tor-webwml.git

1) ## translation metadata

2) # Based-On-Revision: 20019

3) # Last-Translator: jan at seul dot org
4) 
5) #include "head.wmi" TITLE="Verica della firma" CHARSET="UTF-8"
6) 
7) <div class="main-column">
8) 

9) <h2>Come verificare le firme dei pacchetti</h2>

10) <hr />
11) 
12) <p>Ciascun file nella <a href="<page download>">pagina di download</a> &egrave; accompagnato da

13) un file con lo stesso nome del pacchetto e l'estensione
14) ".asc". Ad esempio, l'attuale Pacchetto di Installazione Windows:
15) <package-win32-bundle-stable-sig>.</p>

16) 

17) <p>Questi file .asc sono firme PGP. Ti permettono di verificare che il file scaricato

18) sia esattamente quello desiderato.</p>
19) 
20) <p>Naturalmente bisogna avere le nostre chiavi pgp nel proprio keyring: se non
21) sai qual'&egrave; la chiave pgp, non puoi esser certo che l'abbiamo firmata proprio noi. Le chiavi che

22) usiamo per firmare sono:i</p>

23) <ul>
24) <li>Roger (0x28988BF5) che di solito firma il codice sorgente.</li>
25) <li>Nick (0x165733EA, o la sua sottochiave 0x8D29319A)</li>
26) <li>Andrew (0x31B0974B)</li>
27) <li>Peter (0x94C09C7F, o la sua sottochiave 0xAFA44BDD)</li>
28) <li>Matt (0x5FA14861)</li>
29) <li>Jacob (0x9D0FACE4)</li>
30) </ul>

31) 

32) <h3>Primo: Importa le chiavi</h3>
33) <hr />

34) <p>Puoi anche importare le chiavi direttamente da GnuPG:</p>
35) 
36) <pre>gpg --keyserver subkeys.pgp.net --recv-keys 0x28988BF5</pre>
37) 
38) <p>o cercarle con</p>
39) 
40) <pre>gpg --keyserver subkeys.pgp.net --search-keys 0x28988BF5</pre>
41) 
42) <p>e quando ne scegli una, verr&agrave; aggiunta al tuo keyring.</p>
43) 

44) <h3>Secondo: verifica i fingerprint</h3>
45) <hr />

46) <p>Verifica i fingerprint pgp con il comando:i</p>

47) <pre>gpg --fingerprint (metti qui il keyid)</pre>

48) I fingerprint delle chiavi devono essere:

49) 
50) <pre>
51) pub   1024D/28988BF5 2000-02-27
52)       Key fingerprint = B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
53) uid                  Roger Dingledine &lt;arma@mit.edu&gt;
54) 
55) pub   3072R/165733EA 2004-07-03
56)       Key fingerprint = B35B F85B F194 89D0 4E28  C33C 2119 4EBB 1657 33EA
57) uid                  Nick Mathewson &lt;nickm@alum.mit.edu&gt;
58) uid                  Nick Mathewson &lt;nickm@wangafu.net&gt;
59) uid                  Nick Mathewson &lt;nickm@freehaven.net&gt;
60) 
61) pub  1024D/31B0974B 2003-07-17
62)      Key fingerprint = 0295 9AA7 190A B9E9 027E  0736 3B9D 093F 31B0 974B
63) uid                  Andrew Lewman (phobos) &lt;phobos@rootme.org&gt;

64) uid                  Andrew Lewman <andrew@lewman.com>
65) uid                  Andrew Lewman <andrew@torproject.org>
66) sub   4096g/B77F95F7 2003-07-17

67) 
68) pub   1024D/94C09C7F 1999-11-10
69)       Key fingerprint = 5B00 C96D 5D54 AEE1 206B  AF84 DE7A AF6E 94C0 9C7F
70) uid                  Peter Palfrader
71) uid                  Peter Palfrader <peter@palfrader.org>
72) uid                  Peter Palfrader <weasel@debian.org>
73) 
74) pub   1024D/5FA14861 2005-08-17
75)       Key fingerprint = 9467 294A 9985 3C9C 65CB  141D AF7E 0E43 5FA1 4861
76) uid                  Matt Edman <edmanm@rpi.edu>
77) uid                  Matt Edman <Matt_Edman@baylor.edu>
78) uid                  Matt Edman <edmanm2@cs.rpi.edu>
79) sub   4096g/EA654E59 2005-08-17
80) 
81) pub   1024D/9D0FACE4 2008-03-11 [expires: 2010-03-11]
82)       Key fingerprint = 12E4 04FF D3C9 31F9 3405  2D06 B884 1A91 9D0F ACE4
83) uid                  Jacob Appelbaum <jacob@appelbaum.net>
84) sub   4096g/D5E87583 2008-03-11 [expires: 2010-03-11]
85) </pre>
86) 
87) <p>(Naturalmente, se vuoi essere certo che siano proprio loro
88) devi confrontare le firme da pi&ugrave; fonti, o meglio ancora fare key signing
89) e costruitre un percorso di fiducia a queste chiavi.)</p>
90) 

91) <h3>Terzo: verifica i pacchetti scaricati</h3>
92) <hr />

93) <p>Se usi GnuPG, metti il file .asc ed  il file scaricato nella stessa
94) directory e dai "gpg --verify (quelchesia).asc (quelchesia)". Risponder&agrave;
95) qualcosa come "Good signature" o "BAD signature" usando questi
96) comandi:</p>
97) 
98) <pre>
99) gpg --verify tor-0.1.0.17.tar.gz.asc tor-0.1.0.17.tar.gz
100) gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
101) gpg: Good signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
102) gpg:                 aka "Roger Dingledine &lt;arma@mit.edu&gt;"
103) gpg: WARNING: This key is not certified with a trusted signature!
104) gpg:          There is no indication that the signature belongs to the owner.
105) Primary key fingerprint: B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
106) </pre>
107) 
108) <p>
109) Noterai che c'&egrave; un avviso perch&eacute; non hai assegnato una fiducia a
110) questo utente. Significa che il programma ha verificato che l'utente ha apposto quella firma.
111) E' l'utente a decidere se quella chiave appartiene veramente agli sviluppatori. Il modo
112) migliore &egrave; incontrarli e scambiare i gpg fingerprint. Si possono anche firmare le
113) chiavi. Se vedi le chiavi di Roger o Nick, altre persone hanno detto in sostanza
114) "abbiamo verificato che questo &egrave; Roger/Nick". Cos&igrave; se ti fidi di quella
115) terza parte, hai stabilito un livello di fiducia per arma/nick.
116) </p>
117) 
118) <p>Tutto ci&ograve; significa che puoi ignorare il messaggio o assegnare un livello di fiducia.</p>
119) 
120) <p>Ad esempio, questo &egrave; un esempio di verifica <em>FALLITA</em>. Significa
121) che la firma ed il contenuto del file non corrispondono:</p>
122) 
123) <pre>
124) gpg --verify tor-0.1.0.17.tar.gz.asc
125) gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
126) gpg: BAD signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
127) </pre>
128) 

129) <p>Se vedi un messaggio come questo sopra, non devi fidarti del contenuto del file.</p>

130) 
131) <p>Se usi Tor su Debian leggi le istruzioni per
132) <a

133) href="<page docs/debian>#packages">importare queste chiavi in apt</a>.</p>