'\" t
.\"     Title: apt-secure
.\"    Author: Jason Gunthorpe
.\" Generator: DocBook XSL Stylesheets v1.79.1 <http://docbook.sf.net/>
.\"      Date: 06\ \&ao\(^ut\ \&2016
.\"    Manual: APT
.\"    Source: APT 1.4.9
.\"  Language: French
.\"
.TH "APT\-SECURE" "8" "06\ \&ao\(^ut\ \&2016" "APT 1.4.9" "APT"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NOM"
apt-secure \- Gestion de l\*(Aqauthentification d\*(Aqarchive avec APT
.SH "DESCRIPTION"
.PP
Depuis sa version 0\&.6,
\fBapt\fR
sait v\('erifier la signature du fichier Release de chaque archive\&. On s\*(Aqassure ainsi que les paquets de cette archive ne peuvent pas \(^etre modifi\('es par quelqu\*(Aqun qui ne poss\(`ede pas la cl\('e de la signature du fichier Release\&. \(`A partir de la version\ \&1\&.1,
\fBapt\fR
exige que les d\('ep\(^ots fournissent des informations r\('ecentes d\*(Aqauthentification pour une utilisation libre du d\('ep\(^ot\&.
.PP
Si une archive poss\(`ede un fichier Release non sign\('e ou pas de fichier Release du tout, les versions actuelles d\*(AqAPT refuseront par d\('efaut d\*(Aqen t\('el\('echarger des donn\('ees dans les op\('erations
\fBupdate\fR\&. M\(^eme si un frontal tel que
\fBapt-get\fR(8)
est forc\('e de t\('el\('echarger, il demandera une confirmation explicite si une installation inclut un paquet d\*(Aqune archive non authentifi\('ee\&.
.PP
Comme exception temporaire,
\fBapt-get\fR(8)
(pas
\fBapt\fR(8)\ \&!) \('emet seulement une mise en garde s\*(Aqil rencontre des archives non authentifi\('ees pour accorder une p\('eriode de gr\(^ace un peu plus longue \(`a cette modification affectant la compatibilit\('e ascendante\&. Cette exception dispara\(^itra dans les futures versions et vous pouvez renoncer \(`a ce d\('elai de gr\(^ace en configurant l\*(Aqoption
\fBBinary::apt\-get::Acquire::AllowInsecureRepositories\fR
\(`a
false
ou en passant l\*(Aqoption
\fB\-\-no\-allow\-insecure\-repositories\fR
sur la ligne de commande\&.
.PP
Vous pouvez contraindre les clients APT \(`a n\*(Aq\('emettre que des avertissements en configurant l\*(Aqoption
\fBAcquire::AllowInsecureRepositories\fR
\(`a
true\&. L\*(Aqoption
allow\-insecure=yes
de
\fBsources.list\fR(5)
peut aussi permettre \(`a des d\('ep\(^ots individuels d\*(Aq\(^etre non s\('ecuris\('es\&. Veuillez noter que les d\('ep\(^ots non s\('ecuris\('es sont fortement d\('econseill\('es et toutes les options pour contraindre APT \(`a continuer \(`a les prendre en charge devront \(^etre \('eventuellement supprim\('ees\&. Les utilisateurs disposent aussi de l\*(Aqoption
\fBTrusted\fR
pour d\('esactiver m\(^eme les avertissements, mais il faut \(^etre s\(^ur de comprendre ses implications d\('etaill\('ees dans
\fBsources.list\fR(5)\&.
.PP
Un d\('ep\(^ot qui auparavant \('etait authentifi\('e, mais qui perdrait cet \('etat lors d\*(Aqune op\('eration
\fBupdate\fR
envoie un message d\*(Aqerreur \(`a tous les clients d\*(AqAPT quelle que soit l\*(Aqoption d\*(Aqautoriser ou d\*(Aqinterdire l\*(Aqutilisation de d\('ep\(^ots non s\('ecuris\('es\&. L\*(Aqerreur peut \(^etre contourn\('ee par le r\('eglage suppl\('ementaire de
\fBAcquire::AllowDowngradeToInsecureRepositories\fR
\(`a
true, ou, pour des d\('ep\(^ots individuels avec l\*(Aqoption
allow\-downgrade\-to\-insecure=yes
de
\fBsources.list\fR(5)\&.
.PP
Attention\ \&: toutes les interfaces de gestion de paquets comme
\fBapt-get\fR(8),
\fBaptitude\fR(8)
et
\fBsynaptic\fR(8)
poss\(`edent cette fonction de certification, aussi cette page de manuel utilise
APT
pour se r\('ef\('erer \(`a l\*(Aqensemble d\*(Aqentre elles, pour des raisons de simplicit\('e\&.
.SH "ARCHIVES DE CONFIANCE"
.PP
D\*(Aqune archive APT jusqu\*(Aq\(`a l\*(Aqutilisateur, la cha\(^ine de confiance se construit en plusieurs \('etapes\&.
\fBApt\-secure\fR
est la derni\(`ere \('etape\&. Faire confiance \(`a une archive ne signifie pas que les paquets qu\*(Aqelle contient sont exempts de code malveillant, mais signifie que vous faites confiance au responsable de l\*(Aqarchive\&. C\*(Aqest ensuite au responsable de l\*(Aqarchive de faire en sorte que l\*(Aqarchive soit fiable\&.
.PP
\fBApt\-secure\fR
n\*(Aqexamine pas la signature d\*(Aqun paquet\&. Certains programmes peuvent le faire comme
\fBdebsig\-verify\fR
ou
\fBdebsign\fR, qu\*(Aqon peut trouver dans les paquets debsig\-verify et devscripts\&.
.PP
La cha\(^ine de confiance dans Debian commence, par exemple, quand un responsable de paquet envoie un nouveau paquet ou une nouvelle version d\*(Aqun paquet dans l\*(Aqarchive\&. Cet envoi, pour \(^etre effectif, doit \(^etre sign\('e avec la cl\('e d\*(Aqun responsable qui se trouve dans un des trousseaux des responsables de paquet Debian (disponibles dans le paquet debian\-keyring)\&. Les cl\('es des responsables de paquet sont sign\('ees par d\*(Aqautres responsables, suivant des proc\('edures pr\('e\('etablies pour s\*(Aqassurer de l\*(Aqidentit\('e des propri\('etaires de la cl\('e\&. Des proc\('edures similaires existent dans toutes les distributions bas\('ees sur Debian\&.
.PP
Une fois que le paquet envoy\('e a \('et\('e v\('erifi\('e et inclus dans l\*(Aqarchive, la signature du responsable est enlev\('ee, une somme de contr\(^ole du paquet est calcul\('ee et mise dans le fichier Packages\&. Une somme de contr\(^ole de tous les paquets est ensuite calcul\('ee et mise dans le fichier Release\&. Ce fichier est sign\('e par la cl\('e de l\*(Aqarchive pour la version courante de la distribution et distribu\('ee en m\(^eme temps que les paquets et les fichiers Packages sur les miroirs\&. Les cl\('es sont dans le trousseau de cl\('es de l\*(Aqarchive fournies par le paquet
debian\-archive\-keyring\&.
.PP
Un utilisateur peut consulter la signature du fichier Release, extraire la somme de contr\(^ole d\*(Aqun paquet et la comparer avec la somme du paquet qu\*(Aqil a t\('el\('echarg\('e, ou tout simplement compter sur APT pour faire ces op\('erations automatiquement\&.
.PP
Cette fa\(,con de faire est diff\('erente d\*(Aqune v\('erification de la signature d\*(Aqun paquet\&. Elle vise \(`a emp\(^echer deux types d\*(Aqattaque possibles\ \&:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Attaque r\('eseau de type \(Fo\ \&homme au milieu\ \&\(Fc\&. Sans v\('erification de signature, quelqu\*(Aqun de malveillant peut s\*(Aqintroduire au milieu du processus de t\('el\('echargement et ins\('erer du code soit en contr\(^olant un \('el\('ement du r\('eseau, routeur, commutateur, etc\&. soit en d\('etournant le trafic vers un serveur fourbe (par usurpation d\*(Aqadresses)\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Attaque par compromission d\*(Aqun miroir sur le r\('eseau\&. Sans v\('erification de signature, quelqu\*(Aqun de malveillant peut compromettre un miroir et modifier les fichiers\&. Ainsi tous ceux qui t\('el\('echargent les paquets de ce miroir propagent du code malveillant\&.
.RE
.PP
Cependant cette m\('ethode ne prot\(`ege pas contre une compromission du serveur principal lui\-m\(^eme (qui signe les paquets) ni contre la compromission de la cl\('e qui sert \(`a signer les fichiers Release\&. Mais elle peut compl\('eter la signature des paquets\&.
.SH "CONFIGURATION UTILISATEUR"
.PP
Le programme qui g\(`ere la liste des cl\('es utilis\('ees par APT pour faire confiance aux d\('ep\(^ots s\*(Aqappelle
\fBapt\-key\fR\&. Il peut ajouter ou supprimer des cl\('es aussi bien que lister les cl\('es de confiance\&. Il est possible de limiter la capacit\('e pour une ou plusieurs cl\('es de signer telle ou telle archive avec l\*(Aqoption
\fBSigned\-By\fR
dans
\fBsources.list\fR(5)\&.
.PP
Veuillez noter qu\*(Aqune installation par d\('efaut poss\(`ede toutes les cl\('es pour obtenir en toute s\('ecurit\('e des paquets des d\('ep\(^ots par d\('efaut, aussi, bricoler avec
\fBapt\-key\fR
n\*(Aqest n\('ecessaire que si vous souhaitez ajouter des d\('ep\(^ots tiers\&.
.PP
Pour ajouter une cl\('e, vous devez d\*(Aqabord la t\('el\('echarger\&. Il vaut mieux utiliser un canal fiable pour ce t\('el\('echargement\&. Ensuite vous l\*(Aqajoutez avec la commande
\fBapt\-key\fR
et vous lancez la commande
\fBapt\-get update\fR
pour t\('el\('echarger et v\('erifier le fichier
InRelease
ou
Release\&.gpg
de l\*(Aqarchive que vous avez configur\('ee\&.
.SH "CONFIGURATION D\*(AQUNE ARCHIVE"
.PP
Si vous voulez signer les archives dont vous avez la responsabilit\('e, vous devez\ \&:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIcr\('eer un fichier Release \(`a la racine de l\*(Aqarchive\fR, s\*(Aqil n\*(Aqexiste pas d\('ej\(`a\&. Vous pouvez le cr\('eer avec la commande
\fBapt\-ftparchive release\fR
(fournie dans le paquet apt\-utils)\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIle signer\fR, avec les commande
\fBgpg \-\- clearsign \-o InRelease Release\fR
et
\fBgpg \-abs \-o Release\&.gpg Release\fR\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIpublier l\*(Aqempreinte de la cl\('e\fR\&. Ainsi les utilisateurs de votre archive conna\(^itront la cl\('e qu\*(Aqils doivent importer pour authentifier les fichiers de l\*(Aqarchive\&. Le mieux est de diffuser sa cl\('e dans son propre paquet de trousseau comme le fait Debian avec
debian\-archive\-keyring
pour ensuite distribuer automatiquement les mises \(`a jour et les transitions de cl\('es\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fIfournir les instructions pour ajouter l\*(Aqarchive et la cl\('e\fR\&. Si les utilisateurs ne peuvent r\('ecup\('erer de fa\(,con s\(^ure votre cl\('e, la cha\(^ine de confiance d\('ecrite plus haut est rompue\&. La fa\(,con d\*(Aqaider les utilisateurs \(`a ajouter votre cl\('e de l\*(Aqarchive d\('epend de l\*(Aqarchive et de l\*(Aqaudience cible\ \&: cela va d\*(Aqun paquet de trousseau inclus dans une autre archive que des utilisateurs ont d\('ej\(`a configur\('ee (comme les d\('ep\(^ots par d\('efaut de leur distribution) \(`a la mobilisation du web de confiance\&.
.RE
.PP
Chaque fois que le contenu de l\*(Aqarchive change, (suppression ou ajout de nouveaux paquets) le responsable doit refaire les deux premi\(`eres \('etapes\&.
.SH "VOIR AUSSI"
.PP
\fBapt.conf\fR(5),
\fBapt-get\fR(8),
\fBsources.list\fR(5),
\fBapt-key\fR(8),
\fBapt-ftparchive\fR(1),
\fBdebsign\fR(1),
\fBdebsig-verify\fR(1),
\fBgpg\fR(1)
.PP
Pour des informations plus compl\(`etes, vous pouvez consulter
\m[blue]\fBl\*(Aqinfrastructure debian pour la s\('ecurit\('e\fR\m[]\&\s-2\u[1]\d\s+2
un chapitre du manuel Debian sur la s\('ecurit\('e (disponible dans le paquet harden\-doc) et le
\m[blue]\fBStrong Distribution HOWTO\fR\m[]\&\s-2\u[2]\d\s+2
par V\&. Alex Brennen\&.
.SH "BUGS"
.PP
\m[blue]\fBAPT bug page\fR\m[]\&\s-2\u[3]\d\s+2\&. If you wish to report a bug in APT, please see
/usr/share/doc/debian/bug\-reporting\&.txt
or the
\fBreportbug\fR(1)
command\&.
.SH "AUTHOR"
.PP
APT was written by the APT team
<apt@packages\&.debian\&.org>\&.
.SH "AUTEURS DES PAGES DE MANUEL"
.PP
Cette page a \('et\('e \('ecrite \(`a partir des travaux de Javier Fern\('andez\-Sanguino Pe\(~na, Isaac Jones, Colin Walters, Florian Weimer et Michael Vogt\&.
.SH "TRANSLATION"
.PP
The english translation was done by John Doe
<john@doe\&.org>
in 2009, 2010 and Daniela Acme
<daniela@acme\&.us>
in 2010 together with the Debian Dummy l10n Team
<debian\-l10n\-dummy@lists\&.debian\&.org>\&.
.PP
Note that this translated document may contain untranslated parts\&. This is done on purpose, to avoid losing content when the translation is lagging behind the original content\&.
.SH "AUTEURS"
.PP
\fBJason Gunthorpe\fR
.RS 4
.RE
.PP
\fBAPT team\fR
.RS 4
.RE
.SH "NOTES"
.IP " 1." 4
l'infrastructure debian pour la s\('ecurit\('e
.RS 4
\%https://www.debian.org/doc/manuals/securing-debian-howto/ch7
.RE
.IP " 2." 4
Strong Distribution HOWTO
.RS 4
\%http://www.cryptnet.net/fdp/crypto/strong_distro.html
.RE
.IP " 3." 4
APT bug page
.RS 4
\%http://bugs.debian.org/src:apt
.RE