Je veux ajouter une fonctionnalité à pam, et j'ai pensé que le meilleur point de départ était de télécharger la source de libpam-modules. En téléchargeant, je remarque cet avertissement : gpgv: Impossible de vérifier la signature : clé publique introuvable
Quelle est la méthode officielle pour vérifier l'intégrité des paquets sources, lorsque apt-get ne trouve pas la clé publique ?
La dernière version des paquets ubuntu-keyring et debian-keyring sont déjà installés.
Il existe des moyens de trouver la clé publique correspondante et de l'installer. Cependant, cela ne garantit pas l'intégrité, car en fait, cela revient à faire confiance au contenu du fichier dsc pour me dire quelle clé publique utiliser pour vérifier la signature du fichier dsc.
La signature gpg sur le fichier dsc est-elle une partie critique de la vérification de l'intégrité ? Est-ce qu'un homme du milieu ou un miroir malveillant pourrait servir une version malveillante du fichier où l'avertissement de gpg est la seule indication qu'il y a quelque chose de mal qui se passe ? Ou est-ce que apt-get a d'autres moyens de valider l'intégrité ?
Où puis-je trouver une documentation officielle sur le modèle de sécurité ? Idéalement, j'aimerais comprendre le chemin de confiance complet de l'image d'installation au paquet source que je suis en train de télécharger.
La sortie complète du téléchargement était la suivante :
$ apt-get source libpam-modules
Reading package lists... Done
Building dependency tree
Reading state information... Done
Picking 'pam' as source package instead of 'libpam-modules'
NOTICE: 'pam' packaging is maintained in the 'Bzr' version control system at:
https://code.launchpad.net/~ubuntu-core-dev/pam/ubuntu
Please use:
bzr branch https://code.launchpad.net/~ubuntu-core-dev/pam/ubuntu
to retrieve the latest (possibly unreleased) updates to the package.
Need to get 2,043 kB of source archives.
Get:1 http://dk.archive.ubuntu.com/ubuntu/ trusty/main pam 1.1.8-1ubuntu2 (dsc) [2,510 B]
Get:2 http://dk.archive.ubuntu.com/ubuntu/ trusty/main pam 1.1.8-1ubuntu2 (tar) [1,893 kB]
Get:3 http://dk.archive.ubuntu.com/ubuntu/ trusty/main pam 1.1.8-1ubuntu2 (diff) [147 kB]
Fetched 2,043 kB in 6s (316 kB/s)
gpgv: Signature made Fri 31 Jan 2014 11:12:23 PM CET using RSA key ID 64792D67
gpgv: Can't check signature: public key not found
dpkg-source: warning: failed to verify signature on ./pam_1.1.8-1ubuntu2.dsc
