sha256sum.txt.gpg de Mint 21 bizarre ! [Résolu]

[ChRiouf]

Bonjour,
J'ai téléchargé l'image iso de LinuxMint 21 dont j'obtient la somme :

Code : Tout sélectionner

f524114e4a10fb04ec428af5e8faf7998b18271ea72fbb4b63efe0338957c0f3 *linuxmint-21-cinnamon-64bit.iso

ce qui me semble correct au moins comme format et vraisemblablement comme valeur.

Dans un terminal j'ai le contenu de sha256sum.txt.gpg suivant, téléchargé plusieurs fois :

Code : Tout sélectionner

$
iQIzBAABCgAdFiEEJ96xVkTGs88719KRMA+Ea6JbrgkFAmLjw+UACgkQMA+Ea6Jb$
rgkoORAA1C9StGKDqG1OnnWYCzM/x/E1y8jrC6ZNM4CC5WmYgOrBwURX8rVgMWD5$
G7CyTWGWAy9D1xL0MBAdqPxqy+xANsLOq40iJPReDOwc7Ucd4E4szJmnVh3MbhEx$
6dOvxZuYGmsmKtnzU7QQQTcevtZkjDM/PNTxwh0ZOizh9t3G9A7U1ApSENWfsFB6$
ssi1Sjh4PgI2tZAlzhJmtsworC2IlHJz7GWa+gNA1ZwKSxE3gRuRNSQJaEjUZSxB$
pm2k/ijtG3gsuC7bALx1LFt8Q1KfqNb/23wR5XxzRvMGuKPQgn+/DXVdgzbTLwe9$
8RCnefq7psDIiSCl5mZY7sFBf5b4KotBB5Eqw5i/k3EKDZKlHoaey6EeQR7Udgu0$
vsLpgM3cITtPClMSGxk+jjFl9rdWJF7t9n3zvNSnQWsZ2keQd2ndQxEuvaK88HUl$
3k2LDyhATXtsoI4dtG24Iclcyuw27YPelg46KnQ5JzJ9AXr3GVUxRNjeZMXYvPmH$
6/cvW3Qej2b7VXTHNlmiPWqAbBBQs7Vv1tCoLMXNunc2WG1N4miu0ID4dYZY513W$
srloqsgyju1xUrNq7wNOAD1eAyptZ/nJOSEIgPHOTVAInu0z5YKY9xIc1Mna74Rj$
vS7ma/obMC6tYSWurLVAKpET6RAPguFAElw6alhQSrU06MDktzs=$
=lQhB$
-----END PGP SIGNATURE-----$

tout à fait différend du format de ma somme obtenue.
J'ai suivi exactement le processus indiqué par le site officiel.
Est ce sha256sum.txt.gpg qui est faux ou ai je fais une mauvaise manip ?
Merci d'avance pour vos réponse.

[alain]

Bonjour ChRiouf.

Je ne sais pas ce que tu as téléchargé, mais c'est sûr que c'est pas du SHA-256 qui ne doit contenir que 64 caractères hexadécimal. Comme celui que tu as calculé.
La y a beaucoup plus que 64 caractères et c'est pas de l'hexa (présence de lettres supérieures à F).

Peux tu nous donné le lien de ce que tu télécharges?

[cyrille]

Comme indiqué dans le nom de fichier c'est pas le hachage SHA256 mais c'est la clef GPG du fichier sha256sum.txt afin de vérifier son authenticité

Donc tout est normal

Code : Tout sélectionner

 sha256sum.txt          ---->>  hachage
 sha256sum.txt.gpg    --->> Signature GPG de cette clef

Tout est expliqué en détail ici
https://linuxmint-installation-guide.re ... erify.html

[ChRiouf]

Bonjour, merci d'avoir répondu.
@alain : j'ai téléchargé sha256sum.txt.gpg ici :https://www.linuxmint.com/edition.php?id=299, clic droit sur le bouton

Code : Tout sélectionner

sha256sum.txt.gpg

puis

Code : Tout sélectionner

Enregistrer la cible du lien sous...

.
Cette cible, je l'ouvre avec cat et j'ai le résultat ci-dessous :

Code : Tout sélectionner

christian@christian-X555LD ~/Téléchargements $ cat  -A sha256sum.txt.gpg
-----BEGIN PGP SIGNATURE-----$
$
iQIzBAABCgAdFiEEJ96xVkTGs88719KRMA+Ea6JbrgkFAmLjw+UACgkQMA+Ea6Jb$
rgkoORAA1C9StGKDqG1OnnWYCzM/x/E1y8jrC6ZNM4CC5WmYgOrBwURX8rVgMWD5$
G7CyTWGWAy9D1xL0MBAdqPxqy+xANsLOq40iJPReDOwc7Ucd4E4szJmnVh3MbhEx$
6dOvxZuYGmsmKtnzU7QQQTcevtZkjDM/PNTxwh0ZOizh9t3G9A7U1ApSENWfsFB6$
ssi1Sjh4PgI2tZAlzhJmtsworC2IlHJz7GWa+gNA1ZwKSxE3gRuRNSQJaEjUZSxB$
pm2k/ijtG3gsuC7bALx1LFt8Q1KfqNb/23wR5XxzRvMGuKPQgn+/DXVdgzbTLwe9$
8RCnefq7psDIiSCl5mZY7sFBf5b4KotBB5Eqw5i/k3EKDZKlHoaey6EeQR7Udgu0$
vsLpgM3cITtPClMSGxk+jjFl9rdWJF7t9n3zvNSnQWsZ2keQd2ndQxEuvaK88HUl$
3k2LDyhATXtsoI4dtG24Iclcyuw27YPelg46KnQ5JzJ9AXr3GVUxRNjeZMXYvPmH$
6/cvW3Qej2b7VXTHNlmiPWqAbBBQs7Vv1tCoLMXNunc2WG1N4miu0ID4dYZY513W$
srloqsgyju1xUrNq7wNOAD1eAyptZ/nJOSEIgPHOTVAInu0z5YKY9xIc1Mna74Rj$
vS7ma/obMC6tYSWurLVAKpET6RAPguFAElw6alhQSrU06MDktzs=$
=lQhB$
-----END PGP SIGNATURE-----$

Je procédais comme ça d'habitude.

@cyrille : admettons, et donc où se trouve le fichier qui contient la sum officielle de Mint21 ?
Et à quoi me sert cette clé si je n'ai pas la clé de comparaison ?
Merci.

[cyrille]

@cyrille : admettons, et donc où se trouve le fichier qui contient la sum officielle de Mint21 ?

Et à quoi me sert cette clé si je n'ai pas la clé de comparaison ?

bah si tu l'as

[tioker]

.....
Et à quoi me sert cette clé si je n'ai pas la clé de comparaison ?

Bonjour,

Déjà il faut savoir à quoi sert une clé GPG (ou PGP); lire ça, c'est intéressant.
En deux mots, tu as une clé, et tu as un somme de hachage (.txt) qui t'est fournie; si tu appliques la clé du cryptage (.gpg) à ton image iso, tu devrais trouver la même valeur.
Dans le cas qui t'intéresse, Cyrille et Alain t'ont répondu mais je vais détailler.

Tu as déjà chargé les deux fichiers (txt et gpg). Essayes de les mettre au même endroit que ton image iso (Téléchargements par exemple ?).
Après tu appliques ce qui est marqué; pour moi

Code : Tout sélectionner

# On liste les fichier sha*
> ls -l sha*.*
.rw-rw-r-- patrick patrick 286 B Mon Nov 21 13:30:28 2022   sha256sum.txt    
.rw-rw-r-- patrick patrick 833 B Mon Nov 21 13:30:37 2022   sha256sum.txt.gpg

# on contrôle notre fichier source
> sha256sum -b linuxmint-21-cinnamon-64bit.iso
f524114e4a10fb04ec428af5e8faf7998b18271ea72fbb4b63efe0338957c0f3 *linuxmint-21-cinnamon-64bit.iso

# on compare avec le résultat escompté
> cat sha256sum.txt
f524114e4a10fb04ec428af5e8faf7998b18271ea72fbb4b63efe0338957c0f3 *linuxmint-21-cinnamon-64bit.iso
02a80ca98f82838e14bb02753bd73ee0da996c9cda3f027ae1c0ffb4612c8133 *linuxmint-21-mate-64bit.iso
3ad001dc15cb661c6652ce1d20ecdc85a939fa0b4b9325af5d0c65379cc3b17e *linuxmint-21-xfce-64bit.iso

Donc on voit bien que la valeur fournie par l'utilitaire sha256sum est la même que celle que le site Linuxmint m'a donnée.

Juste une information générale: ces clés pgp peuvent servir à coder un message pour éviter qu'une autorité malveillante lise ce que vous faites circuler sur le net. Du moment que l’émetteur et le destinataire ont le même trousseau pour déverrouiller. Ce post est intéressant.

Bonne lecture.

[ChRiouf]

Bonsoir à tous,
J'avoue que je me suis complètement planté dans ma façon d'utiliser les fichiers à ma disposition.
Je pensais que le fichier sha256sum.txt était l'algorythme, "le hacheur", qui calculait la clé de l'image ISO alors que c'est une commande de Linux de même nom qui le fait. Je n'ai pas pensé d'afficher le contenu de ce fichier txt où j'aurais pu trouver la clé officielle. Maintenant j'ai tout compris et je suis bien confus de cette méprise.
L'image ISO est correcte et je m'en vais créer une clé de démarrage.
Merci à tous.

[cyrille]

pas de soucis t(inquiète

[Linuxingbis]

Bonjour à tous,

Personnellement, j'ai réussi à vérifié l'intégrité du fichier iso :

Code : Tout sélectionner

linuxing@linuxing-TUXEDO-Polaris-17-Intel-Gen1:~$ sha256sum -b '/home/linuxing/Téléchargements/linuxmint-21-mate-64bit.iso' 
02a80ca98f82838e14bb02753bd73ee0da996c9cda3f027ae1c0ffb4612c8133 */home/linuxing/Téléchargements/linuxmint-21-mate-64bit.iso
linuxing@linuxing-TUXEDO-Polaris-17-Intel-Gen1:~$

Mais je n'arrive pas à faire le contrôle d'authenticité, même si la clé gpg a pu se télécharger correctement :

Code : Tout sélectionner

linuxing@linuxing-TUXEDO-Polaris-17-Intel-Gen1:~$ gpg --keyserver hkp://keyserver.ubuntu.com:80 --recv-key "27DE B156 44C6 B3CF 3BD7  D291 300F 846B A25B AE09"
gpg: clef 300F846BA25BAE09 : « Linux Mint ISO Signing Key <root@linuxmint.com> » n'est pas modifiée
gpg: Quantité totale traitée : 1
gpg:              non modifiées : 1
linuxing@linuxing-TUXEDO-Polaris-17-Intel-Gen1:~$

En fait, j'avais déjà téléchargé la clé gpg avant, mais je l'ai refait pour la démonstration

Là où je n'en sors pas, c'est dans la manière d'appliquer ce qui est mis ici :

Code : Tout sélectionner

gpg --verify sha256sum.txt.gpg sha256sum.txt

Help, please !

[cyrille]

Personnellement, j'ai réussi à vérifié l'intégrité du fichier iso :

C'est l'essentiel, tu peux graver ton ISO
cf viewtopic.php?t=16510