Introduction
Depuis des années le projet Linux s’appuie sur PGP pour authentifier développeurs et commits. Mais le modèle actuel — signatures PGP, rencontres en personne pour signer des clés, scripts manuels de gestion du web of trust — est devenu lourd, fragile et source de risques (données publiques exposées, clés périmées). Suite aux incidents passés (notamment l’attaque contre kernel.org en 2011 et la compromission proche de l’utilitaire xz), les mainteneurs cherchent une solution plus moderne et résiliente : Linux ID, une couche d’identité décentralisée et modulable.
Que propose Linux ID ?
- Basée sur des standards d’identité modernes : DIDs (Decentralized Identifiers) et Verifiable Credentials (VCs) de type W3C.
- Les développeurs créent des DIDs (possiblement en réutilisant des clés Curve25519 existantes) et publient des DID documents (par ex. via
did:web). - Des « preuves de personhood » et des credentials émis par différents émetteurs (gouvernements, employeurs, centres de vérification, ou la Linux Foundation) attestent d’informations : personne réelle, affiliation, reconnaissance par un mainteneur, etc.
- Architecture issuer‑agnostic et composable : plusieurs émetteurs indépendants peuvent coexister ; les chemins de confiance se recoupent.
- Communication privée et pairwise DIDs : les relations entre participants peuvent utiliser des identifiants éphémères pour limiter la corrélation et préserver la vie privée.
- Credentials de courte durée et registres de révocation/transparence : attestations courtes (jours/semaines) et mécanismes pour détecter/revoquer des credentials compromis.
- Intégration possible dans les workflows : vérification des bundles de credentials lors de la revue ou de la validation des signatures, en complément des tags signés.
- Possibilité de délégation cryptographique (p. ex. à des agents IA) avec credentials séparés et révocables.
Complément (contexte et comparaisons)
Les DIDs et Verifiable Credentials sont des standards W3C. Dans l’écosystème logiciel, d’autres initiatives traitent déjà la signature d’artéfacts et la chaîne de confiance, par exemple Sigstore (Fulcio, Rekor, Cosign) qui vise à faciliter la signature de builds et l’enregistrement dans des logs de transparence. Linux ID se concentre davantage sur l’identité décentralisée et la preuve des personnes derrière les clés, et pourra potentiellement compléter ou interopérer avec des systèmes comme Sigstore, SLSA ou in-toto.
Contrairement au web of trust PGP monolithique, Linux ID permet à chaque projet de décider quels émetteurs et niveaux de preuve il exige.
Avantages attendus
- Sécurité renforcée : un attaquant devra obtenir et maintenir plusieurs attestations courtes auprès d’émetteurs indépendants — coût d’attaque plus élevé que de compromettre une seule clé PGP.
- Flexibilité opérationnelle : plus besoin d’organiser des key-signing parties obligatoires et d’exposer des informations personnelles inutilement.
- Respect de la vie privée : pairwise DIDs et attestations éphémères réduisent la surface d’analyse sociale.
- Meilleure gouvernance : révocation et registres rendent la réponse aux compromissions plus rapide.
- Extensibilité : peut s’appliquer à d’autres projets open source et aux environnements intégrant des agents automatisés/IA.
Limites et défis
- Adoption et migration : transition depuis le web of trust PGP sera délicate ; il faudra outils, documentation et période de cohabitation.
- Choix de confiance : qui accepter comme émetteur ? risque de centralisation si trop peu d’émetteurs sont utilisés.
- Interopérabilité : il faudra s’assurer que les outils (git, CI, systèmes de revue) supportent les nouveaux formats et flux.
- UX et complexité opérationnelle : les développeurs attendent des processus simples ; il faudra abstraire la complexité cryptographique.
- Transparence vs anonymat : équilibre entre registres publics utiles pour l’audit et protection contre la cartographie des relations.
Calendrier et prochaines étapes (tel que présenté)
- Stade actuel : exploration et prototypes présentés par la Linux Foundation Decentralized Trust ; démonstrations fonctionnelles (création d’identité, échange de VCs, pairwise DIDs).
- Prochaines étapes : discussions et tests prévus lors des conférences Linux Plumbers et du Kernel Summit. Kroah‑Hartman a indiqué que l’idée est encore en phase de prototypage et de discussion ; une migration progressive est envisagée (importer le web of trust existant pour faciliter la transition).
- Le déploiement complet pourrait prendre plusieurs mois à un an selon l’acceptation communautaire.
Que signifie ce changement pour les projets open source ?
- Outil potentiellement réutilisable : si Linux ID fonctionne, d’autres projets open source et écosystèmes pourront adopter des modèles similaires.
- Meilleure traçabilité des contributions et capacité à réagir vite en cas de compromission.
- Nécessité pour les mainteneurs et administrateurs de suivre (et de participer) à la définition des politiques d’émission et aux registres de confiance.
Conclusion
Linux ID propose une transition vers des identités numériques décentralisées, composables et plus dynamiques, remédiant aux faiblesses pratiques et sécuritaires du modèle PGP historique. Ce n’est pas une panacée, mais c’est une avancée structurante pour durcir la provenance du code dans le noyau Linux et, potentiellement, dans tout l’open source.
Appel à l’action
- Pour les mainteneurs : suivez les travaux de la Linux Foundation Decentralized Trust et participez aux discussions lors des événements Linux Plumbers et Kernel Summit.
- Pour les développeurs : testez tôt les outils prototypes, donnez du feedback sur l’ergonomie et les politiques d’émetteurs.
- Pour les responsables sécurité : évaluez comment ce modèle pourrait compléter les systèmes de signature d’artéfacts existants (ex. Sigstore) dans vos pipelines CI/CD.
Suggestion pour image à la une
Illustration sur la notion d’identité décentralisée (DID), ou photo évoquant la sécurité/cryptographie.
Source (à mentionner impérativement)
Article original : ZDNET — « Linux kernel maintainers’ new way of authenticating developers and code » par Steven Vaughan‑Nichols, 26 févr. 2026. https://www.zdnet.com/article/linux-kernel-maintainers-new-way-of-authenticating-developers-and-code/
Si vous le souhaitez, je peux aussi générer une version courte (300–400 mots) pour l’extrait, fournir des balises meta prêtes à coller dans WordPress, ou créer une timeline HTML/shortcode pour la roadmap.
