NAME
apt-secure - Gestion de l'authentification d'archive avec APT
Depuis sa version 0.6, apt sait vrifier la signature du fichier Release
de chaque archive. On s'assure ainsi que les paquets de cette archive
ne peuvent pas tre modifis par quelqu'un qui ne possde pas la cl de la
signature du fichier Release.
Quand un paquet provient d'une archive sans signature ou d'une archive
avec une signature dont apt ne possde pas la cl, ce paquet n'est pas
considr comme fiable et son installation provoquera un avertissement.
Pour l'instant, apt-get ne signale que les archives sans signature ;
les prochaines versions pourraient rendre obligatoire la vrification
des sources avant tout tlchargement de paquet.
Les interfaces apt-get(8), aptitude(8) et synaptic(8) possdent cette
nouvelle fonction de certification.
TRUSTED ARCHIVES
D'une archive apt jusqu' l'utilisateur, la confiance se construit en
plusieurs tapes. Apt-secure est la dernire tape. Faire confiance une
archive ne signifie pas que les paquets qu'elle contient sont exempts
de code malveillant, mais signifie que vous faites confiance au
responsable de l'archive. C'est ensuite au responsable de l'archive de
faire en sorte que l'archive soit fiable.
Apt-secure n'examine pas la signature d'un paquet. Certains programmes
peuvent le faire comme debsig-verify ou debsign, qu'on peut trouver
dans les paquets debsig-verify et devscripts.
La chane de confiance dans Debian commence quand un responsable de
paquet envoie un nouveau paquet ou une nouvelle version d'un paquet
dans l'archive. Cet envoi, pour tre effectif, doit tre sign avec la cl
d'un responsable qui se trouve dans le trousseau des responsables
Debian (disponible dans le paquet debian-keyring). Les cls des
responsables de paquet sont signes par d'autres responsables, suivant
des procdures prtablies pour s'assurer de l'identit des propritaires de
la cl.
Une fois que le paquet envoy a t vrifi et inclus dans l'archive, la
signature du responsable est enleve, une somme MD5 du paquet est
calcule et mise dans le fichier Packages. Une somme MD5 de tous les
paquets est ensuite calcule et mise dans le fichier Release. Ce fichier
est sign par la cl de l'archive. Cette cl, qui est recre chaque anne,
est distribue par le serveur FTP. Elle se trouve aussi dans le
trousseau Debian.
Un utilisateur peut consulter la signature du fichier Release, extraire
la somme MD5 d'un paquet et la comparer avec la somme du paquet qu'il a
tlcharg. Avant la version 0.6, seule la somme du paquet tlcharg tait
vrifie. Maintenant on peut vrifier aussi la signature du fichier
Release.
Cette faon de faire est diffrente d'une vrification de la signature
d'un paquet. Elle vise empcher deux types d'attaque possibles :
o Attaque rseau de type "homme au milieu". Sans vrification de
signature, quelqu'un de malveillant peut s'introduire au milieu du
processus de tlchargement et insrer du code soit en contrlant un
lment du rseau, routeur, commutateur, etc. soit en dtournant le
trafic vers un serveur fourbe (par usurpation d'adresses).
o Attaque par compromission d'un miroir sur le rseau. Sans
vrification de signature, quelqu'un de malveillant peut
compromettre un miroir et modifier les fichiers. Ainsi tous ceux
qui tlchargent les paquets de ce miroir propagent du code
malveillant.
Cependant cette mthode ne protge pas contre une compromission du
serveur Debian lui-mme (qui signe les paquets) ni contre la
compromission de la cl qui sert signer les fichiers Release. Mais elle
peut complter la signature des paquets.
CONFIGURATION UTILISATEUR
Le programme qui gre la liste des cls utilises par apt s'appelle
apt-key. Il peut ajouter ou supprimer des cls. Cette version installe
automatiquement les cls qui servent signer l'archive Debian et les
diffrents rpertoires de paquets.
Pour ajouter une cl, vous devez d'abord la tlcharger. Il vaut mieux
utiliser un canal fiable pour ce tlchargement. Ensuite vous l'ajoutez
avec la commande apt-key et vous lancez la commande apt-get update pour
tlcharger et vrifier le fichier Release.gpg de l'archive que vous avez
configure.
CONFIGURATION D'UNE ARCHIVE
Si vous voulez signer les archives dont vous avez la responsabilit,
vous devez :
o crer un fichier Release la racine de l'archive, s'il n'existe pas
dj. Vous pouvez le crer avec la commande apt-ftparchive release
(fournie dans le paquet apt-utils).
o le signer, avec la commande gpg -abs -o Release.gpg Release.
o publier l'empreinte de la cl. Ainsi les utilisateurs de votre
archive connatront la cl qu'ils doivent importer pour authentifier
les fichiers de l'archive.
Chaque fois que le contenu de l'archive change, le responsable doit
refaire les deux premires tapes.
VOIR AUSSI
apt.conf(5), apt-get(8), sources.list(5), apt-key(8), apt-
ftparchive(1), debsign(1) debsig-verify(1), gpg(1)
Pour des informations plus compltes, vous pouvez consulter
l'infrastructure debian pour la scurit[1] un chapitre du manuel Debian
sur la scurit (disponible dans le paquet harden-doc) et le Strong
Distribution HOWTO[2] par V. Alex Brennen.
BOGUES
Page des bogues d'APT[3]. Si vous souhaitez signaler un bogue propos
d'APT, veuillez lire /usr/share/doc/debian/bug-reporting.txt ou
utiliser la commande reportbug(1).
AUTHOR
APT a t crit par l'quipe de dveloppement APT apt@packages.debian.org.
AUTEURS DES PAGES DE MANUEL
Cette page a t crite partir des travaux de Javier Fernndez-Sanguino
Pea, Isaac Jones, Colin Walters, Florian Weimer et Michael Vogt.
TRADUCTEURS
Jrme Marant, Philippe Batailler, Christian Perrier bubulle@debian.org
(2000, 2005, 2009, 2010), quipe de traduction francophone de Debian
debian-l10n-french@lists.debian.org
Veuillez noter que cette traduction peut contenir des parties non
traduites Cela est volontaire, pour viter de perdre du contenu quand la
traduction est lgrement en retard sur le contenu d'origine.
AUTHOR
Jason Gunthorpe
COPYRIGHT
Copyright (C) 1998-2001 Jason Gunthorpe
NOTES
1. l'infrastructure debian pour la scurit
http://www.debian.org/doc/manuals/securing-debian-howto/ch7.en.html
2. Strong Distribution HOWTO
http://www.cryptnet.net/fdp/crypto/strong_distro.html
3. Page des bogues d'APT
http://bugs.debian.org/src:apt