Clefs GPG non valide et mirroir debian

Support Debian
#1

bonjour,

Petit nouveau sur le forum, j’ai un problème avec mon mirroir debian synchronisé sur ftp.nerim.net je charge depuis quelque mois la stable et la testing avec la clef GPG 2D230C5F et depuis le 23 novembre 2006 je n’arrive plus a charger la testing (oui la stable passe sans problème)

J’utilise debmirror sur une debian stable avec les paramètres suivants :
su mirror -c “debmirror -v /var/ftp/mirror/debian --progress --nosource --host=ftp.nerim.net --root=/debian --dist=stable,testing --section=main,contrib,non-free --arch=i386 --passive --cleanup”

Voici les logs quand je charge la stable :
Tue Nov 28 22:00:01 CET 2006
Mirroring to /var/ftp/mirror/debian from ftp://anonymous:ftp.nerim.net//debian/
Arches: i386
Dists: stable
Sections: main,contrib,non-free
Passive mode on.
Attempting to get lock, this might take 2 minutes before it fails.
Get Release files.
[0%] Getting: dists/stable/Release #
[0%] Getting: dists/stable/Release.gpg #
gpg: Signature made Sat Oct 28 22:48:46 2006 CEST using DSA key ID 2D230C5F
gpg: Good signature from "Debian Archive Automatic Signing Key (2006) ftpmaster@debian.org"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
Get Packages and Sources files and other miscellany.
Parse Packages and Sources files and add to the file list everything therein.
Cleanup mirror.
Download all files that we need to get (1 MiB).
Downloaded files in 4s
Everything OK. Moving meta files.
All done.

et voici les logs quand je charge la testing et la stable :
mer nov 29 11:01:33 CET 2006
Mirroring to /var/ftp/mirror/debian from ftp://anonymous:ftp.nerim.net//debian/
Arches: i386
Dists: stable,testing
Sections: main,contrib,non-free
Passive mode on.
Attempting to get lock, this might take 2 minutes before it fails.
Get Release files.
[0%] Getting: dists/stable/Release #
[0%] Getting: dists/stable/Release.gpg #
gpg: Signature faite le sam 28 oct 2006 22:48:46 CEST avec la clé DSA ID 2D230C5F
gpg: Bonne signature de « Debian Archive Automatic Signing Key (2006) ftpmaster@debian.org »
gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.
Empreinte de clé principale: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
[0%] Getting: dists/testing/Release #
[0%] Getting: dists/testing/Release.gpg #
gpg: Signature faite le mer 29 nov 2006 09:07:58 CET avec la clé DSA ID 2D230C5F
gpg: Bonne signature de « Debian Archive Automatic Signing Key (2006) ftpmaster@debian.org »
gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.
Empreinte de clé principale: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
gpg: Signature faite le mer 29 nov 2006 09:07:58 CET avec la clé DSA ID 6070D3A1
gpg: Impossible de vérifier la signature: clé publique non trouvée
Release signature does not verify.
Get Packages and Sources files and other miscellany.
dists/testing/main/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/main/binary-i386/Packages.gz #######################################################
dists/testing/main/binary-i386/Release needs fetch
[0%] Getting: dists/testing/main/binary-i386/Release #
dists/testing/contrib/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/contrib/binary-i386/Packages.gz #
dists/testing/contrib/binary-i386/Release needs fetch
[0%] Getting: dists/testing/contrib/binary-i386/Release #
dists/testing/non-free/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/non-free/binary-i386/Packages.gz #
dists/testing/non-free/binary-i386/Release needs fetch
[0%] Getting: dists/testing/non-free/binary-i386/Release #
Failed to download some Package, Sources, Contents or release files!
WARNING: releasing 1 pending lock…
Errors:
Release signature does not verify.

j’ai essayé sur ftp.fr.debian.org comme autre miroir et même problème, j’ai aussi ré-importé la clef 2D230C5F et aucun changement.

je ne comprend pas pourquoi et comme je suis pas spécialiste des clefs GPG … quelqu’un aurait’il une idée ???

merci d’avance de votre aide

#2

tu dis que tu as essayé d’ajouter la clé ? Tu as fait comment ?
As tu essayé d’adapter ça:
forum.debian-fr.org/viewtopic.php?t=2936
En utilisant 2D230C5F comme argument ?

#3

Code:
gpg --keyserver pgpkeys.mit.edu --recv-key 01234567
–> oui c’est bien la bonne commande avec le numéro de clef 2D230C5F

exportez cette clé dans le systême apt:
Code:
gpg -a --export 01234567 | sudo apt-key add -
–> le gpg -a --export 2D230C5F aussi mais je ne peux pas faire le apt-key add - car je n’ais pas la commande en stable…

#4

bon, j’ai regardé un peu, et apt-key est un petit script shell de 89 lignes que tu peux peut être utiliser (ou démonter pour faire l’opération à la main) quand même sur ta machine:

[code]#!/bin/sh

set -e

We don’t use a secret keyring, of course, but gpg panics and

implodes if there isn’t one available

GPG_CMD=“gpg --no-options --no-default-keyring --secret-keyring /etc/apt/secring.gpg --trustdb-name /etc/ap
t/trustdb.gpg"
GPG=”$GPG_CMD --keyring /etc/apt/trusted.gpg"

ARCHIVE_KEYRING=/usr/share/keyrings/debian-archive-keyring.gpg
REMOVED_KEYS=/usr/share/keyrings/debian-archive-removed-keys.gpg

update() {
if [ ! -f $ARCHIVE_KEYRING ]; then
echo >&2 "ERROR: Can’t find the archive-keyring"
echo >&2 "Is the debian-archive-keyring package installed?"
exit 1
fi

# add new keys
$GPG_CMD --quiet --batch --keyring $ARCHIVE_KEYRING --export | $GPG --ignore-time-conflict --import

# remove no-longer used keys
keys=`$GPG_CMD --keyring $REMOVED_KEYS --with-colons --list-keys|awk '/^pub/{FS=":";print $5}'`
for key in $keys; do
    if $GPG --list-keys --with-colons | awk '/^pub/{FS=":";print $5}'|grep -q $key; then
        $GPG --quiet --batch --delete-key --yes ${key}
    fi
done

}

usage() {
echo "Usage: apt-key [command] [arguments]"
echo
echo "Manage apt’s list of trusted keys"
echo
echo " apt-key add - add the key contained in (’-’ for stdin)"
echo " apt-key del - remove the key "
echo " apt-key update - update keys using the keyring package"
echo " apt-key list - list keys"
echo
}

command="$1"
if [ -z “$command” ]; then
usage
exit 1
fi
shift

if [ “$command” != “help” ] && ! which gpg >/dev/null 2>&1; then
echo >&2 "Warning: gnupg does not seem to be installed."
echo >&2 "Warning: apt-key requires gnupg for most operations."
echo >&2
fi

case “$command” in
add)
$GPG --quiet --batch --import "$1"
echo “OK”
;;
del|rm|remove)
$GPG --quiet --batch --delete-key --yes "$1"
echo “OK”
;;
update)
update
;;
list)
$GPG --batch --list-keys
;;
finger*)
$GPG --batch --fingerprint
;;
adv*)
echo "Executing: $GPG $"
$GPG $
;;
help)
usage
;;
*)
usage
exit 1
;;
esac[/code]

#5

Merci beaucoup de ton aide

j’ai testé avec le script il me renvoi OK

mais toujours le même message d’erreur, j’ai même changé de miroir (ftp2.fr.debian.org)

Attempting to get lock, this might take 2 minutes before it fails.
Get Release files.
[0%] Getting: dists/stable/Release #
[0%] Getting: dists/stable/Release.gpg #
gpg: Signature faite le sam 28 oct 2006 22:48:46 CEST avec la clé DSA ID 2D230C5F
gpg: Bonne signature de « Debian Archive Automatic Signing Key (2006) ftpmaster@debian.org »
gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.
Empreinte de clé principale: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
[0%] Getting: dists/testing/Release #
[0%] Getting: dists/testing/Release.gpg #
gpg: Signature faite le mer 29 nov 2006 09:07:58 CET avec la clé DSA ID 2D230C5F
gpg: Bonne signature de « Debian Archive Automatic Signing Key (2006) ftpmaster@debian.org »
gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.
Empreinte de clé principale: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
gpg: Signature faite le mer 29 nov 2006 09:07:58 CET avec la clé DSA ID 6070D3A1
gpg: Impossible de vérifier la signature: clé publique non trouvée
Failed to download some Package, Sources, Contents or release files!
WARNING: releasing 1 pending lock…
Release signature does not verify.
Get Packages and Sources files and other miscellany.
Errors:
Release signature does not verify.

Cette erreur est-elle normale ? gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.

faut-il une cle privée?

#6

J’ai testé le paquet gui-apt-key qui m’a vraiment simplifié la vie pour mettre à jour les clés.

Tu l’ouvres, tu indiques le n° de la clé qui te manque et tu la demandes, simple, efficace. :laughing:

#7

debian-archive-keyring et debian-keyring sont ils installés et mis à jour ?

#8

Bonjour,

tout d’abord merci de vos réponses

pour mattotop
oui le package debian-keyring semble à jour par contre je n’ais pas le package debian-archive-keyring (je suis en stable)

pour korben dallas
je suis en stable donc je n’ais pas ce paquet, et j’ai vu qu’il avait pas mal de dépendences …

#9

2 nouvelles pistes:

  • tu as bien fait ton ajout de clé au trousseau root ? pas au trousseau de ton utilisateur courant ?
  • as tu essayé l’option “update” de apt-key (je ne sais pas ce qu’elle fait, mais bon) ?
#10

oui j’ai fais la manip en tant que root

en fait la commande apt-key update semble avoir besoin du package archive-debian-keyring

/root/bin/apt-key update

ERROR: Can’t find the archive-keyring
Is the debian-archive-keyring package installed?

ou alors il faut mettre d’autres paramètres

#11

bon, ben alors là, je sèche.

#12

LOL

enfin non pas LOL moi aussi c’est bien là le problème je n’arrive pas a comprendre pourquoi le chargement de la stable se passe sans aucuns soucis et pourquoi la testing ne passe pas…

par contre autre question vu que dans mon debmirror initial je récupérais la stable et la testing dans la même commande et que du coup rien ne passais, j’ai dissocier les deux distrib en faisant deux lignes :

stable sur nerim

su mirror -c “debmirror -v /var/ftp/mirror/debian --progress --nosource --host=f
tp.nerim.net --root=/debian --dist=stable --section=main,contrib,non-free --arch
=i386 --passive --cleanup”

testing sur nerim

su mirror -c “debmirror -v /var/ftp/mirror/debian --progress --nosource --host=f
tp.nerim.net --root=/debian --dist=testing --section=main,contrib,non-free --arc
h=i386 --passive --cleanup”

du coup quand il charge la stable il supprime les fichiers de la testing qui va devoir après les rechargé il y a pas une subtilité pour éviter cela (au cas ou ça refonctionne un jour on ne sait jamais)

cf log :

Mirroring to /var/ftp/mirror/debian from ftp://anonymous:ftp.nerim.net//debian/
Arches: i386
Dists: stable
Sections: main,contrib,non-free
Passive mode on.
Attempting to get lock, this might take 2 minutes before it fails.
Get Release files.
[0%] Getting: dists/stable/Release #
[0%] Getting: dists/stable/Release.gpg #
gpg: Signature faite le sam 28 oct 2006 22:48:46 CEST avec la clé DSA ID 2D230C5
F
gpg: Bonne signature de « Debian Archive Automatic Signing Key (2006) <ftpmaster
@debian.org> »
gpg: ATTENTION: Cette clé n’est pas certifiée avec une signature de confiance !
gpg: Rien ne dit que la signature appartient à son propriétaire.
Empreinte de clé principale: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
Get Packages and Sources files and other miscellany.
Parse Packages and Sources files and add to the file list everything therein.
Cleanup mirror.
deleting .temp/dists/testing/Release
deleting .temp/dists/testing/Release.gpg
deleting .temp/dists/testing/main/binary-i386/Packages.gz
deleting .temp/dists/testing/main/binary-i386/Packages
deleting .temp/dists/testing/main/binary-i386/Packages.bz2
deleting .temp/dists/testing/main/binary-i386/Release
deleting .temp/dists/testing/contrib/binary-i386/Packages.gz
deleting .temp/dists/testing/contrib/binary-i386/Packages
deleting .temp/dists/testing/contrib/binary-i386/Packages.bz2
deleting .temp/dists/testing/contrib/binary-i386/Release
deleting .temp/dists/testing/non-free/binary-i386/Packages.gz
deleting .temp/dists/testing/non-free/binary-i386/Packages
deleting .temp/dists/testing/non-free/binary-i386/Packages.bz2
deleting .temp/dists/testing/non-free/binary-i386/Release
Download all files that we need to get (1 MiB).
Downloaded files in 4s
Everything OK. Moving meta files.
All done.
Mirroring to /var/ftp/mirror/debian from ftp://anonymous:ftp.nerim.net//debian/
Arches: i386
Dists: testing
Sections: main,contrib,non-free
Passive mode on.
Attempting to get lock, this might take 2 minutes before it fails.
Get Release files.
[0%] Getting: dists/testing/Release #
[0%] Getting: dists/testing/Release.gpg #
gpg: Signature made Wed Nov 29 21:07:19 2006 CET using DSA key ID 2D230C5F
gpg: Good signature from "Debian Archive Automatic Signing Key (2006) <ftpmaster
@debian.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 0847 50FC 01A6 D388 A643 D869 0109 0831 2D23 0C5F
gpg: Signature made Wed Nov 29 21:07:19 2006 CET using DSA key ID 6070D3A1
gpg: Can’t check signature: public key not found
Release signature does not verify.
Get Packages and Sources files and other miscellany.
dists/testing/main/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/main/binary-i386/Packages.gz ###############
########################################
dists/testing/main/binary-i386/Release needs fetch
[0%] Getting: dists/testing/main/binary-i386/Release #
dists/testing/contrib/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/contrib/binary-i386/Packages.gz #
dists/testing/contrib/binary-i386/Release needs fetch
[0%] Getting: dists/testing/contrib/binary-i386/Release #
dists/testing/non-free/binary-i386/Packages.gz needs fetch
[0%] Getting: dists/testing/non-free/binary-i386/Packages.gz #
dists/testing/non-free/binary-i386/Release needs fetch
[0%] Getting: dists/testing/non-free/binary-i386/Release #
Failed to download some Package, Sources, Contents or release files!
WARNING: releasing 1 pending lock…
Errors:
Release signature does not verify.
:smiley: