Comment vérifier la signature PGP d’un logiciel téléchargé sous Linux

L’installation d’un logiciel sur un système Linux se fait généralement sans heurts. Dans la plupart des cas, vous utiliserez un gestionnaire de paquets tel que apt, dnf ou Pacman pour l’installer en toute sécurité à partir des dépôts de votre distribution.

Dans certains cas, cependant, un progiciel peut ne pas être inclus dans le dépôt officiel de la distribution. Dans de tels scénarios, on est obligé de le télécharger à partir du site Web du fournisseur. Mais êtes-vous sûr que le progiciel n’a pas été altéré ? C’est la question à laquelle nous chercherons à répondre. Dans ce guide, nous nous concentrons sur la façon de vérifier la signature PGP d’un progiciel téléchargé sous Linux.

PGP (Pretty Good Privacy) est une application cryptographique utilisée pour crypter et signer des fichiers. La plupart des auteurs de logiciels signent leurs applications en utilisant le programme PGP, par exemple GPG (GNU Privacy Guard).

GPG est une implémentation de cryptographie d’OpenPGP et permet une transmission sécurisée des données et peut également être utilisé pour vérifier l’intégrité de la source. De la même manière, vous pouvez utiliser GPG pour vérifier l’authenticité du logiciel téléchargé.

La vérification de l’intégrité des logiciels téléchargés est une procédure en 5 étapes qui prend l’ordre suivant.

Téléchargement de la clé publique de l’auteur du logiciel.
Vérification de l’empreinte digitale de la clé.
Importation de la clé publique.
Téléchargement du fichier de signature du logiciel.
Vérifiez le fichier de signature.

Dans ce guide, nous utiliserons Tixati – un programme de partage de fichiers peer-to-peer – comme exemple pour le démontrer. Nous avons déjà téléchargé le paquet Debian à partir de la page de téléchargement officielle.

Vérifier la signature PGP de Tixati

D’emblée, nous allons télécharger la clé publique de l’auteur qui est utilisée pour vérifier les sorties. Le lien vers la clé est fourni en bas de la page de téléchargement de Tixati.

Sur la ligne de commande, récupérez la clé publique à l’aide de la commande wget comme indiqué.

$ wget https://www.tixati.com/tixati.key

Vérifier l’empreinte digitale de la clé publique

Une fois la clé téléchargée, l’étape suivante consiste à vérifier l’empreinte digitale de la clé publique à l’aide de la commande gpg comme indiqué.

$ gpg --show-keys tixati.key

La sortie en surbrillance est l’empreinte digitale de la clé publique.

Importer la clé GPG

Une fois que nous aurons vérifié l’empreinte publique de la clé, nous importerons la clé GPG. Cela ne doit être fait qu’une seule fois.

$ gpg --import tixati.key

Télécharger le fichier de signature du logiciel

Ensuite, nous allons télécharger le fichier de signature PGP qui se trouve juste à côté du paquet Debian comme indiqué. Le fichier de signature porte l’extension de fichier .asc.

$ wget https://download2.tixati.com/download/tixati_2.84-1_amd64.deb.asc

Vérifier le fichier de signature

Enfin, vérifiez l’intégrité du logiciel à l’aide du fichier de signature et par rapport au paquet Debian, comme indiqué.

$ gpg --verify tixati_2.84-1_amd64.deb.asc tixati_2.84-1_amd64.deb

La sortie de la troisième ligne confirme que la signature provient de l’auteur du logiciel, dans ce cas, Tixati Software Inc. La ligne ci-dessus fournit l’empreinte digitale qui correspond à l’empreinte de la clé publique. Il s’agit d’une confirmation de la signature PGP du logiciel.