GPG : GNU Privacy Guard (GnuPG)
Cryptographie
GPG : GNU Privacy Guard, aussi écrit GnuPG, implémentation libre du standard OpenPGP lancée par Werner Koch, dont la version 1.0 date de 1999. « L'outil en ligne de commande qui chiffre et signe des fichiers, des courriels et des commits avec des paires de clés OpenPGP », par analogie avec le sceau de cire : chacun peut vérifier l'empreinte, à condition de savoir à quoi ressemble le vrai sceau, ce qui est précisément la partie que tout le monde saute.
GPG, OpenPGP et PGP : PGP (Pretty Good Privacy) est le logiciel d'origine, OpenPGP le format normalisé à l'IETF (RFC 4880, révisé par la RFC 9580 en 2024) et GPG l'implémentation libre la plus répandue. Dans l'usage courant, les trois mots désignent souvent la même chose, ce qui simplifie la conversation et complique la documentation.
Signature de commits : Git sait signer commits et étiquettes avec GPG (option -S), et accepte aussi depuis la version 2.34 des clés SSH. La signature ne vaut que si les vérificateurs savent quelles clés sont légitimes, et si la révocation d'une clé compromise est publiée et prise en compte.
Gestion des clés : Bonne pratique : une clé principale gardée hors ligne, des sous-clés de signature à durée de vie limitée, un certificat de révocation préparé d'avance. Le modèle de la toile de confiance, où les utilisateurs signent mutuellement leurs clés, est peu pratiqué hors de quelques communautés, et ce n'est pas faute d'avoir organisé des fêtes pour cela.
Ce qui arrive si on s'en passe
Signer des commits avec GPG sans liste de clés autorisées ni vérification à la fusion ne protège rien : un attaquant signe avec sa propre clé, et l'interface affiche une signature valide, simplement pas celle de la bonne personne. Une clé privée sans phrase de passe, copiée sur chaque poste et chaque serveur d'intégration, finit par fuir, et sans certificat de révocation préparé, ses signatures restent crédibles indéfiniment. Enfin, une clé expirée ou perdue bloque des publications au pire moment, ce qui pousse à désactiver la vérification, et la sécurité retourne à son état naturel.
Explication de la marmotte
GPG est un logiciel gratuit qui permet de chiffrer des fichiers et de les signer numériquement. Chaque personne possède deux clés : une clé privée qu'elle garde secrète et une clé publique qu'elle peut donner à tous. En signant avec sa clé privée, elle prouve qu'un message ou une modification de code vient bien d'elle, et n'importe qui peut le vérifier avec la clé publique. Cela ne marche que si l'on sait avec certitude quelle clé publique appartient à quelle personne.
Où ce terme est utilisé
- Onboarding sécurité : règles à retenir dès l’arrivée (2 occurrences)
- Protéger les données au repos : disque, base, sauvegarde (1 occurrence)
- Signer commits et artefacts contre quelles attaques (1 occurrence)