Debian sur CD

Vérification de l'authenticité des images Debian

Les publications officielles des images d'installation et des images autonomes de Debian sont fournies avec des fichiers de sommes de contrôle signés. Vous pouvez les rechercher à coté des images dans les répertoires iso-cd, jigdo-dvd, iso-hybrid, etc. Ces fichiers vous permettent de vérifier que les images téléchargées sont correctes. Tout d'abord, les sommes de contrôle permettent de vérifier que les images n'ont pas été corrompues pendant leur téléchargement. Ensuite, les signatures des fichiers de sommes de contrôle permettent de confirmer que les images sont celles créées par Debian et qu’elles n'ont pas été altérées.

Pour valider le contenu d'un fichier d'image, assurez-vous d'utiliser l'outil de sommes de contrôle approprié. Des algorithmes de sommes de contrôle sûrs d'un point de vue cryptographique (SHA256 et SHA512) sont utilisés pour toutes les publications. Pour leur mise en œuvre, les outils correspondants sha256sum ou sha512sum sont à employer.

Pour s'assurer que les fichiers de sommes de contrôle sont eux-mêmes corrects, utilisez une implémentation de OpenPGP (telle que GnuPG, Sequoia-PGP, PGPainless ou GopenPGP) pour les vérifier à l'aide des fichiers de signatures qui les accompagnent (par exemple SHA512SUMS.sign). Les clefs utilisées sont toutes dans le trousseau GPG Debian et la meilleure façon de les vérifier est d'utiliser ce trousseau pour les valider à l'aide du réseau de confiance. Pour faciliter la vie des personnes qui n'ont pas accès à une machine Debian, voici les détails des clefs qui ont été utilisées pour signer les publications de ces dernières années et les liens pour télécharger directement les clés publiques :

pub   rsa4096/988021A964E6EA7D 2009-10-03
 Empreinte de la clef = 1046 0DAD 7616 5AD8 1FBC  0CE9 9880 21A9 64E6 EA7D
uid                  Debian CD signing key <debian-cd@lists.debian.org>

pub   rsa4096/DA87E80D6294BE9B 2011-01-05 [SC]
 Empreinte de la clef = DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
uid                  Debian CD signing key <debian-cd@lists.debian.org>

pub   rsa4096/42468F4009EA8AC3 2014-04-15 [SC]
 Empreinte de la clef = F41D 3034 2F35 4669 5F65  C669 4246 8F40 09EA 8AC3
uid                  Debian Testing CDs Automatic Signing Key <debian-cd@lists.debian.org>