[debian-devel:12454] Re: NewMaint info & GPG usage tips (Re: [nm-admin] Note to all AMs)

[Taketoshi Sano <kgh12351@xxxxxxxxxxx>]

佐野＠浜松です。

In article <200006031721.NAA16508@xxxxxxxxxxxxxxx>,
  at "Sun, 4 Jun 2000 02:21:51 +0900',
 "Kikutani, Makoto" <kikutani@xxxxxxxxxx> さん writes:

> と、ところで、この作業が何をしたのかよくわかってないんですが。
> 
> % gpg --list-keys kikutani
> pub  1024D/07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>
> sub  1024g/CF370DB6 2000-05-20
> 
> が変更された？
> 
> で gpg --export --armor kikutani  の結果を送り付ければよい？
> 
> 平文で送っていいのか？ PGPでサインして送るのか、はたまたGPGで
> サインするのか？ など全然わかってないです。すみません。

これって

In article <20000515132749D.kgh12351@xxxxxxxxxxxxxxxxxxxx>,
  at "Mon, 15 May 2000 14:57:17 +0900', I wrote:

> 既に Debian の official maintainer として登録されているメンバーも、
> なるべく早目に GPG なキーを作成して keyring-maint@debian.org に
> 送ったほうが良いでしょう。
> 
> なお、GPG なキーを作成して、それが誰にも署名してもらっていない場合、
> 以下の手順によって、今まで使用していた自分の PGP なキーで新しく作成
> した GPG なキーに署名することができます。
> 
> Signing your GPG key with your PGP one
> --------------------------------------
>         
> If you already have a PGP key, but only now made a GPG key, you must
> sign your GPG key with your PGP one. This can be done as follows:
> 
> o Get the gpg-rsa (or gpg-rsaref, if you live in the US) and gpg-idea
>   packages and install them.
> 
> o Sign your GPG key with your PGP key:
>         gpg --load-extension rsa --load-extension idea \
>             --secret-keyring ~/.pgp/secring.pgp \
>             --default-key 'Your PGP ID' --sign-key 'Your GPG ID'
> 
> ここで、'Your PGP ID' や 'Your GPG ID' としては hex コードで表示される
>  key ID (私の場合には前者が 0x2EFDA151、後者が 0xAE31C009) や、
> また、より確実な方法として finger print を利用することもできます。
> 
> (例えば、"gpg --list-keys '0xA1A0F2D09C5D7D61DBA11507D0B3F3D0AE31C009'" を
>  実行すれば私の GPG キーが表示されるはずです。)

の話ですよね ?


> o Sign your GPG key with your PGP key:
>         gpg --load-extension rsa --load-extension idea \
>             --secret-keyring ~/.pgp/secring.pgp \
>             --default-key 'Your PGP ID' --sign-key 'Your GPG ID'

を実行すると gpg --check-sigs kikutani の出力が変更されます。
 (新しい署名がキーに追加されるため)

具体的には、たぶん実行前は

 % gpg --check-sigs kikutani
 pub  1024D/07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>
 sig!       07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>
 sub  1024g/CF370DB6 2000-05-20
 sig!       07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>

こうなっていたはずで、実行後に

 % gpg --check-sigs kikutani
 pub  1024D/07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>
 sig!       07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>
 sig!       2D1B5349 1999-02-06  Kikutani Makoto <kikutani@debian.org>
 sub  1024g/CF370DB6 2000-05-20
 sig!       07079418 2000-05-20 Kikutani Makoto <kikutani@debian.org>

こうなったはず。

で、新しく作った gpg キーを Debian Keyring に登録する場合は、

If you are an old debian developer who hasn't uploaded your packages
for a long time, and your key is not in the keyring, send a mail to
keyring-maint@debian.org explaining the situation, and including your
public PGP key.

ってことなんですが、PGP のキーが既に登録されている場合はそれで内容を
証明することになるんで、新しく作った GPG のキーが本人のものであることを
証明するために PGP のキーで署名したわけです。

なので、たぶんキー自体が登録済みの PGP キー (RSA) で署名されていれば
それだけでも十分 (平文 E-Mail でも可) かなという気もするんですが、
念のために keyring に登録されている PGP キーで E-mail に署名しておいた
ほうがいいかもしれません。"explaining the situation" の内容も証明して
おいたほうがいいかもしれないので。

-- 
     ＃ (わたしのおうちは浜松市、「夜のお菓子」で有名さ。)
    <kgh12351@xxxxxxxxxxx> : Taketoshi Sano (佐野　武俊)