i think keysignings violate lutzs ease of use (grandma can use it) rule . <br><br><div class="gmail_quote">On Wed, Jul 6, 2011 at 3:01 PM, Daniel Kahn Gillmor <span dir="ltr"><<a href="mailto:dkg@fifthhorseman.net">dkg@fifthhorseman.net</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;"><div class="im">On 07/06/2011 02:43 PM, Tony Godshall wrote:<br>
> Obviously a keysigning "party" is not<br>
> appropriate for people who want to be<br>
> anonymous.  But I don't see why, if you've<br>
> verified a claimed identity in some other<br>
> reasonable sense you cannot sign someone's<br>
> key even if its pseudonymous.<br>
<br>
</div>i agree; given the fluidity of names, a persistent pseudonym can have at<br>
least as much value in terms of establishing identity as a<br>
government-approved "official" name.<br>
<div class="im"><br>
> For example, a public activist now living in a<br>
> free country might want to indicate trust of a<br>
> pseudonymous source living under a brutal<br>
> regime,<br>
<br>
</div>Standard OpenPGP certifications do *not* indicate "trust".  They are<br>
assertions of identity and key-ownership.<br>
<br>
If the repressed source is known only publicly as "fubar127", the<br>
non-repressed activist can use OpenPGP certifications to assert that<br>
fubar127 does in fact hold key X.<br>
<div class="im"><br>
> and this public activist might want to<br>
> convey the existence of such trust to news<br>
> media / bloggers, etc.<br>
<br>
</div>Again, the public activist does *not* need to indicate any level of<br>
trust here; merely that they believe the individual known as "fubar127"<br>
does in fact hold key X.<br>
<div class="im"><br>
> without compromising<br>
> the source's true identity.<br>
<br>
</div>I'd use the term "official" or "government-issued" identity here, since<br>
in the public sphere, "fubar127" is at least as much their "true"<br>
identity as any other identity they hold.<br>
<div class="im"><br>
> That way the various<br>
> parties could distinguish communiques from<br>
> that source vs. the regime's disinformation<br>
> even if the original public activist is assassinated.<br>
<br>
</div>Yep.  Again, to be clear, this is about management of public identities,<br>
and binding public keys to public identities.  it's not about trust.<br>
<br>
I think the critical insight here is:<br>
<br>
  A persistent identity bound to strong public key is<br>
  essential to being able to make a stable and lasting contribution<br>
  to a globally-networked culture.<br>
<br>
It doesn't matter whether the identity is your "official" identity or<br>
not; and it doesn't even necessarily matter what form the cryptographic<br>
material takes (a self-signed X.509 certificate or even a raw public key<br>
might be sufficient in some cases).<br>
<br>
Having good ways that other people can publicly state their belief in<br>
your key+identity relationship is a good way to help ensure that your<br>
presence on the network will be difficult to remove, obscure, or<br>
infiltrate through technical means.<br>
<font color="#888888"><br>
        --dkg<br>
<br>
</font><br>_______________________________________________<br>
Freedombox-discuss mailing list<br>
<a href="mailto:Freedombox-discuss@lists.alioth.debian.org">Freedombox-discuss@lists.alioth.debian.org</a><br>
<a href="http://lists.alioth.debian.org/cgi-bin/mailman/listinfo/freedombox-discuss" target="_blank">http://lists.alioth.debian.org/cgi-bin/mailman/listinfo/freedombox-discuss</a><br></blockquote></div><br><br clear="all">
<br>-- <br>Thank you for your time<br>~Nathan<br><a href="mailto:nathan1465@gmail.com" target="_blank">nathan1465@gmail.com</a><br><br>