GPG (OpenPGP) — fichier .gpg

Le GPG (GNU Privacy Guard, implémentation libre du standard OpenPGP) chiffre et signe des messages ou des fichiers selon un standard largement utilisé pour la protection de la correspondance électronique et la vérification d’intégrité de logiciels distribués.

Deux représentations coexistent, sans signature unique universelle pour les départager. La forme binaire encode les données en une suite de paquets OpenPGP, dont le tout premier octet a toujours son bit de poids fort à 1, mais dont la valeur précise varie selon le type et l’encodage de longueur du paquet — il n’existe donc pas un seul octet magique fixe. La forme “ASCII-armored”, généralement associée à l’extension .asc, encode le contenu binaire en texte lisible encadré par des lignes comme “—–BEGIN PGP MESSAGE—–”, dont le libellé exact varie selon le type de contenu (message chiffré, signature détachée, clé publique ou privée).

Le GPG reste la référence du chiffrement de bout en bout accessible aux particuliers en dehors des solutions propriétaires intégrées aux grandes plateformes de messagerie, notamment pour la vérification de l’authenticité de paquets logiciels distribués publiquement.

Les dépôts APT des distributions dérivées de Debian, qui distribuent les paquets DEB, sont ainsi signés par une clé GPG : apt refuse d’installer un paquet dont la signature du dépôt ne correspond à aucune clé de confiance connue, un mécanisme qui protège contre l’installation d’un paquet altéré ou d’un dépôt compromis.

Le modèle de confiance d’OpenPGP repose sur une “toile de confiance” décentralisée, où chaque utilisateur signe la clé publique d’autres personnes dont il a vérifié l’identité, plutôt que sur une poignée d’autorités de certification centralisées comme le fait le système X.509 des certificats web — une approche communautaire qui distingue fondamentalement GPG des infrastructures à clé publique hiérarchiques utilisées pour HTTPS.