Vérification de l'authenticité des images Debian
Les publications officielles des images d'installation et des images autonomes de
Debian sont fournies avec des fichiers de sommes de contrôle signés. Vous
pouvez les rechercher à coté des images dans les répertoires
iso-cd, jigdo-dvd, iso-hybrid, etc. Ces
fichiers vous permettent de vérifier que les images téléchargées sont
correctes. Tout d'abord, les sommes de contrôle permettent de vérifier que les
images n'ont pas été corrompues pendant leur téléchargement. Ensuite, les
signatures des fichiers de sommes de contrôle permettent de confirmer que les
images sont celles créées par Debian et qu’elles n'ont pas été altérées.
Pour valider le contenu d'un fichier d'image, assurez-vous d'utiliser l'outil
de sommes de contrôle approprié. Des algorithmes de sommes de contrôle sûrs
d'un point de vue cryptographique (SHA256 et SHA512) sont utilisés pour toutes
les publications. Pour leur mise en œuvre, les outils correspondants
sha256sum ou sha512sum sont à employer.
Pour s'assurer que les fichiers de sommes de contrôle sont eux-mêmes
corrects, utilisez une implémentation de OpenPGP (telle que GnuPG, Sequoia-PGP,
PGPainless ou GopenPGP) pour les vérifier à l'aide des fichiers de
signatures qui les accompagnent (par exemple SHA512SUMS.sign). Les
clefs utilisées sont toutes dans le trousseau GPG Debian et la meilleure façon de les vérifier est d'utiliser
ce trousseau pour les valider à l'aide du réseau de confiance. Pour faciliter
la vie des personnes qui n'ont pas accès à une machine Debian, voici les détails
des clefs qui ont été utilisées pour signer les publications de ces dernières
années et les liens pour télécharger directement les clés publiques :
pub rsa4096/988021A964E6EA7D 2009-10-03 Empreinte de la clef = 1046 0DAD 7616 5AD8 1FBC 0CE9 9880 21A9 64E6 EA7D uid Debian CD signing key <[email protected]> pub rsa4096/DA87E80D6294BE9B 2011-01-05 [SC] Empreinte de la clef = DF9B 9C49 EAA9 2984 3258 9D76 DA87 E80D 6294 BE9B uid Debian CD signing key <[email protected]> pub rsa4096/42468F4009EA8AC3 2014-04-15 [SC] Empreinte de la clef = F41D 3034 2F35 4669 5F65 C669 4246 8F40 09EA 8AC3 uid Debian Testing CDs Automatic Signing Key <[email protected]>