git.schokokeks.org
Repositories
Help
Report an Issue
tor-webwml.git
Code
Commits
Branches
Tags
Suche
Strukturansicht:
b52011811
Branches
Tags
bridges
docs-debian
jobs
master
press-clips
tor-webwml.git
pl
verifying-signatures.wml
Mainetance/polish translation update.
Bogdan Drozdowski
commited
b52011811
at 2009-07-16 18:17:23
verifying-signatures.wml
Blame
History
Raw
## translation metadata # Based-On-Revision: 20019 # Translation-Priority: 2-medium # Last-Translator: bogdandr_at_op . pl #include "head.wmi" TITLE="Weryfikacja Podpisów" CHARSET="UTF-8" <div class="main-column"> <h2>Jak weryfikować podpisy paczek</h2> <hr /> <p>Każdemu plikowi na <a href="<page download>">naszej stronie pobierania</a> towarzyszy plik z tą samą nazwą co paczka i rozszerzeniem ".asc". Na przykład aktualna paczka instalacyjna dla Windows: <package-win32-bundle-stable-sig>.</p> <p>Pliki .asc to podpisy PGP. Pozwalają zweryfikować, że plik, który pobraliście, to dokładnie ten sam plik, który my wystawiliśmy do pobierania.</p> <p>Oczywiście, musicie mieć nasze klucze PGP w swojej bazie kluczy: jeśli nie znacie klucza, nie możecie być pewni, że to naprawdę my podpisujemy. Klucze używane przez nas do podpisu to klucze:</p> <ul> <li>Rogera (0x28988BF5) zazwyczaj podpisuje plik z kodem źródłowym.</li> <li>Nicka (0x165733EA, lub jego podklucz 0x8D29319A)</li> <li>Andrzeja (0x31B0974B)</li> <li>Petera (0x94C09C7F, lub jego podklucz 0xAFA44BDD)</li> <li>Matta (0x5FA14861)</li> <li>Jacoba (0x9D0FACE4)</li> </ul> <h3>Krok pierwszy: Import kluczy</h3> <hr /> <p>Możecie importować klucze także bezpośrednio z GnuPG:</p> <pre>gpg --keyserver subkeys.pgp.net --recv-keys 0x28988BF5</pre> <p>lub szukać kluczy, wykonując</p> <pre>gpg --keyserver subkeys.pgp.net --search-keys 0x28988BF5</pre> <p>a gdy wybierzecie jeden, zostanie on dodany do Waszej bazy kluczy.</p> <h3>Krok drugi: Sprawdzenie "odcisków palców" (skrótów) kluczy</h3> <hr /> <p>Sprawdźcie odciski palców za pomocą:</p> <pre>gpg --fingerprint (tu id klucza)</pre> Odciski palców kluczy powinny być następujące: <pre> pub 1024D/28988BF5 2000-02-27 Key fingerprint = B117 2656 DFF9 83C3 042B C699 EB5A 896A 2898 8BF5 uid Roger Dingledine <arma@mit.edu> pub 3072R/165733EA 2004-07-03 Key fingerprint = B35B F85B F194 89D0 4E28 C33C 2119 4EBB 1657 33EA uid Nick Mathewson <nickm@alum.mit.edu> uid Nick Mathewson <nickm@wangafu.net> uid Nick Mathewson <nickm@freehaven.net> pub 1024D/31B0974B 2003-07-17 Key fingerprint = 0295 9AA7 190A B9E9 027E 0736 3B9D 093F 31B0 974B uid Andrew Lewman (phobos) <phobos@rootme.org> uid Andrew Lewman <andrew@lewman.com> uid Andrew Lewman <andrew@torproject.org> sub 4096g/B77F95F7 2003-07-17 pub 1024D/94C09C7F 1999-11-10 Key fingerprint = 5B00 C96D 5D54 AEE1 206B AF84 DE7A AF6E 94C0 9C7F uid Peter Palfrader uid Peter Palfrader <peter@palfrader.org> uid Peter Palfrader <weasel@debian.org> pub 1024D/5FA14861 2005-08-17 Key fingerprint = 9467 294A 9985 3C9C 65CB 141D AF7E 0E43 5FA1 4861 uid Matt Edman <edmanm@rpi.edu> uid Matt Edman <Matt_Edman@baylor.edu> uid Matt Edman <edmanm2@cs.rpi.edu> sub 4096g/EA654E59 2005-08-17 pub 1024D/9D0FACE4 2008-03-11 [expires: 2010-03-11] Key fingerprint = 12E4 04FF D3C9 31F9 3405 2D06 B884 1A91 9D0F ACE4 uid Jacob Appelbaum <jacob@appelbaum.net> sub 4096g/D5E87583 2008-03-11 [expires: 2010-03-11] </pre> <p>(Oczywiście, jeśli chcecie być naprawdę pewni, że to są nasze prawdziwe klucze, powinniście sprawdzić to w innych miejscach lub, nawet lepiej, wejść w podpisywanie kluczy i zbudować ścieżkę zaufania do tych kluczy.)</p> <h3>Krok trzeci: weryfikacja pobranej paczki</h3> <hr /> <p>Jeśli używacie GnuPG, pobierzcie plik .asc i ściągany w tym samym katalogu i wpiszcie "gpg --verify (nazwa).asc (nazwa)". Wyświetli się coś w postaci "Good signature" ("Prawidłowy podpis") lub "BAD signature" ("NIEPRAWIDŁOWY podpis") po tym typie komendy:</p> <pre> gpg --verify tor-0.1.0.17.tar.gz.asc tor-0.1.0.17.tar.gz gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5 gpg: Good signature from "Roger Dingledine <arma@mit.edu>" gpg: aka "Roger Dingledine <arma@mit.edu>" gpg: WARNING: This key is not certified with a trusted signature! gpg: There is no indication that the signature belongs to the owner. Primary key fingerprint: B117 2656 DFF9 83C3 042B C699 EB5A 896A 2898 8BF5 </pre> <p> Zauważcie, że pojawia się ostrzeżenie, gdyż nie określiliście stopnia zaufania do tego użytkownika. Znaczy to, że program zweryfikował, że ten podpis został wykonany tym kluczem. To od użytkownika zależy decydowanie, czy ten klucz rzeczywiście należy do deweloperów. Najlepszym sposobem jest spotkanie się z nimi osobiście i wymiana odcisków palców kluczy GPG. Klucze też mogą być podpisywane. Jeśli sprawdzicie klucze Rogera lub Nicka, zobaczycie, że inni poświadczyli "sprawdziliśmy, że to jest Roger/Nick". Więc jeśli ufasz tej osobie trzeciej, masz stopień zaufania do arma/nick. </p> <p>Wszystko to znaczy, że możesz zignorować tę wiadomość lub przyznać poziom zaufania.</p> <p>Do Waszej wiadomości, oto jest przykład <em>NIEPRAWIDŁOWEJ</em> (nieudanej) weryfikacji. Oznacza ona, że podpis i zawartość pliku nie pasują:</p> <pre> gpg --verify tor-0.1.0.17.tar.gz.asc gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5 gpg: BAD signature from "Roger Dingledine <arma@mit.edu>" </pre> <p>Jeśli zobaczycie taką wiadomość, nie powinniście ufać zawartości pliku.</p> <p>Jeśli używacie Tora na Debianie, powinniście przeczytać instrukcje o <a href="<page docs/debian>#packages">importowaniu tych kluczy do programu apt</a>.</p> </div><!-- #main --> #include <foot.wmi>