Vérifier les signatures

Comment vérifier les signatures des paquets

Chaque fichier sur notre page de téléchargement est accompagné par un fichier du même nom que le paquet avec l'extention « .asc ». Par exemple, le fichier courant d'installation « tout en un pour Windows » : dist/vidalia-bundles/vidalia-bundle-0.2.1.20-0.2.5.exe.asc.

Ces fichiers .asc sont des signatures PGP. Elles vous permettent de vérifier que les fichiers que vous avez téléchargés sont exactement ceux que vous aviez l'intention de télécharger.

Bien entendu, vous avez besoin d'avoir nos clés pgp dans votre trousseau : si vous ne connaissez pas les clés pgp, vous ne pouvez pas être certain que ce soit nous qui avont signé. Les clés de signature utilisées sont :

Roger's (0x28988BF5) typiquement pour signer l'archive code source.
Nick's (0x165733EA, ou sa sous clé 0x8D29319A)
Andrew's (0x31B0974B)
Peter's (0x94C09C7F, ou sa sous clé 0xAFA44BDD)
Matt's (0x5FA14861)
Jacob's (0x9D0FACE4)

Étape Une : Importer les clés

Vous pouvez aussi bien importer les clés directement de GnuPG :

gpg --keyserver subkeys.pgp.net --recv-keys 0x28988BF5

ou chercher les clés avec

gpg --keyserver subkeys.pgp.net --search-keys 0x28988BF5

et lorsque vous en sélectionnez une, elle sera ajoutée à votre trousseau.

Étape deux : Vérifier les empreintes

Vérifier les empreintes pgp en utilisant :

gpg --fingerprint (insert keyid here)

Les empreintes pour les clés devraient être :

pub   1024D/28988BF5 2000-02-27
      Key fingerprint = B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
uid                  Roger Dingledine <arma@mit.edu>

pub   3072R/165733EA 2004-07-03
      Key fingerprint = B35B F85B F194 89D0 4E28  C33C 2119 4EBB 1657 33EA
uid                  Nick Mathewson <nickm@alum.mit.edu>
uid                  Nick Mathewson <nickm@wangafu.net>
uid                  Nick Mathewson <nickm@freehaven.net>

pub  1024D/31B0974B 2003-07-17
     Key fingerprint = 0295 9AA7 190A B9E9 027E  0736 3B9D 093F 31B0 974B
uid                  Andrew Lewman (phobos) <phobos@rootme.org>
uid                  Andrew Lewman <andrew@lewman.com>
uid                  Andrew Lewman <andrew@torproject.org>
sub   4096g/B77F95F7 2003-07-17

pub   1024D/94C09C7F 1999-11-10
      Key fingerprint = 5B00 C96D 5D54 AEE1 206B  AF84 DE7A AF6E 94C0 9C7F
uid                  Peter Palfrader
uid                  Peter Palfrader <peter@palfrader.org>
uid                  Peter Palfrader <weasel@debian.org>

pub   1024D/5FA14861 2005-08-17
      Key fingerprint = 9467 294A 9985 3C9C 65CB  141D AF7E 0E43 5FA1 4861
uid                  Matt Edman <edmanm@rpi.edu>
uid                  Matt Edman <Matt_Edman@baylor.edu>
uid                  Matt Edman <edmanm2@cs.rpi.edu>
sub   4096g/EA654E59 2005-08-17

pub   1024D/9D0FACE4 2008-03-11 [expires: 2010-03-11]
      Key fingerprint = 12E4 04FF D3C9 31F9 3405  2D06 B884 1A91 9D0F ACE4
uid                  Jacob Appelbaum <jacob@appelbaum.net>
sub   4096g/D5E87583 2008-03-11 [expires: 2010-03-11]

(Bien entendu, si vous voulez être certain que ces clés sont bien les bonnes, vous devriez les contrôler à plusieurs endroits ou mieux, les faire signer et ce faisant, contruire un chemin de confiance pour celles-ci.)

Étape trois : Vérifier les fichiers téléchargés

Si vous utilisez GnuPG, il vous suffit de mettre le fichier .asc et le téléchargement dans le même répertoire et taper "gpg --verify (fichier).asc (fichier)". Il devrait dire quelquechose comme "Good signature" ou "BAD signature" en utilisant ce type de commande :

gpg --verify tor-0.1.0.17.tar.gz.asc tor-0.1.0.17.tar.gz
gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
gpg: Good signature from "Roger Dingledine <arma@mit.edu>"
gpg:                 aka "Roger Dingledine <arma@mit.edu>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5

Notez qu'il y a une mise en garde du fait que vous n'avez pas assigné un index de confiance à cet utilisateur. Ceci signifie que votre programme a vérifié la clé qui a produit cette signature. Il revient à l'utilisateur de décider si cette clé appartient réellement aux développeurs. La meilleur méthode est de les rencontrer en personne et échanger les empreintes gpg. Les clés peuvent également être signées. Si vous regardez les clés de Roger ou Nick's, d'autres personnes ont essentiellement dit « nous avons vérifié que c'est Roger/Nick ». Donc si vous faites confiance à ces tierces personnes, alors vous avez un degré de confiance pour arma/nick.

Tout ceci signifie que vous pouvez ignorer ce message ou assigner un niveau de confiance.

Pour votre information, ceci est un exemple d'une MAUVAISE vérification. Il signifie que la signature et le contenu du fichier ne correspondent pas :

gpg --verify tor-0.1.0.17.tar.gz.asc
gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
gpg: BAD signature from "Roger Dingledine <arma@mit.edu>"

Si vous voyez un message comme celui ci-dessus, alors vous ne devriez pas faire confiance au contenu du fichier.

Si vous faites tourner Tor sur Debian vous devriez lire les intructions sur comment importer ces clés dans apt.