Public 106.md

## Keysign party

## Jul 20, 2010 From: shyouhei@r...

今日の話題ですがKeysign Partyは結局どうなるべきなんですかね?  
ダメは出されたものの解決策がないので身動きがとれない感じです。どうしたものか。

## Jul 20, 2010 From: nakahiro@g...

2010/7/20 Urabe Shyouhei \<shyouhei@r...\>:

> 今日の話題ですがKeysign Partyは結局どうなるべきなんですかね? ダメは出されたものの解決策がないので身動きがとれない感じです。どうしたものか。

やー、すいません、好き勝手言ったほうはだいぶすっきりしましたが、  
後先のことは考えてませんでした（ひどい）。ちょっと考えて相談するので  
しばらく時間をください。正しく実施すればいいんだと思うんですけどね。

## Aug 12, 2010 From: nakahiro@g...

思い出したように。

2010/7/20 NAKAMURA, Hiroshi \<nakahiro@g...\>:

> 2010/7/20 Urabe Shyouhei \<shyouhei@r...\>:
> 
> > 今日の話題ですがKeysign Partyは結局どうなるべきなんですかね? ダメは出されたものの解決策がないので身動きがとれない感じです。どうしたものか。
> 
> やー、すいません、好き勝手言ったほうはだいぶすっきりしましたが、 後先のことは考えてませんでした（ひどい）。ちょっと考えて相談するので しばらく時間をください。正しく実施すればいいんだと思うんですけどね。

[http://friendfeed.com/arika/22a8db74](http://friendfeed.com/arika/22a8db74)

こんなのを見つけました。主に書いてるのは私ですが。「正しく実施」するための方法でなく、「こんなヤツが一人でも混ざってたらKSPの意味なし」の例として、ごちゃごちゃ書いてあります。

で、正しく実施するにはどうするといいんでしょうねえ。。。

## Aug 12, 2010 From: shyouhei@r...

卜部です

(2010/08/12 14:49), NAKAMURA, Hiroshi wrote:

> > > 今日の話題ですがKeysign Partyは結局どうなるべきなんですかね? ダメは出されたものの解決策がないので身動きがとれない感じです。どうしたものか。
> > 
> > やー、すいません、好き勝手言ったほうはだいぶすっきりしましたが、 後先のことは考えてませんでした（ひどい）。ちょっと考えて相談するので しばらく時間をください。正しく実施すればいいんだと思うんですけどね。
> 
> [http://friendfeed.com/arika/22a8db74](http://friendfeed.com/arika/22a8db74)
> 
> こんなのを見つけました。主に書いてるのは私ですが。「正しく実施」するための方法でなく、「こんなヤツが一人でも混ざってたらKSPの意味なし」の例として、ごちゃごちゃ書いてあります。
> 
> で、正しく実施するにはどうするといいんでしょうねえ。。。

正しくて意味のない運用と正しくないが実用上有用な運用があって間に無限のグラデー  
ションがあると思うわけです。Web of trustを広げることに意義があると思えるかどう  
か。思えないならそこで終了なのでそもそもサインとかやんなくていいですね。Web of  
trustを広げたい、にもかかわらず厳密な正しさを担保すると広がらない、のだとした  
ら、まあ落しどころをどこに持っていくかですよね。正しくない世界と折り合いをつけ  
ながらやっていくしかない。

## Aug 12, 2010 From: nakahiro@g...

2010/8/12 Urabe Shyouhei \<shyouhei@r...\>:

> > [http://friendfeed.com/arika/22a8db74](http://friendfeed.com/arika/22a8db74)
> > 
> > こんなのを見つけました。主に書いてるのは私ですが。「正しく実施」するための方法でなく、「こんなヤツが一人でも混ざってたらKSPの意味なし」の例として、ごちゃごちゃ書いてあります。
> > 
> > で、正しく実施するにはどうするといいんでしょうねえ。。。
> 
> 正しくて意味のない運用と正しくないが実用上有用な運用があって間に無限のグラデー ションがあると思うわけです。Web of trustを広げることに意義があると思えるかどう か。思えないならそこで終了なのでそもそもサインとかやんなくていいですね。Web of trustを広げたい、にもかかわらず厳密な正しさを担保すると広がらない、のだとした ら、まあ落しどころをどこに持っていくかですよね。正しくない世界と折り合いをつけ ながらやっていくしかない。

はい、おっしゃるとおりだと思います。

で、折り合いをつけるにあたり、どの辺で折り合うかを決める一番よい方法が、  
限定的な目的を定めることだと思います。で、 #asakusarb の時に「何に使  
う？」と聞きました。

その時は、security@r...とのやりとりだ、というのを聞きましたし、  
[http://qwik.atdot.net/rubykaigi2010keysignparty/HistoryJa.html](http://qwik.atdot.net/rubykaigi2010keysignparty/HistoryJa.html)  
ここにもそれらしきことが書いてあります。

ただ、security@r...とのやりとりで重要なのは、最初にレポートくれ  
た人との暗号化通信だと思います。この人がやりとりの途中ですりかわらない、  
秘匿が守られるということを確認するという意味では、この人（の実在と正しい  
鍵運用）が"信頼できる"ことは意味はありますが、正直、この意味で"信頼でき  
る"人でない場合でも、やりとりはしますし、通常問題ありません。そして逆  
に、重要なのは、レポーターが一発目のメールを送る時に、  
security@r...の鍵を"信頼できる"ことであり、これはKSP関係ない、  
というような話をしました。

何か他に、想定していた使い方はないですかねえ。Debian方面でKSPしている人  
たちは、何に使っているんだろう。

## Aug 13, 2010 From: shyouhei@r...

(2010/08/12 17:25), NAKAMURA, Hiroshi wrote:

> ただ、security@r...とのやりとりで重要なのは、最初にレポートくれ た人との暗号化通信だと思います。この人がやりとりの途中ですりかわらない、 秘匿が守られるということを確認するという意味では、この人（の実在と正しい 鍵運用）が"信頼できる"ことは意味はありますが、正直、この意味で"信頼でき る"人でない場合でも、やりとりはしますし、通常問題ありません。そして逆 に、重要なのは、レポーターが一発目のメールを送る時に、 security@r...の鍵を"信頼できる"ことであり、これはKSP関係ない、 というような話をしました。

いや、関係なくすることはできるというのは事実だと思うんですが、現状では  
security@r...の鍵を信頼できる方法が他にあるかというと、ないんじゃない  
かなあと思います。というかそもそも公開鍵がほとんど配布されてないし。

## Aug 17, 2010 From: nakahiro@g...

2010/8/13 Urabe Shyouhei \<shyouhei@r...\>:

> > そして逆 に、重要なのは、レポーターが一発目のメールを送る時に、 security@r...の鍵を"信頼できる"ことであり、これはKSP関係ない、 というような話をしました。
> 
> いや、関係なくすることはできるというのは事実だと思うんですが、現状では security@r...の鍵を信頼できる方法が他にあるかというと、ないんじゃない かなあと思います。というかそもそも公開鍵がほとんど配布されてないし。

今回のKSPで、security@r...の私有鍵管理者は来るんでしょうか。ていうか、誰？

と思って [http://www.ruby-lang.org/security.asc](http://www.ruby-lang.org/security.asc) を見たら、

    User ID: Ruby Security Team <security@r...>

のみで個人と紐付けられる情報なさそうだから、パスポートとか意味ないし。  
いろいろイケてませんねえ。。。

これもRubyKaigiの時に、前田さんと相談するかな。

## Aug 18, 2010 From: shyouhei@r...

(2010/08/17 18:49), NAKAMURA, Hiroshi wrote:

> と思って [http://www.ruby-lang.org/security.asc](http://www.ruby-lang.org/security.asc) を見たら、 User ID: Ruby Security Team \<security@r...\> のみで個人と紐付けられる情報なさそうだから、パスポートとか意味ないし。 いろいろイケてませんねえ。。。

あれれそうなのか。そりゃだめですねえ。

> これもRubyKaigiの時に、前田さんと相談するかな。

それがいいとおもいます。

## Aug 24, 2010 From: nakahiro@g...

2010/8/18 Urabe Shyouhei \<shyouhei@r...\>:

> > と思って [http://www.ruby-lang.org/security.asc](http://www.ruby-lang.org/security.asc) を見たら、 User ID: Ruby Security Team \<security@r...\> のみで個人と紐付けられる情報なさそうだから、パスポートとか意味ないし。 いろいろイケてませんねえ。。。
> 
> あれれそうなのか。そりゃだめですねえ。

深く考え直して、security@r...の公開鍵を直接"信頼"できなくても、  
それを運営している人による署名があり、そちらを"信頼"できればよい、と思い  
直しました。security@r...にUID追加していくと、出入りがあった時  
に大変になっちゃいますね。

また、ちょっと別件でお願いしたいこともあったので、security@r...  
の公開鍵に、前田さんの署名を入れてもらえるようお願いしておきました。とい  
うわけで、KSPに前田さんが参加すれば、「その他の参加者が前田さんの鍵を  
"信頼"する」場としてKSPを使うことができ、お題目に上げられている内容が  
満たせると思います。

ちなみに私は行けないので、何かあれば事前に聞いてください。  
「もういいよ」かもだけどw

## Aug 24, 2010 From: nakahiro@g...

    - --BEGIN PGP SIGNED MESSAGE-----

Hash: SHA1

署名してみる。

(2010/08/24 10:29), Hiroshi Nakamura wrote:

> > > と思って [http://www.ruby-lang.org/security.asc](http://www.ruby-lang.org/security.asc) を見たら、 User ID: Ruby Security Team \<security@r...\> のみで個人と紐付けられる情報なさそうだから、パスポートとか意味ないし。 いろいろイケてませんねえ。。。
> > 
> > あれれそうなのか。そりゃだめですねえ。
> 
> 深く考え直して、security@r...の公開鍵を直接"信頼"できなくても、 それを運営している人による署名があり、そちらを"信頼"できればよい、と思い 直しました。security@r...にUID追加していくと、出入りがあった時 に大変になっちゃいますね。
> 
> また、ちょっと別件でお願いしたいこともあったので、security@r... の公開鍵に、前田さんの署名を入れてもらえるようお願いしておきました。とい うわけで、KSPに前田さんが参加すれば、「その他の参加者が前田さんの鍵を "信頼"する」場としてKSPを使うことができ、お題目に上げられている内容が 満たせると思います。

上記、嘘がありました。前田さんの署名はすでに入っていました  
（0xD23AB196DB451658）。というわけで、あとはKSPに前田さんを呼んでくるだ  
けですね。

> ちなみに私は行けないので、何かあれば事前に聞いてください。 「もういいよ」かもだけどw

    - --BEGIN PGP SIGNATURE-----

Version: GnuPG v1.4.9 (Cygwin)

iQEcBAEBAgAGBQJMc0uoAAoJEC7N6P3yLbI2zA0H/32xpPZQq9KT3nKQAccn7ifY  
TCxdOsJmFVZQgkGUvqvdrGQ/9XnHTzoWoqAuKOkKLU2Ht4D1rRcnkdkUFora0BRv  
DLGlo6wPstm/qKx8do0KgqBlzZv5fcxiuTWJlV4FInC0kh1w2JxVG0LgsaqaRpcX  
9OPusW1+h+weJGj0WhAQjFIM4pJjzjnAyOlk5wGF0sCqDVUh+WHvraXbly5gY9kX  
eIYoVQSAI28T8i8eKSgvpb0nX7C14juWS2wZ/T1dmZ5XsPSTm2HLhp9pCXBLwBlT  
Ol5/RmYSYmuCn1ZU2I4ojtO/npPYrqxlBr5ih4VS56dRZAf98NrAvBZ6DG8DVss={{br}} =iYW4

    - --END PGP SIGNATURE-----