Pourquoi diable faut-il qu'ils réinventent la roue ??

En fait leur système s'approche de plus en plus de ce qui existe déjà depuis plus longtemps (mais les implémentations sont encore peu développées et assez expérimentales pour l'authentification web), je veux parler d'OpenPGP, Monkeysphere et la RFC 6091 (implémenté par GnuTLS notamment).

OpenUDC se sert d'ailleurs d'OpenPGP pour l'authent (mais pas de la RFC 6091 puisqu'il n'a pas besoin de chiffrement, ceci dit je n'exclue pas de pouvoir l'utiliser (et donc de me servir de GnuTLS) par la suite).

Pour OpenUDC j'ai du coup implémenté une petite extension à HTTP : le type MIME multipart/msigned (cf. https://github.com/Open-UDC/open-ud...)
Il suffit de mettre "multipart/msigned" dans le header HTTP "Accept:" pour que le serveur renvoie (s'il juge cela pertinent) une réponse signé (avec "Content-Type: multipart/msigned , boundary=...").

De même il suffit au client d'envoyer un POST avec "Content-Type: multipart/msigned, ..." pour que le serveur l'authentifie (et accepte ou non sa requête).

NB: Cela veut dire bien évidemment que le serveur possède une liste de clé qu'il reconnait, cf toile de confiance OpenPGP.

Voili, voilou