ru/verifying-signatures.wml (2864568fc) - tor-webwml.git

verifying-signatures.wml

## translation metadata
# Revision: $Revision$
# Translation-Priority: 2-medium
#include "head.wmi" TITLE="Verifying Signatures" CHARSET="UTF-8"
<div class="main-column">

<h2>Как верифицировать подписи установочных пакетов</h2>
<hr />

<p>Каждый файл на <a href="<page download>">нашей странице загрузок</a>
сопровождается файлом с аналогичным именем и с расширением ".asc".
Например, актуальная версия Установочного Пакета для ОС Windows:
<package-win32-bundle-stable-sig>.</p>

<p>Эти .asc файлы являются подписями PGP. Они позволяют верифицировать
скаченный вами файл, то есть определить скачали ли вы то, что хотели.</p>

<p>Конечно, вам придется добавить наши pgp ключи в ваш набор ключей: если вы не
имеете ключ pgp, вы не можете быть уверенны, что это мы, а не кто-то другой,
подписали этот файл. Ниже приведен список ключей, которые мы используем для
подписей:</p>
<ul>
<li>Ключ Роджера (0x28988BF5) обычно подписывает файлы с исходным кодом.</li>
<li>Ключ Ника (0x165733EA, и его дополнительный ключ 0x8D29319A)</li>
<li>Ключ Эндрю (0x31B0974B)</li>
<li>Ключ Петера (0x94C09C7F, и его дополнительный ключ 0xAFA44BDD)</li>
<li>Ключ Мэтта (0x5FA14861)</li>
<li>Ключ Якоба (0x9D0FACE4)</li>
<li>Erinn's (0x63FEE659) and (0xF1F5C9B5)</li>
</ul>

<h3>Шаг первый: Импорт ключей</h3>
<hr />
<p>Вы можете напрямую импортировать ключи в GnuPG:</p>

<pre>gpg --keyserver subkeys.pgp.net --recv-keys 0x28988BF5 (получить ключи 0x28988BF5 на сервере subkeys.pgp.net)</pre>

<p>или искать ключи</p>

<pre>gpg --keyserver subkeys.pgp.net --search-keys 0x28988BF5 (искать ключи subkeys.pgp.net на сервере subkeys.pgp.net)</pre>

<p>и когда вы выберете один, он будет добавлен к вашему набору ключей.</p>

<h3>Шаг второй: Верификация отпечатков</h3>
<hr />
<p>Проверьте pgp отпечатки, используя:</p>
<pre>gpg --fingerprint (сюда вставьте идентификационный ключ - keyid)</pre>
Отпечатки для ключей должны быть такими:

<pre>
pub   1024D/28988BF5 2000-02-27
      Key fingerprint = B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
uid                  Roger Dingledine &lt;arma@mit.edu&gt;

pub   3072R/165733EA 2004-07-03
      Key fingerprint = B35B F85B F194 89D0 4E28  C33C 2119 4EBB 1657 33EA
uid                  Nick Mathewson &lt;nickm@alum.mit.edu&gt;
uid                  Nick Mathewson &lt;nickm@wangafu.net&gt;
uid                  Nick Mathewson &lt;nickm@freehaven.net&gt;

pub  1024D/31B0974B 2003-07-17
     Key fingerprint = 0295 9AA7 190A B9E9 027E  0736 3B9D 093F 31B0 974B
uid                  Andrew Lewman (phobos) &lt;phobos@rootme.org&gt;
uid                  Andrew Lewman &lt;andrew@lewman.com&gt;
uid                  Andrew Lewman &lt;andrew@torproject.org&gt;
sub   4096g/B77F95F7 2003-07-17

pub   1024D/94C09C7F 1999-11-10
      Key fingerprint = 5B00 C96D 5D54 AEE1 206B  AF84 DE7A AF6E 94C0 9C7F
uid                  Peter Palfrader
uid                  Peter Palfrader &lt;peter@palfrader.org&gt;
uid                  Peter Palfrader &lt;weasel@debian.org&gt;

pub   1024D/5FA14861 2005-08-17
      Key fingerprint = 9467 294A 9985 3C9C 65CB  141D AF7E 0E43 5FA1 4861
uid                  Matt Edman &lt;edmanm@rpi.edu&gt;
uid                  Matt Edman &lt;Matt_Edman@baylor.edu&gt;
uid                  Matt Edman &lt;edmanm2@cs.rpi.edu&gt;
sub   4096g/EA654E59 2005-08-17

pub   1024D/9D0FACE4 2008-03-11 [expires: 2010-03-11]
      Key fingerprint = 12E4 04FF D3C9 31F9 3405  2D06 B884 1A91 9D0F ACE4
uid                  Jacob Appelbaum &lt;jacob@appelbaum.net&gt;
sub   4096g/D5E87583 2008-03-11 [expires: 2010-03-11]
</pre>

<p>(Конечно, если вы хотите действительно удостовериться, что они настоящие,
вам нужно проверить это в нескольких местах или даже вплотную заняться
ключами подписей  и выстроить достоверный маршрут (trust path) к этим
ключам.)</p>

<h3>Шаг третий: Верификация скаченного установочного пакета</h3>
<hr />
<p>Если вы используете GnuPG, тогда скопируйте .asc и скаченный файл в одну
папку и введите "gpg --verify (whatever).asc (whatever)". В ответ программа
выдаст что-то вроде "Хорошая подпись" (Good signature) или "Плохая подпись"
(BAD signature), по следующему образцу:</p>

<pre>
gpg --verify tor-0.1.0.17.tar.gz.asc tor-0.1.0.17.tar.gz
(верификация Tor версии) gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
(подписано, дата, время... с использованием идентификационного ключа)gpg: Good signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
(Хорошая подпись Роджера Динглдайна)gpg:                 aka "Roger Dingledine &lt;arma@mit.edu&gt;"
(ака: ...)gpg: WARNING: This key is not certified with a trusted signature!
(ПРЕДУПРЕЖДЕНИЕ: Этот ключ не сертифицирован достоверной подписью)gpg:          There is no indication that the signature belongs to the owner.
(Нет указаний на то, что подпись принадлежит владельцу)Primary key fingerprint: B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
(Первичный отпечаток ключа)</pre>

<p>
Обратите внимание на то, что вышло предупреждение, так как вы не приписали
этому пользователю доверенный индекс. Это означает, что ваша программа
верифицировала ключ, которым была сделана подпись. Пользователь должен
самостоятельно решить, принадлежит ли этот ключ разработчикам. Для этого
лучше всего встретиться с ними лично и обменяться отпечатками pgp. Ключи
тоже могут быть подписаны. Если вы просмотрите на ключи Роджера или Ника,
другие люди отметили их как "мы проверили, это Роджер/Ник". Так что если вы
доверяете этой третьей стороне, тогда у вас есть определенное доверие к
этому нику.
</p>

<p>Это означает, что вы можете либо проигнорировать это сообщение, либо указать
уровень доверия.</p>

<p>Для вашей справки, это пример <em>ПЛОХОЙ</em> верификации. Приведенные ниже
данные означают, что подпись и содержание файла не соответствуют:</p>

<pre>
gpg --verify tor-0.1.0.17.tar.gz.asc
 (верификация Tor версии...)gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
 (Подписано, дата, время... с использованием ключа...)gpg: BAD signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
 (ПЛОХАЯ подпись...)</pre>

<p>Если вы видите сообщение аналогичное вышеприведенному, вам не стоит доверять
содержимому файла.</p>

<p>Если вы используете Tor в системе Debian вам стоит прочитать инструкции по<a
href="<page docs/debian>#packages">правильному импорту этих ключей</a>.</p>

</div>

#include <foot.wmi>

tor-webwml.git

if we're going to rely on the footer, then actually attach it.