GPG ce n’est pas juste un hash MD5. Ça ne sert pas qu’à vérifier que le téléchargement s’est bien passé, tu peux aussi évaluer ta confiance en la donnée que tu as récupérée. De fait, les signatures GPG des paquets des distribs te fournissent une bien meilleure confiance que celle que peut fournir une autorité de certification.
Note que dans le manuel Debian, la commande indiquée fait télécharger la clé en HTTP et demande à l’utilisateur de valider lui-même si la chaîne de confiance lui inspire réellement confiance. Tu peux utiliser le HTTPS pour obtenir la clé, mais le certificat utilisé est fourni par l’autorité de certification Debian (ca.debian.org) qui ne fait sûrement pas partie des tiennes.
Tu as donc fermé la boucle, il faut que le système dont tu disposes à l’instant t soit capable de vérifier l’authenticité du système que tu veux installer à t + 1. Si tu as une Debian à ta portée, c’est simple. Tu voudrais pouvoir faire confiance à ton Windows acheté en magasin, mais il n’y a pas de raison à cela. Dans ce cas achète une Debian en ligne et tu auras la même confiance que celle que tu aurais en ton CD de Windows.
[^] # Re: HTTPS
Posté par jyes . En réponse à la dépêche Du chiffrement et de la sécurité sur LinuxFr.org (statut au 24/11/2013). Évalué à 4.
GPG ce n’est pas juste un hash MD5. Ça ne sert pas qu’à vérifier que le téléchargement s’est bien passé, tu peux aussi évaluer ta confiance en la donnée que tu as récupérée. De fait, les signatures GPG des paquets des distribs te fournissent une bien meilleure confiance que celle que peut fournir une autorité de certification.
Note que dans le manuel Debian, la commande indiquée fait télécharger la clé en HTTP et demande à l’utilisateur de valider lui-même si la chaîne de confiance lui inspire réellement confiance. Tu peux utiliser le HTTPS pour obtenir la clé, mais le certificat utilisé est fourni par l’autorité de certification Debian (ca.debian.org) qui ne fait sûrement pas partie des tiennes.
Tu as donc fermé la boucle, il faut que le système dont tu disposes à l’instant t soit capable de vérifier l’authenticité du système que tu veux installer à t + 1. Si tu as une Debian à ta portée, c’est simple. Tu voudrais pouvoir faire confiance à ton Windows acheté en magasin, mais il n’y a pas de raison à cela. Dans ce cas achète une Debian en ligne et tu auras la même confiance que celle que tu aurais en ton CD de Windows.