/usr/share/doc/aptitude/html/fr/ch02s02s05.html is in aptitude-doc-fr 0.6.11-1.
This file is owned by root:root, with mode 0o644.
The actual contents of the file can be viewed below.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 | <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8"><title>Qu'est-ce que la confiance en matière de gestion des paquets ?</title><link rel="stylesheet" type="text/css" href="aptitude.css"><meta name="generator" content="DocBook XSL Stylesheets V1.78.1"><link rel="home" href="index.html" title="Manuel de l'utilisateur d'aptitude"><link rel="up" href="ch02s02.html" title="Gérer les paquets"><link rel="prev" href="ch02s02s04.html" title="Télécharger, installer et supprimer des paquets"><link rel="next" href="ch02s02s06.html" title="Gérer les paquets automatiquement installés"><link rel="preface" href="pr01.html" title="Introduction"><link rel="chapter" href="ch01.html" title="Chapitre 1. Démarrage rapide"><link rel="chapter" href="ch02.html" title="Chapitre 2. Guide de référence d'aptitude"><link rel="chapter" href="ch03.html" title="Chapitre 3. Foire aux questions sur aptitude"><link rel="chapter" href="ch04.html" title="Chapitre 4. Crédits"><link rel="reference" href="rn01.html" title="Référence de l'interface en ligne de commande"><link rel="refentry" href="rn01re01.html" title="aptitude"><link rel="refentry" href="rn01re02.html" title="aptitude-create-state-bundle"><link rel="refentry" href="rn01re03.html" title="aptitude-run-state-bundle"><link rel="subsection" href="ch02s02s05.html#idp62535792" title="Comprendre la confiance"><link rel="subsection" href="ch02s02s05.html#idp62552704" title="Faire confiance à d'autres clés"></head><body bgcolor="white" text="black" link="#0000FF" vlink="#840084" alink="#0000FF"><div class="navheader"><table width="100%" summary="Navigation header"><tr><th colspan="3" align="center">Qu'est-ce que la confiance en matière de gestion des paquets ?</th></tr><tr><td width="20%" align="left"><a accesskey="p" href="ch02s02s04.html"><img src="images/prev.gif" alt="Précédent"></a> </td><th width="60%" align="center">Gérer les paquets</th><td width="20%" align="right"> <a accesskey="n" href="ch02s02s06.html"><img src="images/next.gif" alt="Suivant"></a></td></tr></table><hr></div><div class="section"><div class="titlepage"><div><div><h3 class="title"><a name="secTrust"></a>Qu'est-ce que la confiance en matière de gestion des paquets ?</h3></div></div></div><div class="toc"><dl class="toc"><dt><span class="section"><a href="ch02s02s05.html#idp62535792">Comprendre la confiance</a></span></dt><dt><span class="section"><a href="ch02s02s05.html#idp62552704">Faire confiance à d'autres clés</a></span></dt></dl></div><p>
La possibilité pour <code class="systemitem">apt</code> d'accéder à de nombreuses sources de paquets
conduit à un risque potentiel en matière de sécurité. Supposons que vous
ajoutiez une archive publiée par Jean-Kevin Lepirate à votre fichier
<code class="filename">sources.list</code> afin d'installer le paquet
<code class="systemitem">ubersuper</code> de Jean-Kevin. Il est possible que
l'archive de Jean-Kevin contienne aussi ses propres versions
<span class="quote">« <span class="quote">personnalisées</span> »</span> de paquets comme
<code class="systemitem">libc6</code> ou <code class="systemitem">ssh</code>... et ces
versions vont voler vos informations personnelles ou ouvrir des portes
dérobées sur votre système ! Si ces paquets ont un numéro de version
supérieur à ceux des paquets Debian légitimes, <code class="systemitem">apt</code> les installera sur
votre système à la prochaine mise à jour, sans se soucier de rien,
permettant à Jean-Kevin de faire sa sale besogne dans votre dos. Jean-Kevin
pourrait aussi modifier votre miroir des archives Debian et remplacer les
logiciels légitimes par ses versions corrompues.
</p><p>
Heureusement, les nouvelles versions d'<code class="systemitem">apt</code> et d'<span class="command"><strong>aptitude</strong></span>, comme celle
qui est documentée dans ce manuel, intègrent des mécanismes de protection
pour contrer ce genre d'attaque. <code class="systemitem">apt</code> utilise de puissants mécanismes de
sécurité basés sur le célèbre logiciel de chiffrement <a class="ulink" href="http://www.gnupg.org/" target="_top">GPG</a> pour vérifier que les paquets qui
sont distribués depuis les miroirs officiels Debian sont bien les mêmes que
ceux qui ont été envoyés par les responsables de paquets Debian. <span class="command"><strong>aptitude</strong></span>
vous avertira alors si vous tentez d'installer un paquet depuis une source
non-Debian, ou si vous tentez de mettre à jour un paquet provenant d'une
source Debian vers une version qui ne vient pas d'une source Debian.
</p><div class="warning" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Warning"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Avertissement]" src="images/warning.png"></td><th align="left">Avertissement</th></tr><tr><td align="left" valign="top"><p>
Les mécanismes de sécurité d'<code class="systemitem">apt</code> fournissent une garantie presque totale
que le contenu de votre miroir est identique au contenu de l'archive Debian
principale. Néanmoins, ce n'est pas une panacée. Par exemple, il existe
théoriquement de nombreuses façons de mettre un paquet corrompu dans
l'archive Debian principale.
</p><p>
S'assurer que vous n'installez des logiciels que depuis des sources fiables
vous apportera un degré important de protection contre les paquets
malveillants, mais ça ne peut pas éliminer tous les risques inhérents à
l'installation de logiciels.
</p></td></tr></table></div><div class="section"><div class="titlepage"><div><div><h4 class="title"><a name="idp62535792"></a>Comprendre la confiance</h4></div></div></div><p>
<code class="systemitem">apt</code> permet à l'administrateur d'une archive de fournir une
<em class="firstterm">signature</em> de l'index de l'archive. Cette signature,
qui (pour des raisons pratiques) ne peut pas être falsifiée, indique que les
fichiers indiqués dans l'index sont bien ceux que l'administrateur avait
l'intention de mettre dans l'archive : c'est-à-dire que le contenu de
l'archive n'a pas été corrompue depuis sa création<a href="#ftn.idp62525536" class="footnote" name="idp62525536"><sup class="footnote">[9]</sup></a>. La signature peut être vérifiée en s'assurant
qu'elle correspond à la <em class="firstterm">clé publique</em> de
l'administrateur. La clé publique de l'archive Debian est distribuée avec
<code class="systemitem">apt</code>, typiquement sur votre CD Debian.
</p><p>
Quand <span class="command"><strong>aptitude</strong></span> télécharge l'index d'une archive, il vérifie si l'index est
bien signé. S'il ne l'est pas, <span class="command"><strong>aptitude</strong></span> ne fera pas confiance aux paquets
de cette archive (voir plus bas pour savoir ce que cela signifie). S'il a
une signature mais que celle-ci est incorrecte ou ne peut être vérifiée, un
avertissement sera affiché et <span class="command"><strong>aptitude</strong></span> refusera de faire confiance aux
paquets de cette archive.
</p><p>
Plus tard, quand vous lancerez un <a class="link" href="ch02s02s04.html" title="Télécharger, installer et supprimer des paquets">processus
d'installation</a>, <span class="command"><strong>aptitude</strong></span> vérifiera si les paquets viennent de
sources fiables. Si un paquet douteux est sur le point d'être installé, ou
si un paquet est mis à jour d'une version fiable vers une version non
fiable, un avertissement est affiché et vous avez la possibilité
d'interrompre le téléchargement :
</p><div class="screenshot"><div class="mediaobject"><table border="0" summary="manufactured viewport for HTML img" style="cellpadding: 0; cellspacing: 0;" width="100%"><tr><td><img src="images/trust-snapshot.png" width="100%"></td></tr></table><div class="longdesc-link" align="right"><br clear="all"><span class="longdesc-link">[<a href="ld-idp62547232.html" target="longdesc">D</a>]</span></div></div></div></div><div class="section"><div class="titlepage"><div><div><h4 class="title"><a name="idp62552704"></a>Faire confiance à d'autres clés</h4></div></div></div><p>
Il peut être pratique de faire en sorte qu'<code class="systemitem">apt</code> fasse confiance à d'autres
archives, en plus de l'archive Debian principale. Pour chaque archive à
laquelle vous voulez faire confiance, vous devez récupérer la clé publique
utilisée pour signer l'index des paquets de cette archive. C'est
habituellement un fichier texte dont le nom finit par
<code class="filename">.asc</code>. Il doit être fourni par l'administrateur du
serveur ou téléchargeable depuis un serveur de clés publiques. Pour plus
d'information sur ce que sont les clés publiques et comment les récupérer,
consultez la <a class="ulink" href="http://www.gnupg.org" target="_top">page web de GPG</a>.
</p><p>
La liste des clés auxquelles <code class="systemitem">apt</code> fait confiance est stockée dans le
<em class="firstterm">fichier porte-clés</em>
<code class="filename">/etc/apt/trusted.gpg</code>. Une fois que vous avez la clé
GPG, vous pouvez l'ajouter à ce fichier en exécutant la commande
<span class="command"><strong>gpg --no-default-keyring --keyring /etc/apt/trusted.gpg --import
<em class="replaceable"><code>nouvelleclef.asc</code></em></strong></span>. <span class="command"><strong>aptitude</strong></span> fera alors
confiance à toutes les archives signées avec la clé contenue dans
<code class="filename">nouvelleclef.asc</code>.
</p><div class="warning" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Warning"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Avertissement]" src="images/warning.png"></td><th align="left">Avertissement</th></tr><tr><td align="left" valign="top"><p>
Une fois que la clé d'une archive a été ajoutée au porte-clés d'<code class="systemitem">apt</code>, il
lui sera accordé autant de confiance qu'aux miroirs Debian eux-mêmes !
Vous ne devriez faire cela que si vous êtes <span class="emphasis"><em>absolument</em></span>
sûr que la clé que vous ajoutez est la bonne <span class="emphasis"><em>et</em></span> que la
personne qui détient cette clé est à la fois fiable et compétente.
</p></td></tr></table></div></div><div class="footnotes"><br><hr style="width:100; text-align:left;margin-left: 0"><div id="ftn.idp62525536" class="footnote"><p><a href="#idp62525536" class="para"><sup class="para">[9] </sup></a>Comme indiqué plus haut, cela <span class="emphasis"><em>n'</em></span>indique
<span class="emphasis"><em>pas</em></span> que les paquets dans l'archive sont sûrs ou non
malveillants ; cela montre simplement qu'ils sont d'origine.</p></div></div></div><div class="navfooter"><hr><table width="100%" summary="Navigation footer"><tr><td width="40%" align="left"><a accesskey="p" href="ch02s02s04.html"><img src="images/prev.gif" alt="Précédent"></a> </td><td width="20%" align="center"><a accesskey="u" href="ch02s02.html"><img src="images/up.gif" alt="Niveau supérieur"></a></td><td width="40%" align="right"> <a accesskey="n" href="ch02s02s06.html"><img src="images/next.gif" alt="Suivant"></a></td></tr><tr><td width="40%" align="left" valign="top">Télécharger, installer et supprimer des paquets </td><td width="20%" align="center"><a accesskey="h" href="index.html"><img src="images/home.gif" alt="Sommaire"></a></td><td width="40%" align="right" valign="top"> Gérer les paquets automatiquement installés</td></tr></table></div></body></html>
|