tor-webwml.git

1) 
2) 

3) 
4) 
5) 
6) 
7) ## translation metadata

8) # Revision: $Revision$

9) # Translation-Priority: 2-medium
10) #include "head.wmi" TITLE="Verifying Signatures" CHARSET="UTF-8"

11) <div class="main-column">
12) 
13) <h2>Comment vérifier les signatures des paquets</h2>
14) <hr />
15) 

16) <p>Chaque fichier sur notre <a href="<page download>">page de

17) téléchargement</a> est accompagné d'un fichier du même nom que le paquet
18) avec l'extension « .asc ». Ces fichiers .asc sont des signatures GPG. Elles
19) vous permettent de vérifier qu'un fichier téléchargé est exactement celui
20) que vous devriez avoir.  Par exemple, vidalia-bundle-0.2.1.25-0.2.7.exe est
21) vérifiable avec la signature idalia-bundle-0.2.1.25-0.2.7.exe.asc.</p>
22) 
23) <p>Bien entendu, vous avez besoin d'avoir nos clés GPG dans votre trousseau :
24) si vous n'avez pas les clés GPG, vous ne pouvez pas être certain que ce soit
25) nous qui avons signé les fichiers. Les clés de signature utilisées sont :</p>

26) <ul>

27) <li>Celle de Roger (0x28988BF5) qui signe généralement l'archive du code source.</li>
28) <li>Celles de Nick (0x165733EA, ou sa sous clé 0x8D29319A)</li>
29) <li>Celle d'Andrew (0x31B0974B) signe généralement les paquets pour Windows et
30) Mac.</li>
31) <li>Celles de Peter (0x94C09C7F, ou sa sous clé 0xAFA44BDD).</li>
32) <li>Celle de Matt (0x5FA14861).</li>
33) <li>Celle de Jacob (0xE012B42D).</li>
34) <li>Celles d'Erinn (0x63FEE659) et (0xF1F5C9B5) signent généralement les paquets
35) pour Linux.</li>
36) <li>Mike's (0xDDC6C0AD) signs the Torbutton xpi.</li>

37) </ul>
38) 

39) <h3>Étape zéro : Installer GnuPG</h3>

40) <hr />

41) <p>Vous devez avoir GnuPG installé avant de pouvoir vérifier les paquets avec
42) les signatures.</p>

43) 

44) <ul>
45) <li>Linux : allez à la page <a
46) href="http://www.gnupg.org/download/index.fr.html">hhttp://www.gnupg.org/download/index.fr.html</a>
47) ou installez <i>gnupg</i> depuis votre gestionnaire de paquets.</li>
48) <li>Windows : allez à la page  <a
49) href="http://www.gnupg.org/download/index.fr.html">http://www.gnupg.org/download/index.fr.html</a>.
50) Choisir la "version compilée pour <b>MS-Windows</b>" dans la section
51) "Binaires (exécutables)".</li>
52) <li>Mac : allez à la page <a
53) href="http://macgpg.sourceforge.net/">http://macgpg.sourceforge.net/</a>.</li>
54) </ul>
55) 
56) <h3>Étape un : Importer les clés</h3>
57) <hr />
58) <p>L'étape suivante est l'importation de la clé. Ceci peut être fait
59) directement depuis GnuPG. Assurez-vous d'importer la bonne clé. Par exemple,
60) si vous avez télécharé un paquet pour Windows, vous avez besoin d'importer
61) la clé d'Andrew.</p>
62) 
63) <p><b>Windows : </b></p>
64) <p>GnuPG pour Windows est un utilitaire en ligne de commande et vous devez
65) utiliser <i>cmd.exe</i>. Si vous n'avez modifié la variable d'environnement
66) PATH, vous devez indiquer le chemin complet au programme GnuPG. Si vous avez
67) installé GnuPGavec les valeurs par défaut, le chemin devrait être celui-ci :
68) <i>C:\Program Files\Gnu\GnuPg\gpg.exe</i>.</p>

69) 

70) <p>Pour importer la clé 0x28988BF5, exécuter <i>cmd.exe</i> et taper :</p>

71) 

72) <pre>C:\Program Files\Gnu\GnuPg\gpg.exe --recv-keys 0x28988BF5</pre>

73) 

74) <p><b>Mac et Linux</b></p>
75) <p>Whether you have a Mac or you run Linux, you will need to use the terminal
76) to run GnuPG. Mac users can find the terminal under "Applications". If you
77) run Linux and use Gnome, the terminal should be under "Applications menu"
78) and "Accessories". KDE users can find the terminal under "Menu" and
79) "System".</p>
80) 
81) <p>To import the key 0x28988BF5, start the terminal and type:</p>
82) 
83) <pre>gpg --recv-keys 0x28988BF5</pre>

84) 

85) <h3>Étape deux : Vérifier les empreintes</h3>

86) <hr />

87) <p>Après avoir importé la clé, vous devriez vérifier que l'empreinte est
88) conforme.</p>
89) 
90) <p><b>Windows : </b></p>
91) <pre>C:\Program Files\Gnu\GnuPg\gpg.exe --fingerprint (inserez les identifiants de clés ici)</pre>
92) 
93) <p><b>Mac et Linux</b></p>
94) <pre>gpg --fingerprint (inserez les identifiants de clés ici)</pre>
95) 
96) Les empreintes des clés devraient être les suivantes :

97) 
98) <pre>
99) pub   1024D/28988BF5 2000-02-27
100)       Key fingerprint = B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
101) uid                  Roger Dingledine &lt;arma@mit.edu&gt;
102) 
103) pub   3072R/165733EA 2004-07-03
104)       Key fingerprint = B35B F85B F194 89D0 4E28  C33C 2119 4EBB 1657 33EA
105) uid                  Nick Mathewson &lt;nickm@alum.mit.edu&gt;
106) uid                  Nick Mathewson &lt;nickm@wangafu.net&gt;
107) uid                  Nick Mathewson &lt;nickm@freehaven.net&gt;
108) 
109) pub  1024D/31B0974B 2003-07-17
110)      Key fingerprint = 0295 9AA7 190A B9E9 027E  0736 3B9D 093F 31B0 974B
111) uid                  Andrew Lewman (phobos) &lt;phobos@rootme.org&gt;
112) uid                  Andrew Lewman &lt;andrew@lewman.com&gt;
113) uid                  Andrew Lewman &lt;andrew@torproject.org&gt;
114) sub   4096g/B77F95F7 2003-07-17
115) 
116) pub   1024D/94C09C7F 1999-11-10
117)       Key fingerprint = 5B00 C96D 5D54 AEE1 206B  AF84 DE7A AF6E 94C0 9C7F
118) uid                  Peter Palfrader
119) uid                  Peter Palfrader &lt;peter@palfrader.org&gt;
120) uid                  Peter Palfrader &lt;weasel@debian.org&gt;
121) 
122) pub   1024D/5FA14861 2005-08-17
123)       Key fingerprint = 9467 294A 9985 3C9C 65CB  141D AF7E 0E43 5FA1 4861
124) uid                  Matt Edman &lt;edmanm@rpi.edu&gt;
125) uid                  Matt Edman &lt;Matt_Edman@baylor.edu&gt;
126) uid                  Matt Edman &lt;edmanm2@cs.rpi.edu&gt;
127) sub   4096g/EA654E59 2005-08-17
128) 

129) pub   1024D/9D0FACE4 2008-03-11 [expires: 2010-10-07]

130)       Key fingerprint = 12E4 04FF D3C9 31F9 3405  2D06 B884 1A91 9D0F ACE4
131) uid                  Jacob Appelbaum <jacob@appelbaum.net>

132) sub   4096R/F8D04B59 2010-03-11 [expires: 2010-10-07]

133) 
134) pub   2048R/63FEE659 2003-10-16
135)       Key fingerprint = 8738 A680 B84B 3031 A630  F2DB 416F 0610 63FE E659
136) uid                  Erinn Clark <erinn@torproject.org>

137) uid                  Erinn Clark <erinn@debian.org>
138) uid                  Erinn Clark <erinn@double-helix.org>

139) sub   2048R/EB399FD7 2003-10-16
140) 
141) pub   1024D/F1F5C9B5 2010-02-03
142)       Key fingerprint = C2E3 4CFC 13C6 2BD9 2C75  79B5 6B8A AEB1 F1F5 C9B5

143) uid                  Erinn Clark <erinn@torproject.org>

144) sub   1024g/7828F26A 2010-02-03
145) 

146) pub   1024D/DDC6C0AD 2006-07-26
147)       Key fingerprint = BECD 90ED D1EE 8736 7980  ECF8 1B0C A30C DDC6 C0AD
148) uid                  Mike Perry <mikeperry@fscked.org>
149) uid                  Mike Perry <mikepery@fscked.org>
150) sub   4096g/AF0A91D7 2006-07-26

151) 

152) </pre>

153) 

154) <h3>Étape trois : Vérifier les paquets téléchargés</h3>

155) <hr />

156) <p> Pour vérifier la signature d'un paquet téléchargé, vous avez besoin de
157) télécharger aussi le fichier ".asc".</p>
158) 
159) <p>Dans les exemples suivants, l'utilisateur Alice a téléchargé la paquet pour
160) Windows, Mac OS et Linux, puis vérifie la signature de chaque paquet. Tous
161) les les fichiers sont enregistrés sur le bureau.</p>
162) 
163) <p><b>Windows : </b></p>
164) <pre>C:\Program Files\Gnu\GnuPg\gpg.exe --verify C:\Utilisateurs\Alice\Desktop\vidalia-bundle-0.2.1.25-0.2.7.exe.asc C:\Utilisateurs\Alice\Desktop\vidalia-bundle-0.2.1.25-0.2.7.exe</pre>
165) 
166) <p><b>Mac :</b></p>
167) <pre>gpg --verify /Utilisateurs/Alice/vidalia-bundle-0.2.1.25-0.2.7-i386.dmg.asc /Utilisateurs/Alice/vidalia-bundle-0.2.1.25-0.2.7-i386.dmg</pre>
168) 
169) <p><b>Linux</b></p>
170) <pre>gpg --verify /home/Alice/Desktop/tor-0.2.1.25.tar.gz.asc /home/Alice/Desktop/tor-0.2.1.25.tar.gz</pre>
171) 
172) <p>After verifying, GnuPG will come back saying something like "Good signature"
173) or "BAD signature". The output should look something like this:</p>

174) 
175) <pre>

176) gpg: Signature made Tue 16 Mar 2010 05:55:17 AM CET using DSA key ID 28988BF5

177) gpg: Good signature from "Roger Dingledine <arma@mit.edu>"
178) gpg: WARNING: This key is not certified with a trusted signature!
179) gpg:          There is no indication that the signature belongs to the owner.
180) Primary key fingerprint: B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
181) </pre>
182) 
183) <p>

184) Notice that there is a warning because you haven't assigned a trust index to
185) this person. This means that GnuPG verified that the key made that
186) signature, but it's up to you to decide if that key really belongs to the
187) developer. The best method is to meet the developer in person and exchange
188) key fingerprints.

189) </p>
190) 

191) <p>For your reference, this is an example of a <em>BAD</em> verification. It
192) means that the signature and file contents do not match. In this case, you
193) should not trust the file contents:</p>

194) 
195) <pre>

196) gpg: Signature made Tue 20 Apr 2010 12:22:32 PM CEST using DSA key ID 28988BF5

197) gpg: BAD signature from "Roger Dingledine <arma@mit.edu>"
198) </pre>
199) 

200) <p>Si vous faites tourner Tor sur Debian vous devriez lire les intructions sur
201) comment <a

202) href="https://wiki.torproject.org/noreply/TheOnionRouter/TorOnDebian">importer
203) ces clés dans apt</a>.</p>
204) 

205) <p>If you wish to learn more about GPG, see <a
206) href="http://www.gnupg.org/documentation/">http://www.gnupg.org/documentation/</a>.</p>
207) 

208) </div>
209) 

210)