Benjamin Charles, Zero Bullshit
Vérifier mon identité
Quelqu'un vous écrit en se présentant comme Benjamin Charles, de Zero Bullshit, par email, Discord, Signal, WhatsApp, Telegram ou ailleurs ? Vous pouvez vérifier que c'est bien moi sans faire confiance au compte qui vous écrit : demandez-moi de signer une phrase avec ma clé PGP.
Ma clé publique
- Nom inscrit dans la clé
- Benjamin Charles (Zero Bullshit)
- Empreinte
-
5F22 CF0B 1E63 48B5 9EEC 88CA 10A1 540A 574A 24DB
- Valable jusqu'au
- 20 octobre 2028
- Type
- OpenPGP : Ed25519 pour signer, Curve25519 pour chiffrer
Cette page est la seule source officielle de ma clé. Je ne l'ai déposée sur aucun annuaire de clés : si l'on vous en transmet une autre, comparez son empreinte avec celle-ci, caractère par caractère.
Vérifier une signature ici
Collez la phrase et la signature que je vous ai renvoyées, ou déposez les deux fichiers. La vérification se fait dans votre navigateur : rien n'est envoyé, pas même à ce site.
Cette vérification fait confiance à cette page, puisque c'est elle qui l'exécute. Pour une source sensible, refaites-la avec votre propre logiciel (mode d'emploi plus bas), qui ne dépend pas de ce site.
Comment ça marche, en quatre étapes
- Vous récupérez ma clé depuis cette page officielle, sur fr.zero-bullshit.fr, et vous notez son empreinte.
- Vous m'envoyez une phrase unique, sur la messagerie où nous échangeons. Elle contient la date du jour, le nom de cette messagerie et un code aléatoire de votre choix. Par exemple : « 22 octobre 2026, Discord, code 7K4-PX9-218 ».
- Je vous retourne cette phrase et une signature PGP détachée : deux fichiers,
phrase.txtqui contient votre phrase, etphrase.txt.ascqui contient ma signature. - Vous vérifiez la signature avec ma clé publique, ici même ou avec votre propre logiciel (mode d'emploi plus bas), et vous vérifiez que la phrase signée est exactement la vôtre.
Ce que ça prouve, et ce que ça ne prouve pas
- Une signature valide prouve que la personne qui vous répond contrôle la clé privée qui correspond à cette clé publique.
- Le lien entre cette clé et moi repose sur l'authenticité de cette page et sur votre vérification initiale de l'empreinte. Vérifiez que vous êtes bien sur fr.zero-bullshit.fr, et non sur une adresse qui lui ressemble. En cas de doute, demandez-moi l'empreinte par un autre canal, de vive voix par exemple.
- Une signature ancienne peut être recopiée par n'importe qui, et elle reste valide indéfiniment. Il faut donc toujours demander une nouvelle phrase unique, avec la date du jour et un code que vous venez de choisir. Une signature sur une phrase que vous n'avez pas écrite vous-même ne prouve rien.
- Ce n'est pas une garantie contre la compromission de mon ordinateur. Quelqu'un qui en prendrait le contrôle, avec ma phrase de passe, pourrait signer à ma place. Si cela arrivait, je révoquerais cette clé et je l'annoncerais sur cette page.
Mode d'emploi : vérifier avec votre propre logiciel
C'est la vérification indépendante de ce site. Il vous faut trois fichiers, rangés dans le même dossier : ma clé publique (le bouton plus haut), et les deux que je vous ai renvoyés, phrase.txt et phrase.txt.asc. Les logiciels ci-dessous sont gratuits. Sur téléphone, le plus simple reste la vérification en ligne, plus haut.
Sur Windows : Kleopatra
- Installez Gpg4win, qui contient le logiciel Kleopatra.
- Dans Kleopatra, cliquez sur Importer et choisissez ma clé,
benjamin-charles-zero-bullshit.asc. S'il vous propose de la « certifier », vous pouvez refuser. Double-cliquez sur la clé importée et comparez l'empreinte affichée avec celle de cette page. - Cliquez sur Déchiffrer / Vérifier et choisissez
phrase.txt.asc. Kleopatra trouvephrase.txtdans le même dossier et affiche le résultat.
Sur Mac : GPG Suite
- Installez GPG Suite.
- Double-cliquez sur ma clé,
benjamin-charles-zero-bullshit.asc: GPG Keychain l'importe. Comparez son empreinte avec celle de cette page. - Dans le Finder, faites un clic droit sur
phrase.txt.asc, puis Services, puis OpenPGP: Verify Signature of File. Le résultat s'affiche dans une fenêtre.
Dans un terminal : Mac, Linux ou Windows
GnuPG est souvent déjà installé sous Linux. Sur Mac, installez-le avec brew install gnupg ; sur Windows, Gpg4win l'installe. Placez-vous dans le dossier des trois fichiers, puis :
gpg --import benjamin-charles-zero-bullshit.asc
gpg --verify phrase.txt.asc phrase.txtLire le résultat
- C'est bon si GnuPG écrit
Bonne signature de « Benjamin Charles (Zero Bullshit) »(en anglais :Good signature from) et si l'empreinte de clé principale affichée est exactement celle de cette page. - Un avertissement est normal :
cette clef n'est pas certifiée avec une signature de confiance. GnuPG signale seulement que vous n'avez pas certifié ma clé vous-même. Ce qui compte, c'est votre comparaison de l'empreinte. - Ce n'est pas bon si vous lisez
MAUVAISE signature(BAD signature), si l'empreinte diffère, ou siphrase.txtne contient pas exactement votre phrase. Ne faites pas confiance à votre interlocuteur, et prévenez-moi par un autre canal. - Si GnuPG signale une clé expirée ou révoquée, revenez sur cette page : elle donne toujours l'état à jour de ma clé.
Pour aller plus loin
Signer ou chiffrer : deux usages différents
Signer
Je prouve que c'est moi qui ai produit un message, et qu'il n'a pas été modifié depuis. Je signe avec ma clé privée, que je suis seul à détenir. Vous vérifiez avec ma clé publique, celle de cette page. Le message, lui, reste lisible par tout le monde.
Chiffrer
Vous rendez un message illisible pour tout le monde sauf moi. Vous le chiffrez avec ma clé publique, et seule ma clé privée peut l'ouvrir. Le contenu est protégé, mais rien ne prouve qui l'a écrit.
Pour vérifier mon identité, c'est la signature qui compte.
M'envoyer un document chiffré
Ma clé publique sert aussi à m'envoyer un message ou un document que je serai seul à pouvoir lire. Dans Kleopatra ou GPG Suite, choisissez Signer / Chiffrer, puis ma clé comme destinataire. Dans un terminal :
gpg --encrypt --armor --recipient 5F22CF0B1E6348B59EEC88CA10A1540A574A24DB document.pdfGnuPG vous demande de confirmer l'usage d'une clé que vous n'avez pas certifiée : répondez oui, une fois l'empreinte comparée. Vous obtenez document.pdf.asc, à m'envoyer par la messagerie de votre choix. Le chiffrement protège le contenu, pas le fait que nous échangions : la messagerie voit toujours qui écrit à qui, quand, et la taille du fichier.