PGP 키 사인해주실 분 계십니까?

제가 제대로 서명해서 메일로 보냈는데..
제대로 한건지 ??

게시판에 올리는 것만으로 알지 못하는 사람들한테 사인을 해 줘서 연결된다면 web of trust는 진짜 web of TRUST가 아니겠죠...

PGP FAQ나 GPG singing party에 대한 문서를 읽어 보시길.. 실제로 만나서 신분증의 사진까지 확인하는 게 정석입니다. :P

믿지 못하실 수도 있겠지만 그 서버에 들어 있는 PGP/GPG 키 사인 "평균거리"가 가까운 연결이 많은 몇몇 사람들은 세계 이곳저곳을 자주 돌아다니면서 리얼월드에서 실제로 만나서 서로를 확인하는 키사이닝 파티에 많이 참여하는 사람들입니다.

개개인의 금융거래용 공인인증서는 금융기관에서 실명 확인을 받습니다. 프로그램이나 메일에 사용하는 인증서는 해당 회사가 실존하는 지를 확인하고 발급합니다. 결국 같은 겁니다. 개인이 개인을 확인하는 데는 필요없다고 생각하시나요?

지인들이야 만나지도 않아도 서로 신뢰를 하고..
사이버에서 제3자가 상대방을 인증을 해주면 그 상대방에게 인증을 받게 되면 같은 효과를 노리는게 아닌지요. 실제로도 공인인증서도 서로 체인처럼 얽혀서 인증을 해 주는 상위 인증 기관이 있는게 아닌가요?

그나저나 제가 서명한게 공동저자에 들어 가나요.
ㅎㅎ 전 노성일이 아닙니다.

첫번째 문장의 경우는, "Sara님의 지인"이 "Sara님의 서명을 보고" "저 키가 진짜 trustin님의 키임을 믿는" 것이죠. Sara님의 지인이 곧 trustin님의 지인이 아니니 이 상황에는 맞지 않는 것 같고요.

두번째 사이버 얘기는 인증의 방향이 좀 애매해서 "제3자"와 "상대방"이 누구를 가리키는 건지 모르겠습니다만, 어쨌거나

* A는 Sara를 믿는다
* Sara는 이 키가 trustin의 키임을 보증했다
* 따라서 A도 이 키가 trustin의 키임을 믿는다

그렇지만 cwryu님의 말씀도 이 경우는 좀 과하다는 느낌이 드는 것이, trustin님의 키가 현실의 실명과 연관되어 쓰이는 게 아니잖습니까?

"소프트웨어 릴리즈"와 관련있다는 말로 봐서 개발한 프로그램에 서명을 하는 용도로 쓰일 것 같은데, 이 때 그 프로그램 개발자가 "trustin골뱅이gmail.com"라는 이름으로 활동하고 있다면 여기서는 단지
* 저 키가 trustin골뱅이gmail.com의 (더 정확히는 저 메일 주소의 소유자의) 키이다
만을 확인하면 되지 않나 싶습니다.

간단하게는 Sara님이 trustin골뱅이gmail.com 으로 메일을 보내어, "KLDP BBS에 올라온 저 키가 당신 키가 맞소?"라고 물어서 맞다는 답장이 오면 (이왕이면 답장 내용에 PGP서명을 붙여서, 저 키로 확인할 수 있으면 좋겠죠), trustin골뱅이gmail.com 과 저 키의 소유 관계는 믿을 수 있다고 생각합니다.

뭔가 말이 중언부언한데, (저 스스로도 정리가 안 되네요 죄송) 요점을 다시 얘기하면:

"나는 서울 중구에 사는 홍길동인데, 이 키가 내 것이니 싸인 좀 부탁하오"라고 했다면, 그 키에 싸인할 사람은 정말로 "서울 중구에 사는 홍길동"을 확인할 필요가 있을 겁니다. 직접 만나서 신분증까지 봐야겠죠.

그렇지만, "나는 hong@com 인데, 이 키가 내 것이니 싸인 좀 부탁하오"라고 했다면, 이 경우는 hong@com 이 현실의 누구인지는 상관할 것이 없지 않겠는가..라는 겁니다. 단지 hong@com 과 메일을 주고받아서 정말로 hong@com이 이 부탁을 했는지만 확인하면 되지 않겠는가...라는 거죠.

저는 trustin 님이 제가 kldp에 소개한 적도 있는 프로젝트를 진행하시는 분이라는 것을 웹페이지를 방문해 알게 되어, 따로이 GPG 키를 공개 키 서버에 올리는 다른 방법을 메일로 드렸습니다.

키사인이 프로젝트를 하는데에 있어서 필수적인 요소인가요?
이 글을 보다보니 pgp 가 어디에 쓰이는지 궁금해지네요 :)