• [^] # Re: Liste de securite && autre détail

    Posté par (site web personnel) . En réponse au journal Un RPM piraté chez Mdk 10.1-Official?. Évalué à 0.

    Mhh, oublie la somme md5, j'ai pris le paquet de cooker, qui est le meme en terme de contenu, à ceci prés qu'il n'est pas signé avec la meme clé que le paquet d'official.

    [misc@virgo plop] $ rpm2cpio /home/root/mandrake/mdk/Mandrakelinux/official/10.1/i586/media/main/ld.so1-1.9.11-10mdk.i586.rpm | cpio -id
    847 blocks
    [misc@virgo plop] $ ls
    lib usr
    [misc@virgo plop] $ md5sum $(find -type f)
    d287e9d13c05cc971705256674a9b4a4 ./lib/ld-linux.so.1.9.11
    0c314e44e74f22a754025739a164b5b4 ./lib/libdl.so.1.9.11
    4c49d6e5f233f4291aaaf06c7e1a5e71 ./usr/bin/ldd-libc5
    dbc7275ca1e7bed9611e4cf005364506 ./usr/share/doc/ld.so1-1.9.11/README
    012016afb809dac0ca2f49b5ab2df610 ./usr/share/doc/ld.so1-1.9.11/copyright
    a155ac89a37c836d813460c464ebf0c7 ./usr/share/man/man1/ldd-libc5.1.bz2
    [misc@virgo plop] $ rpm -qpK /home/root/mandrake/mdk/Mandrakelinux/official/10.1/i586/media/main/ld.so1-1.9.11-10mdk.i586.rpm
    erreur: /home/root/mandrake/mdk/Mandrakelinux/official/10.1/i586/media/main/ld.so1-1.9.11-10mdk.i586.rpm: signature V3 DSA: BAD, key ID 70771ff3

    et avec le paquet actuel signé et tout :

    [misc@n1 plop] $ rpm2cpio /main/ld.so1-1.9.11-10mdk.i586.rpm | cpio -id
    847 blocks
    [misc@n1 plop] $ md5sum $(find -type f)
    d287e9d13c05cc971705256674a9b4a4 ./lib/ld-linux.so.1.9.11
    0c314e44e74f22a754025739a164b5b4 ./lib/libdl.so.1.9.11
    4c49d6e5f233f4291aaaf06c7e1a5e71 ./usr/bin/ldd-libc5
    dbc7275ca1e7bed9611e4cf005364506 ./usr/share/doc/ld.so1-1.9.11/README
    012016afb809dac0ca2f49b5ab2df610 ./usr/share/doc/ld.so1-1.9.11/copyright
    a155ac89a37c836d813460c464ebf0c7 ./usr/share/man/man1/ldd-libc5.1.bz2
    [misc@n1 plop] $

    Je croit que le message indique juste que la clé n'est pas dans le trousseau de rpm.

    Aprés recherche, j'ai ça :
    /home/misc $ gpg --keyserver pgp.mit.edu --recv-keys 70771ff3
    gpg: clé 70771FF3: clé publique "Mandrake Linux <mandrake@mandrakesoft.com>" importée

    La clé a été signé par une dizaine de personnes, donc je pencherais plus à un probléme lors de la génération des signatures qu'autres choses.