为了进一步增强我与朋友之间加密信任的稳固性,我更新了加密信任政策,并开发了一个管理系统以更一致和统一地管理它。从今天起,所有先前建立的加密信任关系不再有效。每个人必须使用有效的 OpenPGP 密钥重新建立与我的加密信任关系。你有责任将你的私钥保存在安全的地方,防止任何可能被 Mallory 攻击的风险。

要与我建立加密信任,你必须拥有有效的 OpenPGP 密钥对,证明你的 OpenPGP 公钥与你的初始身份(你第一次与我联系时使用的身份)的一致性,然后再证明你的 OpenPGP 公钥与你的其他身份的一致性。

详细的指南如下。

Jabber

你必须验证与你的 Jabber 账户相关的 OMEMO 指纹。使用你的 OpenPGP 密钥签署以下文本:

I hereby formally acknowledge that the Jabber/XMPP account username@example.org is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX. The following OMEMO fingerprints are hereby confirmed as valid for this account:
AAAAAAAA
BBBBBBBB
......

username@example.orgXXXXAAAAAAAA 等替换为你的实际信息。

Matrix, Tox, 和 Session

你只需要验证你的身份标识符。例如,对于 Matrix:

I hereby formally acknowledge that the Matrix account @username:example.org is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX.

如果你使用 Tox 或 Session,请使用你的 Tox ID 或 Session ID 代替你的 Matrix 账户。

SimpleX

你只需要验证你的 SimpleX 安全代码。打开我的联系人详情页面以获取安全代码。

I hereby formally acknowledge that the SimpleX account with the security code YYYYYY is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX.

电子邮件

为了证明邮箱属于你且被你信任,只需使用 OpenPGP 发送一封签名(或最好加密)的邮件到我的邮箱

Briar

由于 Briar 每个账户只允许一个登录,证明账户属于你实际上就证明了没有其他人能访问它。这就像签署我提供的一段随机文本并发送回我一样简单。

Telegram、Signal、Carrier 短信/MMS 等

这些通讯工具缺乏内建的信任管理、身份验证机制以及本地单一登录账户。有些甚至不支持端到端加密。因此,无法通过这些平台与我建立加密信任关系。但你仍可以通过签署包含相关身份标识符的文本来证明这些账户的所有权。

例如,如果你使用 Telegram:

I hereby formally acknowledge that the Telegram account @username is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX.

真实身份

你需要你的身份证或居住证。仅接受中国大陆、香港、澳门、台湾、法国、德国或日本签发的证件。你还必须安装 OpenKeychain 并导入你的 OpenPGP 私钥。

然后按以下步骤操作:

  1. 与我预约;
  2. 带上你的身份证或居住证;
  3. 打开 OpenKeychain 并进入你的 OpenPGP 密钥页面,将手机放在正确位置,我会为你拍照:

P1

  1. 出示你的身份证/居住证以便我验证你的身份;
  2. 使用 OpenPGP 签署一段文本。

如果你使用的是中国大陆、香港、澳门、台湾或日本签发的居住证:

I hereby formally acknowledge that the identity card issued in the name of ZHANG SAN (张三), bearing the identification number AAAA, is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX.

否则:

I hereby formally acknowledge that the identity card issued in the name of John Appleseed, bearing the identification number AAAA, is associated with and under the control of the individual whose OpenPGP key has the fingerprint XXXX.