Besoin d'un coup de main pour importer une nouvelle clé publique

Vous ou votre distribution avez ajouté l'option weak-digest SHA1 à la configuration de GnuPG ( ~/.gnupg/gpg.conf ), ce qui entraîne le rejet des signatures réalisées avec SHA-1 comme étant "faibles". (Par défaut, seul MD5 est rejeté. SHA-1 est encore acceptable, mais à peine).

Sans cette option, le résultat attendu est :

$ gpg --recv-keys 28D3BED851FDF3AB57FEF93C233587A47C207910
gpg: key 233587A47C207910: public key "Nicolas Petton <nicolas@petton.fr>" imported
gpg: marginals needed: 3  completes needed: 1  trust model: pgp
gpg: depth: 0  valid:   2  signed:   9  trust: 0-, 0q, 0n, 0m, 0f, 2u
gpg: depth: 1  valid:   9  signed:  78  trust: 3-, 0q, 0n, 6m, 0f, 0u
gpg: depth: 2  valid:  68  signed:  18  trust: 31-, 20q, 2n, 15m, 0f, 0u
gpg: depth: 3  valid:   2  signed:   2  trust: 1-, 1q, 0n, 0m, 0f, 0u
gpg: next trustdb check due at 2018-06-25
gpg: Total number processed: 1
gpg:               imported: 1

Je suppose que si je recevais la clé du serveur de clés, je connaîtrais son empreinte digitale.

Pas nécessairement. Vous ne savez pas encore si vous avez reçu la vraie clé, ou une autre clé qui se trouve avoir le même ID de clé. Les ID de clé "courts" (8 chiffres) sont les suivants très facile à dupliquer, et l'avenir pour les "longs" (16 chiffres) ne s'annonce pas bon non plus. Si vous déjà connaître l'empreinte digitale, vous devez l'utiliser directement avec --recv-keys et d'autres commandes.

Dans tous les cas, vous ne devez pas obtenir d'empreintes digitales de le serveur de clés ; cela va à l'encontre de l'intérêt de la vérification par empreinte digitale.

Ces informations seraient-elles suffisantes pour confirmer la clé et lui donner une confiance totale ?

Oui et non. Vous pouvez confirmer la validité de la clé, mais définir la confiance d'une clé n'est pas la même chose - cela permet en fait à cette clé de contribuer à la validité de la clé. autre (c'est ainsi que se construit le "réseau de confiance").

Si vous ne connaissez pas la personne (ou en particulier si vous ne connaissez pas ses pratiques PGP), vous ne devriez pas accorder de confiance à ses clés. Il suffit de marquer la clé comme valide, en utilisant --lsign-key <fingerprint> si vous voulez qu'il soit uniquement local, ou en utilisant --sign-key si vous voulez publier la "confirmation".