当のものでないかもしれません。
持ち主は、これらの鍵を任意の鍵サーバーにアップロードすることができます。
このことは、ある人物が本人でなくても(ユーザーIDとして与えられる)鍵の所有者の
ふりをすることができることを意味します。
</para>
<para>
特定のPGP鍵が特定の人物の所有物であることに確証を持つための概念には
二つの根本的に異なるものがあります。
</para>
<itemizedlist>
<listitem>
<para>
一般的には政府の管理下にある認証局(CA)が
特定の人物の識別情報を確認し、
特定の鍵が特定の人物(や組織)の所有物であることを証明する方法があります。
このサービスには一般的にはお金がかかります。
</para>
</listitem>
<listitem>
<para>
信頼の輪: 二人のPGP鍵の所有者が会ったとき、彼らが識別情報を確認し、
お互いの鍵に署名をする方法(後で他の誰かの鍵に署名することの重大さを
説明します)。
政府によって管理はされませんが、あなたの知っている多くの人に署名されていれば、
その信頼性に確証を持つことができます。
信頼の輪アプローチで重要なのは、多くの鍵の所有者が参加することです。
</para>
</listitem>
</itemizedlist>
<para>
信頼の輪アプローチでは、AがBの鍵に署名し、BがCの鍵に署名したならば、
AはCの信頼性について確証を持つことができます。
これが成り立つには、AはBが無責任な署名をしないと信頼していないといけません。
AからCへの経路は「信頼の鎖」と呼ばれます。
</para>
</sect2>
<sect2 id="significance">
<title>他の誰かの鍵に署名することの重大さとは?</title>
<para>
しばしば以下に述べられているのを聞くことがあります。
「Fooの行動が気に食わないから彼の鍵には署名しない」とか
「Fooが強迫メールに私の署名した鍵で署名したら、法的な責任を取ることになる」
これらや似たような発言は、正しくありません。
</para>
<para>
誰かの鍵に自分の鍵で署名するということは、
「PGP鍵xは人物yの所有物であることを確認した」ということであり、
それ以上でもそれ以下でもありません。
</para>
<para>
注意深く本人であることを調査した人に対して、その人の鍵に署名しない
理由はありません。
</para>
</sect2>
<sect2 id="keygen-recommendations">
<title>鍵生成でのお薦め</title>
<para>
最初に、長い期間に渡って最高のセキュリティーを保つには、
長い鍵長を選ぶのが良いです。
現在のDSA標準での最大1024ビットの鍵長の制限は、DSAのセキュリティーを
制限することになります。
最大のセキュリティーを確保するために、2048ビットのRSA鍵を暗号化と署名に
使うのが賢明です。
残念なことにgnupgはこのタイプの鍵を作るのが簡単ではありません
(gnupgのデフォルトは1024ビットのDSA/ElGamal鍵の生成です)
(訳注: 最近のGnuPGではRSA署名RSA暗号化鍵の生成がデフォルトになっています)。
</para>
<para>
簡単に言うと、最初に「署名のみ」のRSA鍵を--gen-keyメニューで選択して生成し、
--edit-keyをその鍵に使って、「addkey」コマンドでRSA暗号化副鍵を追加します
(gnupgの表示を簡単に示します)。
</para>
<note><title/>
<programlisting>
% gpg --gen-key
Please select what kind of key you want:
(1) DSA and ElGamal (default)
(2) DSA (sign only)
(4) ElGamal (sign and encrypt)
(5) RSA (sign only)
Your selection? 5
What keysize do you want? (1024) 2048
Requested keysize is 2048 bits
Please specify how long the key should be valid.
0 = key does not expire
<n> = key expires in n days
<n>w = key expires in n weeks
<n>m = key expires in n months
<n>y = key expires in n years
Key is valid for? (0) 0
Key does not expire at all
Is this correct (y/n)? y
You need a User-ID to identify your key; the software constructs the user id
from Real Name, Comment and Email Address in this form:
"Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>"
Real name: Joe Doe
Email address: joe@doe.org
Comment: (NetBSD)
You selected this USER-ID: "Joe Doe (NetBSD) joe@doe.org"
Enter passphrase:
Repeat passphrase:
public and secret key created and signed.
key marked as ultimately trusted.
pub 2048R/8385E7E3 2004-02-09 Joe Doe (NetBSD) <joe@doe.org>
Key fingerprint = 9DDA CB87 9FF2 9950 1F5A 7F79 F38C E6DE 8385 E7E3
この鍵は暗号化には使えません。「--edit-key」コマンドを使って第2の鍵を
暗号化のために生成することになります。
% gpg --edit-key 8385E7E3
Secret key is available.
gpg: checking the trustdb
gpg: checking at depth 0 signed=0 ot(-/q/n/m/f/u)=0/0/0/0/0/1
pub 2048R/8385E7E3 created: 2004-02-09 expires: never trust: u/u
(1). Joe Doe (NetBSD) <joe@doe.org>
Command> addkey
Key is protected.
You need a passphrase to unlock the secret key for
user: "Joe Doe (NetBSD) joe@doe.org"
2048-bit RSA key, ID 8385E7E3, created 2004-02-09
Enter passphrase:
Please select what kind of key you want:
(2) DSA (sign only)
(3) ElGamal (encrypt only)
(4) ElGamal (sign and encrypt)
(5) RSA (sign only)
(6) RSA (encrypt only)
Your selection? 6
What keysize do you want? (1024) 2048
Requested keysize is 2048 bits
Please specify how long the key should be valid.
0 = key does not expire
<n> = key expires in n days
<n>w = key expires in n weeks
<n>m = key expires in n months
<n>y = key expires in n years
Key is valid for? (0) 0
Key does not expire at all
Is this correct (y/n)? y
Really create? y
pub 2048R/8385E7E3 created: 2004-02-09 expires: never trust: u/u
sub 2048R/7BD27991 created: 2004-02-09 expires: never
(1). "Joe Doe (NetBSD) joe@doe.org"
Command> save
%
</programlisting>
</note>
<para>
以上で完了です。
</para>
<para>
ほかの質問としては、最初に満了日を設定すべきか否かがあるでしょう。
満了日は(PGP 2.xの鍵と違って)後で変更することができます。
この質問は個人の選択にまかせる問題です。
鍵に満了日を設定する理由として、人はときどきパスフレーズを忘れたり、
秘密鍵を紛失するというものがあります。
満了日を設定すると、鍵が急に使えなくなる日が存在することになります。
</para>
<para>
鍵を作った後、あなたの使っている全ての電子メールアドレスをUIDとしてあなたの鍵に
追加すべきです。
@NetBSD.org UIDを第一のUIDにすることを検討してください。
</para>
</sect2>
<sect2 id="manage-recommendations">
<title>あなたの秘密鍵を管理するお薦めの方法</title>
<para>
PGP鍵ペアを作ったらすぐに、ブランクな無効鍵を作っておくのが良いでしょう。
そうすることで、セキュリティー上の危険があった場合や、秘密鍵を失なった場合
(ディスクがクラッシュした)や、パスフレーズを忘れた場合に、あなたの鍵を
無効化することができます。
無効鍵は安全な場所に保管しておいてください。
秘密鍵とは別に保管するのが望ましいです。
印刷して安全に保管しておくのは、良い考えです。
</para>
<para>
常に、あなたにPGP秘密鍵はあなただけが管理権限を持つマシンにだけ保管する
ようにしてください。あるいは、秘密鍵を取り外し可能なUSBスティック
(市販されているもののなかで最もちっぽけなので良い)に
保管するようにしてください。
そして、鍵を使わない時にはUSBスティックを取り外すようにしてください。
</para>
<para>
あなたのPGP秘密鍵を強いパスフレーズで守るようにしてください。
</para>
<para>
定期的に鍵のバックアップを取るようにしてください。
</para>
</sect2>
<sect2 id="distribution-recommendations">
<title>あなたのPGP公開鍵の配布についてのお薦め</title>
<para>
公開鍵秘密鍵モデルでは、秘密鍵は安全に守られている必要がありますが、
公開鍵はできるだけ広く配布されるものです。
あなたに暗号化されたメッセージを送りたい誰かや、あなたの署名を確認したい誰か
は、あなたの公開鍵を必要としています。
</para>
<para>
よって、あなたは以下のことをすべきです。
</para>
<itemizedlist>
<listitem>
<para>
あなたの公開鍵を公開鍵サーバーに登録する
</para>
</listitem>
<listitem>
<para>
あなたの鍵をlocalsrc/security/publickeys/developersにコミットする
</para>
</listitem>
</itemizedlist>
<para>
標準的な鍵サーバーは、www.pgp.net、pgp.mit.edu、www.keyserver.netです。
デフォルトの鍵サーバーは、~/.gnupg/gpg.confに以下のように指定できます。
</para>
<note><title/>
keyserver pgp.mit.edu
</note>
<para>
localsrc/security/publickeys/developers/READMEには、どのようにあなたのPGP公開鍵をNetBSDローカルソースリポジトリーにコミットするかが説明されています。
全ての開発者のPGP公開鍵をこのディレクトリーに収めておくことで、
全ての鍵(全ての署名付き)をただ一つのコマンドでインポートすることができます。
</para>
</sect2>
<sect2 id="sign-recommendations">
<title>鍵に署名するお薦めの方法</title>
<para>
<emphasis type="strong">重要:</emphasis>
鍵の構成要素を確認することなく、信頼性を確認することなく、
鍵に署名しないでください。
鍵の所有者であると主張する人物の所有する鍵であることを確認してください。
あなただけではなく他人もあなたの署名を信頼することを忘れないでください!
</para>
<para>
お薦めの逐一の手順は以下のようです。
</para>
<orderedlist>
<listitem id="signsteps-bcard-prep">
<para>
あなたのPGP鍵に関する以下の情報を記した「名刺」型の文書を用意してください。
</para>
<itemizedlist>
<listitem><para>
鍵長
</para></listitem>
<listitem><para>
鍵のタイプ
</para></listitem>
<listitem><para>
鍵のID
</para></listitem>
<listitem><para>
作成日
</para></listitem>
<listitem><para>
満了日(もし設定していれば)
</para></listitem>
<listitem><para>
全てのUID
</para></listitem>
<listitem><para>
公開鍵の指紋
</para></listitem>
</itemizedlist>
<para>
あなたの鍵の「gpg --fingerprint」の出力が、必要とされるものそのものです
(「gpg --fingerprint」の出力をファイルにリダイレクトし、それを複数回
複製して、「a2ps -2 --borders no -B ...」で印刷し、短冊状に切って、ホチキスで
とめておくのが良いでしょう)。
</para>
</listitem>
<listitem id="signsteps-bcard-carry">
<para>
このPGP「名刺」と信頼できる写真付きの身分証明書(パスポート)を、
ほかの開発者(やPGP鍵所有者)と会う時には持って行くようにしてください。
</para>
</listitem>
<listitem id="signsteps-bcard-exchange">
<para>
ほかの開発者に実際に会ったとき、その人にあなたのPGP「名刺」を渡し、
あなたのパスポートを調べてもらうために手渡してください。
同じように、その人のPGP「名刺」をもらい、その人のパスポートを調べてください。
その人の識別情報を、パスポートで確認し、パスポートに記載の
名前とPGP「名刺」の名前を比較してください。
</para>
<para>
識別情報を確認するときには、極端にいろいろと話しをするように
してください。本人確認を正しくすることが、PGP鍵にサインすることの全てです。
</para>
<para>
その人のPGP鍵UIDの名前が正確にはパスポートの名前と一致しない場合が
あるかもしれません。
例としては、ファーストネームとして「William」の代わりに「Bill」が使われて
いたり、「Richard」の代わりに「Dick」が使われていたりといった具合です。
あなたが、あなたの鍵でその人の識別情報を正しいと追認すべきか
迷った場合には、署名してはいけません。
署名しないのでなければ、写真付き身分証明書にあるのと同じ名前のUIDを追加する
ように要求し、そのUIDに署名するようにしてください。
</para>
<para>
全てが一致したならば、PGP「名刺」に本人であることの確認が完了した
ことを(日付と一緒に)記入してください。
一人の開発者と会った時には、これは奇妙なことに思えるかもしれません。
しかし、この方法は、
鍵署名パーティーで何をしたか信頼性をもって追跡できる唯一の方法であり、
良い習慣であるとされています。
</para>
</listitem>
<listitem id="signsteps-pkey-import">
<para>
コンピューターの前に戻ったら、他の人たちの公開鍵をインポートしてください
(公開鍵サーバーからでもlocalsrcからでも可)。
gnupgでは、これは以下のように簡単にできます。
</para>
<note><title/><programlisting>
% gpg --import moe_pgp_key.asc
</programlisting></note>
<para>
同じ鍵を複数回インポートしても問題は生じません。
</para>
<para>
公開鍵サーバーからインポートするには、以下のようにしてください。
</para>
<note><title/><programlisting>
% gpg --recv-key <keyid>
</programlisting></note>
</listitem>
<listitem id="signsteps-pkey-verify-contents">
<para>
少なくとも以下の新しくインポートした鍵の構成要素を、もらったPGP「名刺」の
情報と照合してください。
</para>
<itemizedlist>
<listitem><para>
鍵のタイプ
</para></listitem>
<listitem><para>
鍵長
</para></listitem>
<listitem><para>
鍵のID
</para></listitem>
<listitem><para>
鍵の指紋
</para></listitem>
</itemizedlist>
<para>
任意の鍵のIDを持つ鍵を作成可能であり、
(設計の弱みにより)どんな指紋を持ったPGP鍵も作ることが可能です。
しかし、これらの鍵は、奇妙な鍵長を持つことになります。
</para>
<para>
現在のところ、任意の鍵長、鍵のID、鍵の指紋の組み合わせを持つ鍵を作成
することは不可能と考えられています。
</para>
<para>
PGP鍵の全ての構成要素が、PGP「名刺」のそれと一致しらならば、
その公開鍵は本当にPGP「名刺」をくれた人物の所有物であると確信して良いです。
</para>
</listitem>
<listitem id="signsteps-pkey-verify-email">
<para>
署名する前の残りの仕事は、相手が提示された全てのUIDを管理下に置いているか
を確認することです。
これを確認するためには、乱数を発生させ、
相手の鍵で暗号化してそれを送れば良いです。
相手のやるべき事は、この乱数を暗号化し、送り返すことです。
このときは、あなたの公開鍵で暗号化してもらいます
(暗号化して返信してもらうのは、暗号解読攻撃を防止するためです)。
相手に送り返すメッセージに署名してもらうことが大切です。
そうすれば、<xref linkend="signsteps-pkey-verify-signature"/>ステップで
相手の識別情報を確認することができます。
</para>
<para>
複数のUIDを持つPGP鍵を確認するならば、どの乱数をどの電子メールアドレスに
送ったかをメモしておくようにしてください。
</para>
<para>
gnupgを使ったこのステップの例を示します。
</para>
<note><title/><programlisting>
% cat >> moe@doe.org
Hi Moe,
please return this message to me. Please sign and encrypt it.
Thanks,
Joe
^D
% dd if=/dev/urandom count=1 | md5 >> moe@doe.org
% gpg --armor --encrypt moe@doe.org > moe@doe.org.asc
</programlisting></note>
</listitem>
<listitem id="signsteps-pkey-verify-signature">
<para>
相手からの返信を受け取ったら、復号して署名を確認します。
これに成功したら、必要な試験は終了です。
相手の公開鍵に署名することができます。
</para>
<para>
GPGを使って、鍵に署名するのは以下のようです。
</para>
<note><title/><programlisting>
% gpg --edit-key <Key ID>
sign
</programlisting></note>
</listitem>
<listitem id="signsteps-pkey-update">
<para>
この手順の最後のステップは、署名したばかりのPGP鍵をエクスポートし、
所有者に送ることです。
</para>
<para>
注意: あなたがPGP鍵をそもそも鍵サーバーから入手したのではない限り、
他人のPGP鍵を直接、公開鍵サーバーに送るべきではありません。
あなたが署名し、「公開」鍵と呼ばれてはいますが、
どのように自分自身の鍵を配布したいかを決めるのは、鍵の所有者の役割です。
公開鍵サーバーに送るのではなく、署名した鍵は鍵の所有者に送り、
所有者が鍵を配布するようにします。
</para>
<note><title/><programlisting>
% gpg --armor --export <Key ID>
</programlisting></note>
<para>
あるいは、muttを使っているのであれば、muttの「mail-key」機能を使うこと
ができます。
</para>
<note><title/><programlisting>
% mutt
<ESC>k
To: moe@NetBSD.org
Subject: Your signed PGP key
Please enter the key ID: 4461CF46
<Select key>
...
</programlisting></note>
<para>
最後に、あなたの鍵束にある公開鍵を新しい署名のあるものにアップデートしたい
と思うかもしれません。これは、以下のコマンドで実行できます。
</para>
<note><title/><programlisting>
% gpg --refresh-keys [--keyserver ...]
</programlisting></note>
<para>
これによって、あなたが鍵を受けとってから鍵サーバー上で公開された追加の署名を
取得しマージすることができます。
</para>
</listitem>
</orderedlist>
</sect2>
<sect2 id="applicants">
<title>応募者の鍵署名手順</title>
<para>
Executive Committee for Membershipは、メンバー資格を得ようとする者に、
現在NetBSD開発者である者に署名されたPGP鍵で署名された
アカウント作成に関連する電子メールを送ることを要求しています。
これは必然的に、アカウントの作成の前には、
応募者は現在NetBSD開発者である者に会わなくてはならないということを
意味しています。
その時、@NetBSD.orgのUIDは署名されていないことになります。
もちろん、応募者の@NetBSD.orgのUIDに、アカウントが作成され次第すぐに、
再度会うことなく署名することには価値があります。
これは、簡単にできます。
</para>
<para>
応募者の鍵に署名する手順は、上に示した通りです。
もちろん、最初はNetBSDでないUIDだけが署名されています。
応募者の@NetBSD.orgアカウントが作成されたら、
<xref linkend="signsteps-pkey-verify-email"/>から
<xref linkend="signsteps-pkey-update"/>までのステップの手順を
@NetBSD.orgのUIDも実行してください。
再度、応募者と会う必要はありません。すでに以前に人物と鍵の関係性は
確認済みです。
</para>
</sect2>
</sect1>
</webpage>
- Follow-Ups:
- 二重否定文
- From: 藤原 誠/Makoto Fujiwara<makoto@ki.nu>