[ Internet ]

Tutoriel GPG et notions de cryptographie

Si je comprend bien, dans le champ "encrypted code", tu as mis le mot de passe que tu as spécifié lors de la création de la paire de clés dans Kléopatra, c'est bien ça ?

Dernière modification par Yog-Sothoth (16 septembre 2019 à  05:43)

Ok, je vois très bien où se situe le problème.

Bon, eh bien tu es bon pour recréer une paire de clés !


Déjà, il faut bien que tu comprennes le principe de la crypto à clé publique.

Quand tu te crées une paire de clés, il y en a une qui sert à chiffrer uniquement. C'est la clé publique et c'est le gros pâté de caractères qui se trouve entre les balises ----- BEGIN PGP PUBLIC KEY -----

L'autre, c'est la clé privée.
- Elle sert à déchiffrer uniquement (et à signer)
- Tu ne l'utilises jamais directement. C'est kléopatra qui la gère pour toi
- Elle est stockée dans ta machine et ne doit jamais en sortir. Jamais. Sous aucun prétexte.
- Elle est protégée par un mot de passe que tu spécifies lors de la création de la paire de clés.


Sur la dernière capture d'écran que tu as fourni, lorsque le site te demande le "encrypted code", le site est en train de vérifier la clé publique que tu lui as fourni. Pour ça, il a créé de son côté un code secret, il l'a chiffré à l'aide de ta clé publique (le gros pâté de caractères encadré par des balises ----- BEGIN PGP MESSAGE -----), et il te demande de le déchiffrer et de lui restituer ce code secret. Si tu y arrives, ça prouve que la clé publique que tu lui as fourni est bien valide.

Or là, tu viens de donner au site le mot de passe qui protège ta clé privée. C'est embêtant parce qu'une personne qui possède à la fois ta clé privée et son mot de passe peut déchiffrer tous tes messages. Ce scénario peut très bien se produire si le site est tenu par les flics et qu'ils viennent faire une perquiz chez toi. Et c'est arrivé avec Hansa et Alpha Bay.


Ce qu'il faut faire :
1 : Mettre ta paire de clés actuelle à la poubelle et en recréer une nouvelle : ta clé privée n'est plus sûre. Mieux vaux en changer. Et pense à mettre un mot de passe différent parce que le site connaît ton mot de passe maintenant.
2 : Au moment où le site te demande le "encrypted code", il faut que tu demandes à Kleopatra de déchiffrer ce qui se trouve entre les balises ----- BEGIN PGP MESSAGE -----. Tu obtiendra le code secret du site et c'est celui ci qu'il faut rentrer. Au moment de déchiffrer le message, Kleopatra te demandera le mot de passe de ta clé privée et c'est là qu'il faudra le rentrer. Rappelle toi : la clé privée est gérée par kléopatra et uniquement par kleopatra. il n'y a donc que kleopatra qui est habilité à te demander le mot de passe de ta clé privée.


En espérant que ça t'ai aidé.

Dernière modification par Yog-Sothoth (16 septembre 2019 à  09:46)

Bonjour à vous,
Complètement novice, j'apprends à utiliser tails grâce à vos tutos (un grand MERCI ils sont tops). par avance désolé, si mon vocabulaire n'est pas très pro !
Mon souci est lorsque je veux importer le clé publique de quelqu'un (un vendeur en l'occurrence). Je copie la clé, je la colle dans mes clé GPG, je clique sur importer. Bref, tout se déroule normalement. Or, la clé publique n'apparaît pas dans la liste.. Je n'ai aucun message d'erreur. Rien.
J'ai cherché sur des forums, mais je ne trouve personne dans mon cas et donc pas de solution..
Bref,je ne sais pas quoi faire ! Si quelqu'un pouvait m'éclairer, j'en serais éternellement reconnaissante !

Ouiiii reconnaissance éternelle validée ! De m'avoir répondu c'est déjà super. Je n'osais pas cocher la case, mais je vais le faire, tant pis.

Bonjour,

j'ai bien noté qu'il fallait envoyer (ou pas ), l'empreinte de clé publique sur serveur.
Et créer des sous-clefs pour chaque site.
Si oui, quel serveur fonctionne le mieux ?
Que préconisez vous ?
Mettre la clé sur serveur ou juste la communiquer au cas par cas ?
Merci.

Dernière modification par bloodistory (18 décembre 2019 à  08:35)

Salut,

Pour ton problème @Mystereetbouledegum, il suffit de cliquer sur le menu "hamburger", et de cliquer sur "Montrer Tout"...



Toutes les clés importé apparaîtront ensuite !

J'aurai moi aussi une petite question... Concernant la sauvegarde des clés privé et public, comment faire en cas de crash système ou matériels ?

PS : super tuto merci !!!

Dernière modification par BealeCiphers (13 février 2020 à  16:38)

Salut,

Pouvez me dire si le message sera bien crypter si je procédé comme ça avec le site igolder :

Dans la 1er case j'écris le pgp du vendeur

Dans la 2eme mon adresse

Et dans la 3eme ça sera le message crypter a copier coller dans les notes de la commande en cochant la case "Encrypt the notes using Vendor's PGP" ??

J'ai fait ma première commande sans utiliser de clef PGP... j'etait pas sur de faire sa correctement..

Merci.

Dernière modification par drlektroluv88 (31 mars 2020 à  01:17)

Quelqu'un pour repondre a ma question ?

En fouillant un peu les forum, je lis qu'il ne faut pas cocher la case "Encrypt the notes using Vendor's PGP" sur le market si on ne possède pas de clef PGP sur notre profil ?

Je suis un peu perdu, même en lisant des tuto etc j'ai du mal a bien tout comprendre.. pour sa que je désire utiliser igolder qui a l'air d'être assez simple a utiliser même si la protection n'est pas assuré ..  et en plus de ça je doit faire sa sur smartphone, j'ai plus de pc pour le moment ..

Todash a écrit

Salut,

"Encrypt the notes using vendor's PGP" signifie "Encrypter les notes en utilisant la clé du vendeur". En gros, tu écris en clair et c'est le site qui fera l'encryptage.
-> Il ne faut pas faire ça car tes infos arrivent sur le site en clair.

Dans ce cas précis, toi tu n'a pas besoin d'avoir de jeu de clé "à toi" mais ça peut servir, rien que pour comprendre le principe.
Pour capter le fonctionnement je m'était fait plusieurs clés et j'ai encrypté / décrypté des messages.

C'est certain que sans ordi ça te complique un peu la tâche.

Par contre, est-ce que tu passe bien par TOR avec ton smartphone ?

Salut,

Merci de cette précision :)

Oui je passe par TOR via mon smartphone.

Du coup alors j'ai juste a copier coller le message crypté du site igolder sur la note de ma commande sans cocher la case "Encrypt the notes using vendor's PGP" ? Cest aussi simple que ça ?

Merci pour toutes ces informations :)

Bonjoirs Brukasse,

Nan y a pas moyen de savoir vu que tu as en crypté avec la clé publique du vendeur, donc y a qu'avec la clé privé que tu pourra le relire et pour avoir la clé privé c'est mort ^^

Dans le pire des cas hésite pas à lui envoyer un message pour lui demander si c'est bon ^^

Bon courage bye :)

Bonjour, je viens de me faire mes clés PGP
Par contre pour importer celle du vendeur j'ai du mal.

Je m'explique, sa clé est en format comment dire, "crypté" (ca ne s'appelle pas comme ca) mais vous voyez ce que je veux dire.

Du coup je n'arrive pas à l'importer
Il faudrait qu'elle soit en format fichier pour que je puisse l'enregistré et la je pourrais facilement l'importer.

Si des fois quelqu'un connait la solution svp?

Oui je viens de l'enregistrer en format texte en copiant la clé du vendeur dans bloc note.
Je ne suis franchement pas doué en informatique j'avoue

Maintenant il faut que je la transforme en format .sc

J'ai vu qu'il y'avait 1 topic qui en parlait

Dernière modification par subumetha255 (30 mai 2020 à  15:16)

Bonjour à tous alors voilà j'ai un petit problème en essayant d'aller sur le Darknet et de commander sur cannazone il me demande deux clés Une publique et une clé public key sauf que je n'y arrive pas du tout si il y aurait quelqu'un d'aimable avec un snap ou Facebook qui pourrait aider ça serait cool comme ça je lui donne mon compte où il n'y aura aucun de Bitcoin bien sûr pour me valider mon compte car je n'y arrive pas et il n'y a pas beaucoup de tuto sur ça merci à vous et j'espère trouver quelqu'un d'aimable

SoulEater a écrit

Liodark67 a écrit

Bonjour à tous alors voilà j'ai un petit problème en essayant d'aller sur le Darknet et de commander sur cannazone il me demande deux clés Une publique et une clé public key sauf que je n'y arrive pas du tout si il y aurait quelqu'un d'aimable avec un snap ou Facebook qui pourrait aider ça serait cool comme ça je lui donne mon compte où il n'y aura aucun de Bitcoin bien sûr pour me valider mon compte car je n'y arrive pas et il n'y a pas beaucoup de tuto sur ça merci à vous et j'espère trouver quelqu'un d'aimable

Salut, c'est impossible car ça impliquerait que la personne qui va t'aider crée une clef pgp pour toi et donc possèder ta clef privé PGP. C'est dangereux, surtout qu'on a beaucoup être sur un forum entraide/partage ça n'empêcherait pas quelqu'un de peu scrupuleux de te la mettre à l'envers! On est sur internet mec, c'est pas le monde des bisounours, fais attention à ta sécurité!

Je connais pas canazone mais à mon avis c'est comme partout, il te demande de créer une clef PGP avec par exemplele logiciel pgp4win qui est assez simple d'utilisation et dont tu trouveras facilement des tutoriels qui t'explique absolument tout.

Une fois que tu auras créé ta clef PGP, tu copie colle ta clef public sur le market et c'est tout!

En fait ça paraît difficile mais si tu t'intéresses au truc tu trouveras que c'était finalement assez simple.

Clairement, être prêt à filer un tel révélateur de ton ID et te mettre en danger en filant ton compte à une personne trouvée sur un forum public que tu ne connais pas....
Mais c'est pas grave, ça montre juste que tu n'as pas encore assez compris la question de la sécurité online. Que ce soit PGP et tout ce qui touche à l'OPSEC, il est super important de comprendre (un peu) le fonctionnement général du bidule avant de l'appliquer comme une recette de cuisine.

Trop de claquettes-chaussettes sur le DN

Je viens de checker, Cannazon ne demande qu'un ID+MDP+MDP-de secours.

Peut-être parles-tu des settings de ton compte? Si c'est le cas, certains market proposent d'indiquer une Bitcoin Public Key, parfois appelée Multisig Public Key ou MSKey. C'est une méthode de paiement qui fait son chemin sur les markets (d'ailleurs Versus a rouvert il y a 2 jours et dans la liste de l'annonce il y avait justement un point à ce sujet : ils supprime leur service d'escrow pour le remplacer par un MS). Pour l'instant t'en préoccuper pas de ça. Soit tu vas tomber sur des markets comme Versus qui vont demander cela de manière obligatoire, soit tu y arriveras par toi-même en comprenant comment fonctionnent les échanges de cryptocurrencies et en souhaitant activer cette sécurité supplémentaire.

De toute manière sur la plupart des markets grand public on ne te demandera qu'une clé PGP et c'est tout! C'est quand on se déplace vers des lieux plus peace et planqués que là l'entrée peut devenir drastique en matière de critère de sécurité PGP (subkey, taille de bit mini et autres joyeusetés).

Bon courage. Ne fais confiance qu'à des gens avec qui tu ES SUR de n'avoir JAMAIS une relation commerciale. Et fais que cette confiance soit le plus minimal possible.