Tournesol 🌻 (@tournesol)

Question GPG pour les geeks

J'ai déjà fait une clé GPG mais
1. c'est chiant
2. c'est temporaire
3. je sais jamais où la stocker
4. l'utilisation est ultra limitée je trouve

Là j'aimerai signer des commits git avec une clé GPG plutôt que SSH pour avoir une identité unique sur tout les repos où je ferais des PR.

Bref, ça vaut le coup de se fair chier ?

Question GPG pour les geeks

@tournesol Pourquoi ? SSH c'est le standard, c'est assez facile à utiliser avec tous les services git que je connais, GPG je ne sais même pas qui le supporte, autre que RMS.

Question GPG pour les geeks

@Varpie je sais pas, ça me paraissait "mieux" que SSH comme plus ancien. Mais je pense en effet que SSH marche mieux avec mon setup comme je stocke mes clés sur 1password

Question GPG pour les geeks

@tournesol Pour le coup, dans l'univers de la sécurité pour moi ancien c'est pas un bon point, si on regarde par exemple MD1 qui était considéré safe il y a genre 20 ans de nos jours on se dit que n'importe qui peut le casser par exemple :blob_nervous2:

Question GPG pour les geeks

@tournesol Oui ça pourrait être cool d'avoir une grosse clé principale avec un certificat de révocation, une clé secondaire pour les commits, et une autre pour Keyoxide… si tu utilisais Pika Backups ou Borg pour faire des sauvegardes, par exemple une quotidienne et une hors-site.

=> keyoxide.org Keyoxide
=> circle.gnome.org Pika Backups

Tu pourrais utiliser des passkeys au quotidien pour ne pas te prendre la tête, et en exporter des versions chiffrées avec age(1) dans ton cloud personnel pour pouvoir restaurer tes sauvegardes en cas de pépin.

=> age-encryption.org Age

Si tu faisais des sauvegardes quotidiennes sur USB et par exemple hebdomadaires hors-site, tu devrais pouvoir utiliser Secrets pour sauvegarder tes phrases de passe OpenPGP.

=> circle.gnome.org Secrets

Quant au fait que c'est temporaire, oui c'est un souci, et ton cas d'usage est bien le seul pour lequel je recommanderais OpenPGP au détriment d'OpenSSH. Mais de manière générale, si tu gérais ta clé principale hors-ligne (sur une clé USB + UUID + fstab + tmpfs, dans un qube, dans une Nitrokey, dans un SBC airgapped, etc.) avec vérification cryptographique de tes sous-clés et en l'absence (un brin spéculative) d'une zero-day distante catastrophique de rang YubiKey 5 FIPS tu ne risquerais pas grand-chose.

Question GPG pour les geeks

@oceane ouais au final j'ai juste créé une clé SSH juste pour mon identité git et je l'ai stocké sur 1password. Avec l'agent forwarding, ça passe tranquille et je me casse pas la tête