• # Un vrai problème

    Posté par (site web personnel) . En réponse au journal Quelqu'un est en train de spammer les serveurs SKS. Évalué à 3.

    TL;DR: Je ne suis pas du tout convaincu par un certain nombre de commentaires dont le résumé pourrait être « aucun problème, tout va bien ».

    Je vais rester concis et éviter les digressions quant à GnuPG v1 vs. GnuPG v2, les formats différents, etc., et me concentrer sur un exemple.

    Pour la dernière version de Tails, j'étais en charge de l'import de Tor Browser. D'où vérification de signature GPG sur le build importé. D'où besoin de récupérer la clé en question. D'où --search-keys et boum :

    gpg: error writing keyring '/home/kibi/.gnupg/pubring.kbx': Provided object is too large

    Et effectivement, des centaines de milliers de clés, ça n'était pas trop prévu.

    Contournement : utiliser gnupg1 (heureusement qu'on a toujours ce paquet dans Debian...), importer la clé par ce biais, puis la ré-exporter en mode minimal (sans les signatures) pour la réimporter via gnupg2. Pour fixer les idées :

    gpg: key 4E2C6E8793298290: 121241 signatures not checked due to missing keys

    Quant à la vérification de la clé, l'empreinte est publiée et vérifiable par un autre canal, donc pas de problème de ce côté-là.

    Si on creuse un peu, on se rend compte qu'upstream s'est mis en tête de publier une version 2.2.17 en catastrophe pour essayer de limiter la casse. Et ça n'est pas forcément brillant, si j'en crois l'analyse de mon « collègue Debian » Daniel Lange (cf. la partie « Update » au 09.07.2019).

    [Depuis, j'ai découvert que le projet Tor publie également les clés sur un site dédié, ce qui m'évitera les contorsions mentionnées ci-dessus.]

    Debian Consultant @ DEBAMAX