Une des caractéristiques fortes d'Internet est sa dispersion; au lieu de s'adresser à un serveur central, un utilisateur se trouve en permanence en train de changer de serveur. Cela pose deux problèmes:
Le second problème existe également dans le cas où deux utilisateurs d'Internet souhaitent échanger de l'information, par courrier électronique par exemple.
La cryptographie à clé publique permet à la fois de signer des documents, afin d'en garantir la provenance et l'intégrité, et de chiffrer des documents qui ne seront déchiffrable que par le tiers possédant une clé donnée. Se pose ensuite le problème de la validité d'une clé: comment garantir qu'une clé appartient bien à qui l'on pense?
Deux mécanismes sont disponibles:
Je peux certifier votre identité, que ce soit par le biais d'un certificat X.509 ou d'une clé OpenPGP.
Je me ferai un plaisir de signer votre clé OpenPGP à l'aide de la mienne (disponible depuis cette page) en procédant de la manière suivante:
À partir de ce moment là, les gens qui ont décide de me faire confiance croiront (à raison) que la clé que j'ai signée vous appartient bien.
Thawte a mis en place son propre anneau de confiance, présentant ainsi un modèle mixte: certains utilisateurs voient leur identité validée par Thawte, et deviennent ainsi tiers certificateurs pour le compte de cette société. Ils peuvent, à leur tour, accorder un certain nombre de points à d'autres utilisateurs après avoir vérifié leur identité. Ceux-ci, une fois qu'ils ont accumulé assez de points, voient leur identité à leur tour validée par Thawte. A partir d'un grand nombre de points, ces personnes peuvent à leur tour devenir tiers certificateur.
C'est exactement ce qui s'est passé dans mon cas: ayant fait
physiquement vérifier mon identité par quatre personnes, tiers
certificateurs de Thawte,
j'ai accumulé plus de 100 points; cela me permet, à mon tour, de
certifier d'autres personnes.
Si vous êtes physiquement situé sur Paris et souhaitez que je
participe (gratuitement) à votre certification, n'hésitez pas à me
contacter. Lisez d'abord la liste des pièces à fournir. Consultez également la
liste des
notaires Thawte sur Paris.
Un certificat accordé par Thawte sera automatiquement vérifié par la plupart des clients de courrier électronique et des navigateurs WWW. En effet, Thawte fait partie des autorités de certification considérées comme sûres par les fabricants de navigateurs et de clients de messagerie, et tous les certificats qu'ils génèrent sont considérés comme valides.
Dans le cas d'une signature OpenPGP, le programme que vous utiliserez (par exemple GnuPG) tentera d'établir une chaîne entre des clés en lesquelles vous faîtes confiance et la clé de destination.
