path: root/swedish/events/keysigning.wml

#use wml::debian::template title="Nyckelsignering"
#use wml::debian::translation-check translation="596248dcfc27520a5ab427fb809242b2c155be71"

<p>Eftersom många utvecklare träffas på mässor eller konferenser har de blivit
ett trevligt sätt att få andra att signera sina GnuPG-nycklar och förbättra
sitt tillitsnätverk.
Speciellt har det varit mycket intressant att signera nycklar och möta andra
utvecklare för de som är nya i projektet.
</p>

<p>Följande lista är avsedd att hjälpa dig köra en
nyckelsigneringssession.  
Observera att alla exempel använder <code>keyring.debian.org</code> som
nyckelserver.
Om nyckeln i fråga inte finns i Debians nyckelring ersätter du
<code>keyring.debian.org</code> med en allmän nyckelserver,
till exempel <code>wwwkeys.pgp.net</code> (vilken, trots namnet, även lagrar
GnuPG-nycklar).
</p>

<p>
Man bör bara signera en nyckel som uppfyller
åtminstone två villkor:
</p>

<ol>
<li>Nyckelns ägare övertygar den som skall signera att identiteten i
UID verkligen är sin egen identitet, på ett sätt som den som skall
signera är villig att acceptera.  Vanligtvis innebär detta att
nyckelägaren måste visa ett ID-kort med bild utgivet av en myndighet,
som stämmer med nyckelns ägare.  (Somliga känner till att
myndigheternas ID-kort är lätta att förfalska, och att trovärdigheten
hos den utgivande myndigheten är tvivelaktig, så de kan begära andra
och/eller alternativa identitetsbevis.)
</li>

<li>
Nyckelägaren verifierar att nyckelns fingeravtryck och längden på
nyckeln som skall signeras faktiskt är sin egen.
</li>
</ol>

<p>
Det viktigaste är att om nyckelns ägare inte aktivt deltar i utbytet
kan varken krav 1 eller 2 uppfyllas.  Ingen kan utföra
nyckelägarens del i krav 1, för då kan vem som helst med ett stulet
ID-kort skapa en PGP-nyckel till det och låtsas vara en bulvan för
nyckelägaren.  Ingen kan heller göra nyckelägarens del av krav 2, för
då skulle bulvanen byta ut fingeravtrycket till ett annat med
nyckelägarens namn på, och få någon att signera fel nyckel.
</p>

<ul>
<li>
Du behöver utskrivna GnuPG-fingeravtryck, nyckellängder och
ett identitetskort som kan bevisa
din identitet (pass, körkort, eller liknande).
</li>

<li>Fingeravtrycken och nyckellängderna ges till de som borde
signera din nyckel efter mötet.
</li>

<li>
Om du ännu inte har en GnuPG-nyckel, skapa en med <code>gpg --gen-key</code>.
</li>

<li>
Signera bara en nyckel om identiteten hos den person vars nyckel du signerar
har bevisats.
</li>

<li>
Efter mötet måste du hämta GnuPG-nyckeln för att signera den.
Följande kan vara till hjälp:


<pre>
       gpg --keyserver keyring.debian.org --recv-keys 0xDEADBEEF
</pre>

<p>
Observera att du kan använda fingeravtryckets sista åtta hexadecimala siffror
i detta kommando och i andra GnuPG-funktioner.
<tt>0x</tt> framför talet är också frivilligt.</p>
</li>

<li>För att signera nyckeln, gå in i redigeringsmenyn med

<pre>
       gpg --edit-key 0xDEADBEEF
</pre>
</li>

<li>
I GnuPG väljer du alla användar-id som skall signeras med <code>uid n</code>,
där <code>n</code> är numret på det användar-id som visas i menyn.
Du kan även välja att signera alla användar-id.</li>

<li>
För att signera en nyckel skriver du <code>sign</code>.
Du kommer därefter att visas fingeravtrycket för och längden på nyckeln,
jämför detta
med vad du fick från personen du mötte.
</li>

<li>
När du ombeds välja på vilken nivå du vill bevittna nyckeln, välj
# Fixas! Har inte översatts i PO-filen än:
&rdquo;<span lang="en">casual</span>&rdquo;.
</li>

<li>Avsluta GnuPG med <code>quit</code>
</li>

<li>För att verifiera att du har signerat nyckeln korrekt kan du köra:

<pre>
       gpg --list-sigs 0xDEADBEEF
</pre>

<p>
Du skall nu se ditt namn och fingeravtryck (i sammanfattad form) i utdatat.
</p>
</li>

<li>När du har säkerställt att allt fungerade som det skulle kan du sända den
signerade nyckeln till sin mottagare genom att köra:

<pre>
       gpg --export -a 0xDEADBEEF &gt; någons.key
</pre>

<p>
Flaggan <code>-a</code> exporterar nyckeln i ASCII-format så att den kan
sändas per e-post utan att riskera att förstöras.
</p>
</li>

<li>Om någon signerar din nyckel på detta sätt kan du lägga till den till
Debians nyckelring genom att köra:

<pre>
       gpg --import --import-options merge-only mysigned.key
       gpg --keyserver keyring.debian.org --send-keys <var>&lt;ditt nyckel-id&gt;</var>
</pre>

<p>
Det kan ta ett tag för nyckelansvariga att uppdatera din nyckel, så var
tålmodig.
Du kan även sända in din uppdaterade nyckel till de allmänna
nyckelservrarna.</p>
</li>
</ul>

<p>
Debianpaketet
<a href="https://packages.debian.org/signing-party">signing-party</a>
innehåller några verktyg som gör detta enklare.
<tt>gpg-key2ps</tt> gör om en GnuPG-nyckel till en PostScript-fil för att
skriva ut pappersremsor med ditt fingeravtryck, och
<tt>gpg-mailkeys</tt> e-postar en signerad nyckel till dess ägare.
Paketet innehåller även <tt>caff</tt> som är ett mer avancerat verktyg.
Se paketets dokumentation för vidare information.
</p>

<h3>Vad du inte skall göra</h3>

<p>Du skall aldrig signera en nyckel som tillhör någon du inte träffat
personligen. Att signera en nyckel baserat på något annat än
förstahandsinformation förstör användbarheten av
tillitsnätverket.  Om någon vän tar med ditt ID-kort och ditt
fingeravtryck utan att du är där och intygar att fingeravtrycket är
korrekt, hur kan andra utvecklare koppla identiteten till
fingeravtrycket?  Bara din väns ord och andra signaturer på din nyckel
&ndash; det är lika illa som att signera nyckeln bara för att andra har
gjort det!
</p>

<p>Det är trevligt att ha fler signaturer på sin nyckel, och det är
frestande att fuska lite på vägen.  Men att ha pålitliga signaturer är
viktigare än att ha många, så det är mycket viktigt att vi är så
strikta vi kan med signeringsprocessen.  Att signera någon annans
nyckel är en försäkran om att du har förstahandsinformation om
nyckelägarens identitet.  Om du signerar utan att egentligen mena det,
så är tillitsnätverket inte längre pålitligt.
</p>