vérification de la SIGNATURE de l'image .iso

[cyrille]

Dernier message de la page précédente :

Code : Tout sélectionner

gpg --keyserver hkp://keyserver.ubuntu.com:80 --recv-key A25BAE09
gpg --list-key --with-fingerprint A25BAE09

Pas mieux ?

[remora2glauque]

Re Cyrille

Merci pour les codes de balises, je ne sais pas encore bien faire.

A quoi correspond la variable A25BAE09 ? , je n'ai pas ces valeurs dans les fichiers sha.txt

[cyrille]

C'est la clef d’identification du serveur de clef. Tu n'as pas à l'avoir dans sha.txt

[remora2glauque]

Voici la manip. avec la variable A25BAE09 :

Celà semble fonctionner, mais celà n'est il pas qu'un exemple comme l'indique la mention "<mallory@example.org>" ?

En tout cas le test de vérification indique que rien ne prouve que la signature appartient à son propriétaire !

Code : Tout sélectionner

gpg --keyserver hkp://keyserver.ubuntu.com:80 --recv-key A25BAE09
gpg: demande de la clef A25BAE09 sur le serveur hkp keyserver.ubuntu.com
gpg: clef A25BAE09 : « Totally Legit Signing Key <mallory@example.org> » n'est pas modifiée
gpg:       Quantité totale traitée : 1
gpg:                 non modifiées : 1

Code : Tout sélectionner

gpg --list-key --with-fingerprint A25BAE09
pub   1024R/A25BAE09 2014-01-26
 Empreinte de la clef = 1828 C98D 1C52 E20C 95DF  B632 6ABA 455A A25B AE09
uid                  Totally Legit Signing Key <mallory@example.org>

pub   4096R/A25BAE09 2016-06-07
 Empreinte de la clef = 27DE B156 44C6 B3CF 3BD7  D291 300F 846B A25B AE09
uid                  Linux Mint ISO Signing Key <root@linuxmint.com>

Code : Tout sélectionner

gpg --verify sha256sum.txt.gpg sha256sum.txt
gpg: Signature faite le dim 18 déc 2022 13:54:36 CET avec la clef RSA d'identifiant A25BAE09
gpg: Bonne signature de « Linux Mint ISO Signing Key <root@linuxmint.com> »
gpg: Attention : cette clef n'est pas certifiée avec une signature de confiance.
gpg:             Rien n'indique que la signature appartient à son propriétaire.
Empreinte de clef principale : 27DE B156 44C6 B3CF 3BD7  D291 300F 846B A25B AE09

[cyrille]

Dans la doc citée, tu peux lire à fin https://linuxmint-installation-guide.re ... erify.html

GPG might warn you that the Linux Mint signature is not trusted by your computer. This is expected and perfectly normal.

Donc je dirai que c'est normal vu que ça vient de leur doc officielle

[remora2glauque]

Re Cyrille

Effectivement, mais je ne l'avais pas interpreté ainsi. Je demanderai encore un autre avis ; si j'en obtenai un plus explicite, je le publierai sur ce forum.

Encore merci.