Salut à tous !
Même question que d’autres : où trouver la clef pour Debian-multimedia, si ce n’est sur le site ? Par ailleurs, lorsque la clef change, comment être certain d’être avertit avant que le changement de clef soit effectif – avec le paquet, au moins Aptitude le met-il à jour automatiquement. Plus largement, où dois-je trouver les différentes clefs des dépôts officiels ? Pour ma part, je ne sais les trouver qu’auprès du même fournisseur que la distribution elle-même.
Si le dépôt n’est pas corrompu au moment où on installe la clef, alors ensuite on peut s’assurer que les paquets installés sont authentiques – c’est-à-dire, qu’ils correspondent à la clef publique que l’on a désormais stockée sur sa propre machine. Je suis d’accord pour dire qu’il y a un peu plus de sécurité de récupérer la clef chez un tiers, car au moment de l’installation de la clef on sera averti si l’une des deux sources est corrompue, néanmoins passé cette étape, je ne vois pas ce que cela ajoute (je veux bien être détrompé). Bref, pour ce que j’en sais, les affirmations « ça ne sert à rien » et « cette façon de faire amoindrit notablement l’intérêt de signer les paquets » me semblent excessives.
Se passer des dépôts, pourquoi pas, mais il est délicat de se tenir au courant des mises à jour de tous les logiciels que l’on utilise, c’est même la raison pour laquelle est apparu le concept de distribution… De plus, comment puis-je être certain que les sources que j’ai téléchargées sont authentiques, sinon en passant par un système de signatures (et alors le problème est exactement le même) ?
À bientôt.
Le Farfadet Spatial
