harden-doc 3.19 - en to fr translation catalogue (149 entries)

en: Debian Security Infrastructure
fr: Infrastructure de sécurité Debian

en: The Debian Security Team
fr: L'équipe de sécurité Debian

en: Debian has a Security Team, that handles security in the <emphasis>stable</emphasis> distribution. Handling security means they keep track of vulnerabilities that arise in software (watching forums such as Bugtraq, or vuln-dev) and determine if the <emphasis>stable</emphasis> distribution is affected by it.
fr: Debian possède une équipe de sécurité, qui assure la sécurité dans la distribution <emphasis>stable</emphasis>. Assurer la sécurité veut dire suivre les failles qui surviennent dans les logiciels (en surveillant des forums comme Bugtraq ou vuln-dev) et déterminer si la distribution <emphasis>stable</emphasis> est concernée par ces failles.

en: Also, the Debian Security Team is the contact point for problems that are coordinated by upstream developers or organizations such as <ulink name="CERT" url="http://www.cert.org" /> which might affect multiple vendors. That is, when problems are not Debian-specific. The contact point of the Security Team is <ulink name="team@security.debian.org" url="mailto:team@security.debian.org" /> which only the members of the security team read.
fr: L'équipe de sécurité Debian est également le point de contact pour les problèmes qui sont coordonnés par les développeurs amont ou des organisations comme le <ulink url="htttp://www.cert.org" name="CERT" />, qui peuvent toucher de multiples distributeurs, c'est-à-dire quand les problèmes ne sont pas spécifiques à Debian. Le point de contact avec l'équipe de sécurité est <ulink url="mailto:team@security.debian.org" name="team@security.debian.org" /> qui n'est lu que par les membres de l'équipe de sécurité.

en: Sensitive information should be sent to the first address and, in some cases, should be encrypted with the Debian Security Contact key (as found in the Debian keyring).
fr: Les informations secrètes devraient être envoyées à la première adresse et, dans certains cas, devraient être chiffrées avec la clef du contact de l'équipe de sécurité (disponible dans le trousseau Debian).

en: Once a probable problem is received by the Security Team it will investigate if the <emphasis>stable</emphasis> distribution is affected and if it is, a fix is made for the source code base. This fix will sometimes include backporting the patch made upstream (which usually is some versions ahead of the one distributed by Debian). After testing of the fix is done, new packages are prepared and published in the <ulink url="http://security.debian.org" /> site so they can be retrieved through <command>apt</command> (see <xref linkend="security-update" />). At the same time a <emphasis>Debian Security Advisory</emphasis> (DSA) is published on the web site and sent to public mailing lists including <ulink name="debian-security-announce" url="http://lists.debian.org/debian-security-announce" /> and Bugtraq.
fr: Dès qu'un problème probable est reçu par l'équipe de sécurité, elle recherchera si la distribution <emphasis>stable</emphasis> est affectée et si c'est le cas, un correctif sera créé pour la base de code source. Ce correctif contiendra parfois un rétroportage du correctif effectué en amont (qui est habituellement en avance de plusieurs versions par rapport à la version distribuée par Debian). Après qu'un test du correctif ait été effectué, les nouveaux paquets sont préparés et publiés sur le site <ulink url="htttp://security.debian.org" /> pour pouvoir être récupérés par <command>apt</command> (consultez <xref linkend="security-update" />). En même temps, une <emphasis>alerte de sécurité Debian</emphasis> (Debian Security Advisory ou DSA) est publiée sur le site web et envoyée aux listes de diffusion publiques y compris <ulink url="htttp://lists.debian.org/debian-security-announce" name="debian-security-announce" /> et Bugtraq.

en: Some other frequently asked questions on the Debian Security Team can be found at <xref linkend="debian-sec-team-faq" />.
fr: D'autres questions souvent posées sur l'équipe de sécurité Debian peuvent être trouvées en <xref linkend="debian-sec-team-faq" />.

en: Debian Security Advisories
fr: Alertes de sécurité Debian

en: Debian Security Advisories (DSAs) are made whenever a security vulnerability is discovered that affects a Debian package. These advisories, signed by one of the Security Team members, include information of the versions affected as well as the location of the updates. This information is:
fr: Les alertes de sécurité Debian (DSA) sont effectuées à chaque fois qu'une faille affectant un paquet Debian est découverte. Ces alertes, signées par l'un des membres de l'équipe de sécurité, contiennent des renseignements sur les versions touchées ainsi que l'emplacement des mises à jour. Ces informations sont&nbsp;:

en: version number for the fix.
fr: numéro de version pour le correctif ;

en: problem type.
fr: type de problème ;

en: whether it is remote or locally exploitable.
fr: s'il est exploitable à distance ou localement ;

en: short description of the package.
fr: description courte du paquet ;

en: description of the problem.
fr: description du problème ;

en: description of the exploit.
fr: description du stratagème ;

en: description of the fix.
fr: description du correctif.

en: DSAs are published both on <ulink name="Debian's frontpage" url="http://www.debian.org/" /> and in the <ulink name="Debian security pages" url="http://www.debian.org/security/" />. Usually this does not happen until the website is rebuilt (every four hours) so they might not be present immediately. The preferred channel is the debian-security-announce mailing list.
fr: Les DSA sont publiées sur <ulink url="htttp://www.debian.org/" name="la page principale de Debian" /> et dans les <ulink url="htttp://www.debian.org/security/" name="pages de sécurité Debian" />. Cela ne se produit habituellement pas avant que le site web ne soit reconstruit (toutes les quatre heures), elles peuvent donc ne pas être immédiatement présentes. Le canal préféré est la liste de diffusion debian-security-announce.

en: Interested users can, however (and this is done in some Debian-related portals) use the RDF channel to download automatically the DSAs to their desktop. Some applications, such as <command>Evolution</command> (an email client and personal information assistant) and <command>Multiticker</command> (a GNOME applet), can be used to retrieve the advisories automatically. The RDF channel is available at <ulink url="http://www.debian.org/security/dsa.rdf" />.
fr: Les utilisateurs intéressés peuvent, cependant (et c'est fait sur quelques portails relatifs à Debian) utiliser le flux RDF pour télécharger automatiquement les DSA sur leur bureau. Certaines applications, comme <command>Evolution</command> (un client de messagerie et assistant d'informations personnelles) et <command>Multiticker</command> (une applette GNOME) peuvent être utilisées pour récupérer les alertes automatiquement. Le flux RDF est disponible à <ulink url="htttp://www.debian.org/security/dsa.rdf" />.

en: DSAs published on the website might be updated after being sent to the public-mailing lists. A common update is adding cross references to security vulnerability databases. Also, translations<footnote><para>Translations are available in up to ten different languages.</para></footnote> of DSAs are not sent to the security mailing lists but are directly included in the website.
fr: Les DSA publiées sur le site web peuvent être mises à jour après avoir été envoyées sur les listes de diffusion publiques. Une mise à jour courante est d'ajouter des références croisées vers les bases de données des failles de sécurité. Les traductions<footnote><para>Des traductions sont disponibles jusqu'en dix langues.</para></footnote> des DSA ne sont pas envoyées aux listes de diffusion de sécurité, mais elles sont directement intégrées au site web.

en: Vulnerability cross references
fr: Références croisées des failles

en: Debian provides a fully <ulink name="crossreferenced table" url="http://www.debian.org/security/crossreferences" /> including all the references available for all the advisories published since 1998. This table is provided to complement the <ulink name="reference map available at CVE" url="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" />.
fr: Debian fournit une <ulink name="crossreferenced table" url="http://www.debian.org/security/crossreferences" /> complète comprenant toutes les références disponibles pour toutes les alertes publiées depuis&nbsp;1998. Cette table est fournie en complément de la <ulink name="reference map available at CVE" url="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" />.

en: You will notice that this table provides references to security databases such as <ulink name="Bugtraq" url="http://www.securityfocus.com/bid" />, <ulink name="CERT/CC Advisories" url="http://www.cert.org/advisories/" /> and <ulink name="US-CERT Vulnerability Notes Database" url="http://www.kb.cert.org/vuls" /> as well as CVE names (see below). These references are provided for convenience use, but only CVE references are periodically reviewed and included.
fr: Vous remarquerez que cette table fournit des références vers des bases de données de sécurité comme <ulink url="htttp://www.securityfocus.com/bid" name="Bugtraq" />, les <ulink url="htttp://www.cert.org/advisories/" name="alertes CERT/CC" /> et la <ulink url="htttp://www.kb.cert.org/vuls" name="base de données des notes de failles US-CERT" /> ainsi que les noms CVE (voir ci-dessous). Ces références sont fournies pour faciliter l'utilisation, mais seules les références CVE sont périodiquement vérifiées et intégrées.

en: Advantages of adding cross references to these vulnerability databases are:
fr: Les avantages d'ajouter les références croisées vers ces bases de données de failles sont que&nbsp;:

en: it makes it easier for Debian users to see and track which general (published) advisories have already been covered by Debian.
fr: cela permet plus facilement aux utilisateurs de Debian de voir et de suivre quelles alertes générales (publiées) ont déjà été couvertes par Debian ;

en: system administrators can learn more about the vulnerability and its impact by following the cross references.
fr: les administrateurs système peuvent en apprendre plus sur la faille et ses impacts en suivant les références croisées ;

en: this information can be used to cross-check output from vulnerability scanners that include references to CVE to remove false positives (see <xref linkend="vulnasses-false-positive" />).
fr: ces renseignements peuvent être utilisés pour vérifier les sorties de scanneurs de failles qui contiennent des références à CVE pour supprimer des faux positifs (consultez <xref linkend="vulnasses-false-positive" />).

en: CVE compatibility
fr: Compatibilité CVE

en: Debian Security Advisories were <ulink name="declared CVE-Compatible" url="http://www.debian.org/security/CVE-certificate.jpg" /><footnote><para>The full <ulink name="capability questionnaire" url="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" /> is available at CVE</para></footnote> in February 24, 2004.
fr: Les alertes de sécurité Debian ont été <ulink name="declared CVE-Compatible" url="http://www.debian.org/security/CVE-certificate.jpg" /><footnote><para>Le <ulink name="capability questionnaire" url="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" /> complet est disponible au CVE.</para></footnote> le 24&nbsp;février&nbsp;2004.

en: The <ulink name="Common Vulnerabilities and Exposures (CVE)" url="http://cve.mitre.org" /> project is maintained by the MITRE Corporation and provides a list of standardized names for vulnerabilities and security exposures.
fr: Le projet <ulink url="htttp://cve.mitre.org" name="Common Vulnerabilities and Exposures (CVE)" /> est maintenu par la société MITRE et fournit une liste des noms standardisés pour les failles et expositions de sécurité.

en: Debian believes that providing users with additional information related to security issues that affect the Debian distribution is extremely important. The inclusion of CVE names in advisories help users associate generic vulnerabilities with specific Debian updates, which reduces the time spent handling vulnerabilities that affect our users. Also, it eases the management of security in an environment where CVE-enabled security tools -such as network or host intrusion detection systems, or vulnerability assessment tools- are already deployed regardless of whether or not they are based on the Debian distribution.
fr: Debian estime que fournir aux utilisateurs des informations supplémentaires liées aux problèmes de sécurité qui touchent la distribution Debian est extrêmement important. L'inclusion des noms CVE dans les alertes aide les utilisateurs à associer des failles génériques avec les mises à jour spécifiques de Debian, ce qui réduit le temps passé à gérer les failles qui concernent nos utilisateurs. Cela facilite également la gestion du risque dans un environnement où sont déployés des outils de sécurité gérant CVE &mdash; comme des systèmes de détection d'intrusion d'hôte ou de réseau ou des outils de vérification de failles &mdash; qu'ils soient ou non basés sur la distribution Debian.

en: Debian provides CVE names for all DSAs released since September 1998. All of the advisories can be retrieved on the Debian web site, and announcements related to new vulnerabilities include CVE names if available at the time of their release. Advisories associated with a given CVE name can be searched directly through the Debian Security Tracker (see below).
fr: Debian fournit maintenant les noms CVE pour toutes les DSA publiées depuis septembre&nbsp;1998. Toutes les alertes peuvent être récupérées sur le site web Debian et les annonces liées aux nouvelles failles contiennent les noms CVS quand ils sont disponibles lors de leur publication. Les alertes liées à un nom CVE donné peuvent être cherchées directement avec le système de suivi en sécurité Debian (voir ci-après).

en: In some cases you might not find a given CVE name in published advisories, for example because:
fr: Dans certains cas, vous pouvez ne pas trouver un nom CVE donné dans les alertes publiées par exemple parce que&nbsp;:

en: No Debian products are affected by that vulnerability.
fr: aucun produit Debian n'est concerné par cette faille ;

en: There is not yet an advisory covering that vulnerability (the security issue might have been reported as a <ulink name="security bug" url="http://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" /> but a fix has not been tested and uploaded).
fr: il n'y a pas encore eu d'alerte couvrant cette faille (le problème de sécurité peut avoir été signalé comme un <ulink url="htttp://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" name="bogue de sécurité" />, mais aucune correction n'a encore été testée et envoyée) ;

en: An advisory was published before a CVE name was assigned to a given vulnerability (look for an update at the web site).
fr: une alerte a été publiée avant qu'un nom CVE ait été attribué à une faille donnée (chercher une mise à jour sur le site web).

en: Security Tracker
fr: Système de suivi en sécurité

en: The package <command>debsecan</command> uses the information in the tracker to report to the administrator of a system which of the installed packages are vulnerable, and for which updates are available to fix security issues.
fr: Le paquet <command>debsecan</command> utilise les renseignements du système de suivi pour signaler à l'administrateur d'un système les paquets installés vulnérables, et ceux pour lesquels des mises à jour corrigeant les problèmes de sécurité sont disponibles.

en: Debian Security Build Infrastructure
fr: Infrastructure de construction de sécurité Debian

en: Since Debian is currently supported in a large number of architectures, administrators sometimes wonder if a given architecture might take more time to receive security updates than another. As a matter of fact, except for rare circumstances, updates are available to all architectures at the same time.
fr: Comme Debian prend actuellement en charge un grand nombre d'architectures, les administrateurs se demandent parfois si une architecture donnée pourrait prendre plus de temps pour recevoir des mises à jour de sécurité qu'une autre. En fait, à part dans de rares circonstances, les mises à jour sont disponibles pour toutes les architectures en même temps.

en: Packages in the security archive are autobuilt, just like the regular archive. However, security updates are a little more different than normal uploads sent by package maintainers since, in some cases, before being published they need to wait until they can be tested further, an advisory written, or need to wait for a week or more to avoid publicizing the flaw until all vendors have had a reasonable chance to fix it.
fr: Les paquets de l'archive de sécurité sont construits automatiquement, tout comme l'archive classique. Cependant, les mises à jour de sécurité sont un petit peu différentes des envois normaux par les responsables de paquets car, dans certains cas, avant d'être publiées, elles doivent attendre de pouvoir être plus testées, qu'une alerte soit rédigée ou attendre une semaine ou plus pour éviter de publier le défaut jusqu'à ce que tous les distributeurs aient eu une chance raisonnable de le corriger.

en: Thus, the security upload archive works with the following procedure:
fr: L'archive d'envoi de sécurité fonctionne donc de la façon suivante :

en: Someone finds a security problem.
fr: quelqu'un trouve un problème de sécurité ;

en: Someone fixes the problem, and makes an upload to security-master.debian.org's incoming (this <emphasis>someone</emphasis> is usually a Security Team member but can be also a package maintainer with an appropriate fix that has contacted the Security Team previously). The Changelog includes a <emphasis>testing-security</emphasis> or <emphasis>stable-security</emphasis> as target distribution.
fr: quelqu'un corrige le problème et fait un envoi vers <emphasis>incoming</emphasis> de security-master.debian.org (ce <emphasis>quelqu'un</emphasis> est habituellement un membre de l'équipe de sécurité, mais ce peut aussi être un responsable de paquet avec un correctif approprié qui a contacté l'équipe de sécurité auparavant). Le journal de modifications contient une cible de distribution <emphasis>testing-security</emphasis> ou <emphasis>stable-security</emphasis> ;

en: The upload gets checked and processed by a Debian system and moved into queue/accepted, and the buildds are notified. Files in here can be accessed by the security team and (somewhat indirectly) by the buildds.
fr: l'envoi est vérifié et traité par un système Debian et déplacé dans queue/accepted et le service d'empaquetage est prévenu. Les fichiers à cet endroit sont accessibles par l'équipe de sécurité et (de façon un peu indirecte) par les service d'empaquetage ;

en: Security-enabled buildds pick up the source package (prioritized over normal builds), build it, and send the logs to the security team.
fr: les serveurs d'empaquetage activés pour la sécurité récupèrent le paquet source (en priorité par rapport aux constructions courantes), le construisent et envoient les journaux à l'équipe de sécurité ;

en: The security team reply to the logs, and the newly built packages are uploaded to queue/unchecked, where they're processed by a Debian system, and moved into queue/accepted.
fr: l'équipe de sécurité répond aux journaux et les paquets nouvellement construits sont envoyés vers queue/unchecked, où ils sont traités par un système Debian et déplacés dans queue/accepted ;

en: When the security team find the source package acceptable (i.e., that it's been correctly built for all applicable architectures and that it fixes the security hole and doesn't introduce new problems of its own) they run a script which:
fr: quand l'équipe de sécurité trouve les paquets acceptables (c'est-à-dire qu'ils sont correctement construits pour toutes les architectures pertinentes et corrigent le trou de sécurité sans introduire de nouveau problème par eux-mêmes), un script est exécuté qui&nbsp;:

en: installs the package into the security archive.
fr: installe le paquet dans l'archive de sécurité ;

en: updates the <filename>Packages</filename>, <filename>Sources</filename> and <filename>Release</filename> files of security.debian.org in the usual way (<command>dpkg-scanpackages</command>, <command>dpkg-scansources</command>, ...).
fr: met à jour les fichiers <filename>Packages</filename>, <filename>Sources</filename> et <filename>Release</filename> de security.debian.org de la façon habituelle (<command>dpkg-scanpackages</command>, <command>dpkg-scansources</command>, etc.) ;

en: sets up a template advisory that the security team can finish off.
fr: met en place un modèle d'alerte que l'équipe de sécurité peut compléter ;

en: forwards the packages to the appropriate proposed-updates so that it can be included in the real archive as soon as possible.
fr: fait suivre les paquets vers le proposed-updates approprié pour qu'il soit intégré à l'archive réelle dès que possible.

en: This procedure, previously done by hand, was tested and put through during the freezing stage of Debian 3.0 woody (July 2002). Thanks to this infrastructure the Security Team was able to have updated packages ready for the apache and OpenSSH issues for all the supported (almost twenty) architectures in less than a day.
fr: Cette procédure, auparavant réalisée à la main, a été testée et mise en place pendant l'étape de gel de Debian 3.0 Woody (juillet 2002). Grâce à cette architecture, l'équipe de sécurité a pu avoir des paquets mis à jour pour les problèmes d'Apache et d'OpenSSH pour toutes les architectures prises en charge (presque vingt) en moins d'un jour.

en: Developer's guide to security updates
fr: Le guide du développeur pour les mises à jour de sécurité

en: Debian developers that need to coordinate with the security team on fixing in issue in their packages, can refer to the Developer's Reference section <ulink name="Handling security-related bugs" url="http://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" />.
fr: Les développeurs Debian qui doivent se coordonner avec l'équipe en charge de la sécurité pour corriger un problème avec leurs paquets, peuvent consulter la référence du développeur section <ulink url="htttp://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" name="Gestion des bogues de sécurité" />.

en: Package signing in Debian
fr: La signature de paquet dans Debian

en: This section could also be titled "how to upgrade/update safely your Debian GNU/Linux system" and it deserves its own section basically because it is an important part of the Security Infrastructure. Package signing is an important issue since it avoids tampering of packages distributed in mirrors and of downloads with man-in-the-middle attacks. Automatic software update is an important feature but it's also important to remove security threats that could help the distribution of trojans and the compromise of systems during updates <footnote><para>Some operating systems have already been plagued with automatic-updates problems such as the <ulink name="Mac OS X Software Update vulnerabity" url="http://www.cunap.com/~hardingr/projects/osx/exploit.html" />.</para></footnote>
fr: Ce chapitre pourrait également être intitulé «&nbsp;comment mettre à jour et à niveau un système Debian GNU/Linux en sécurité&nbsp;» et mérite d'avoir son propre chapitre car c'est une partie importante de l'infrastructure de sécurité. La signature des paquets est un point important car elle évite l'altération de paquets distribués sur les miroirs et des téléchargements avec des attaques en homme au milieu («&nbsp;man-in-the-middle&nbsp;»). Les mises à jour de logiciels automatiques sont une fonctionnalité importante, mais il est également important d'enlever les menaces de sécurité qui pourraient favoriser la propagation de chevaux de Troie et la compromission de systèmes lors des mises à jour<footnote><para>Certains systèmes d'exploitation ont déjà été touchés par des problèmes de mises à jour automatiques comme la <ulink url="htttp://www.cunap.com/~hardingr/projects/osx/exploit.html" name="faille de mises à jour de logiciels de Mac OS X" />.</para></footnote>.

en: FIXME: probably the Internet Explorer vulnerability handling. certificate chains has an impact on security updates on Microsoft Windows.
fr: FIXME : la faille d'Internet Explorer sur la gestion des chaînes de certificat a probablement eu un impact sur les mises à jour de sécurité de Microsoft Windows.

en: Debian does not provide signed packages but provides a mechanism available since Debian 4.0 (codename <emphasis>etch</emphasis>) to check for downloaded package's integrity<footnote><para>Older releases, such as Debian 3.1 <emphasis>sarge</emphasis> can use this feature by using backported versions of this package management tool</para></footnote>. For more information, see <xref linkend="apt-0.6" />.
fr: Debian ne fournit pas de paquets signés, mais fournit un mécanisme disponible depuis Debian 4.0 <emphasis>Etch</emphasis> pour vérifier l'intégrité des paquets téléchargés<footnote><para>Les versions plus anciennes, comme Debian 3.1 <emphasis>Sarge</emphasis> peuvent utiliser cette fonctionnalité en utilisant les versions rétroportées de cet outil de gestion de paquets.</para></footnote>. Pour obtenir plus de renseignements, consultez <xref linkend="apt-0.6" />.

en: This issue is better described in the <ulink name="Strong Distribution HOWTO" url="http://www.cryptnet.net/fdp/crypto/strong_distro.html" /> by V. Alex Brennen.
fr: Ce problème est mieux décrit dans le <ulink name="Strong Distribution HOWTO" url="http://www.cryptnet.net/fdp/crypto/strong_distro.html" /> par V. Alex Brennen.

en: The current scheme for package signature checks
fr: Le schéma actuel pour la vérification de paquet

en: The current scheme for package signature checking using <command>apt</command> is:
fr: Le schéma actuel pour la vérification de signatures de paquet en utilisant <command>apt</command> est&nbsp;:

en: the <filename>Release</filename> file includes the MD5 sum of <filename>Packages.gz</filename> (which contains the MD5 sums of packages) and will be signed. The signature is one of a trusted source.
fr: le fichier <filename>Release</filename> contient la somme de contrôle MD5 de <filename>Packages.gz</filename> (qui contient les sommes de contrôle MD5 des paquets) et sera signé. La signature est celle d'une source sûre ;

en: This signed <filename>Release</filename> file is downloaded by 'apt-get update' and stored along with <filename>Packages.gz</filename>.
fr: ce fichier <filename>Release</filename> est téléchargé par «&nbsp;apt-get update&nbsp;» et stocké sur le disque dur avec <filename>Packages.gz</filename> ;

en: When a package is going to be installed, it is first downloaded, then the MD5 sum is generated.
fr: quand un paquet est sur le point d'être installé, il est d'abord téléchargé, puis la somme MD5 est calculée ;

en: The signed <filename>Release</filename> file is checked (signature ok) and it extracts from it the MD5 sum for the <filename>Packages.gz</filename> file, the <filename>Packages.gz</filename> checksum is generated and (if ok) the MD5 sum of the downloaded package is extracted from it.
fr: le fichier <filename>Release</filename> signé est vérifié (la signature est bonne) et la somme MD5 en est extraite pour le fichier <filename>Packages.gz</filename>, la somme de contrôle de <filename>Packages.gz</filename> est calculée et (si elle est bonne) la somme de contrôle MD5 du paquet téléchargé en est extraite ;

en: If the MD5 sum from the downloaded package is the same as the one in the <filename>Packages.gz</filename> file the package will be installed, otherwise the administrator will be alerted and the package will be left in the cache (so the administrator can decide whether to install it or not). If the package is not in the <filename>Packages.gz</filename> and the administrator has configured the system to only install checked packages it will not be installed either.
fr: si la somme de contrôle MD5 du paquet téléchargé est la même que celle contenue dans le fichier <filename>Packages.gz</filename>, le paquet sera installé sinon l'administrateur sera averti et le paquet sera laissé dans le cache (ainsi l'administrateur décidera de l'installer ou non). Si le paquet n'est pas dans <filename>Packages.gz</filename> et que l'administrateur a configuré le système pour installer uniquement les paquets vérifiés, il ne sera pas installé non plus.

en: By following the chain of MD5 sums <command>apt</command> is capable of verifying that a package originates from a a specific release. This is less flexible than signing each package one by one, but can be combined with that scheme too (see below).
fr: En suivant la chaîne des sommes MD5, <command>apt</command> est capable de vérifier qu'un paquet est originaire d'une version bien spécifique. C'est moins souple que de signer chaque paquet un par un, mais ce peut être combiné également avec ce schéma (voir ci-dessous).

en: Package signing has been discussed in Debian for quite some time, for more information you can read: <ulink url="http://www.debian.org/News/weekly/2001/8/" /> and <ulink url="http://www.debian.org/News/weekly/2000/11/" />.
fr: La signature de paquets a été abordée dans Debian depuis pas mal de temps déjà, pour plus d'informations vous pouvez lire&nbsp;: <ulink url="htttp://www.debian.org/News/weekly/2001/8/" /> et <ulink url="htttp://www.debian.org/News/weekly/2000/11/" />.

en: Secure apt
fr: apt sécurisé

en: The apt 0.6 release, available since Debian 4.0 <emphasis>etch</emphasis> and later releases, includes <emphasis>apt-secure</emphasis> (also known as <emphasis>secure apt</emphasis>) which is a tool that will allow a system administrator to test the integrity of the packages downloaded through the above scheme. This release includes the tool <command>apt-key</command> for adding new keys to apt's keyring, which by default includes only the current Debian archive signing key.
fr: La version&nbsp;0.6 d'apt, disponible depuis Debian 4.0 <emphasis>Etch</emphasis>, et les versions plus récentes, intègrent <emphasis>apt-secure</emphasis> (aussi connu sous le nom d'<emphasis>apt sécurisé</emphasis>) qui est un outil permettant à l'administrateur système de tester l'intégrité des paquets téléchargés conformément au schéma ci-dessus. Cette version contient l'outil <command>apt-key</command> pour ajouter de nouvelles clefs au trousseau d'apt qui ne contient par défaut que la clef actuelle de signature de l'archive Debian.

en: These changes are based on the patch for <command>apt</command> (available in <ulink name="Bug #203741" url="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" />) which provides this implementation.
fr: Ces modifications sont basées sur un correctif pour <command>apt</command> (disponible dans le <ulink url="htttp://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" name="bogue nº&nbsp;203741" />) qui fournit cette implémentation.

en: Secure apt works by checking the distribution through the <filename>Release</filename> file, as discussed in <xref linkend="check-releases" />. Typically, this process will be transparent to the administrator although you will need to intervene every year<footnote><para>Until an automatic mechanism is developed.</para></footnote> to add the new archive key when it is rotated, for more information on the steps an administrator needs to take a look at <xref linkend="secure-apt-add-key" />.
fr: apt sécurisé fonctionne en vérifiant la distribution à l'aide du fichier <filename>Release</filename>, conformément à <xref linkend="check-releases" />. Typiquement, ce processus sera transparent pour l'administrateur bien qu'il faudra intervenir chaque année <footnote><para>Jusqu'à ce qu'un mécanisme automatique ne soit développé.</para></footnote> pour ajouter la nouvelle clef de l'archive quand elle est modifiée. Pour obtenir plus de renseignements sur les étapes qu'un administrateur doit accomplir, consultez <xref linkend="secure-apt-add-key" />.

en: This feature is still under development, if you believe you find bugs in it, please, make first sure you are using the latest version (as this package might change quite a bit before it is finally released) and, if running the latest version, submit a bug against the <package>apt</package> package.
fr: Cette fonctionnalité est encore en développement, donc si vous pensez avoir trouvé des bogues dans ce paquet, veuillez d'abord vérifier que vous utilisez la dernière version (car ce paquet peut évoluer beaucoup avant d'être diffusé) et si vous utilisez la dernière version, soumettez un rapport de bogue sur le paquet <application>apt</application>.

en: Per distribution release check
fr: Vérification par version de distribution

en: This section describes how the distribution release check mechanism works, it was written by Joey Hess and is also available at the <ulink name="Debian Wiki" url="http://wiki.debian.org/SecureApt" />.
fr: Cette section décrit le mode de fonctionnement du mécanisme de vérification par version de distribution, elle a été écrite par Joey Hess et est également disponible dans le <ulink url="htttp://wiki.debian.org/SecureApt" name="wiki de Debian" />.

en: Basic concepts
fr: Concepts de base

en: Here are a few basic concepts that you'll need to understand for the rest of this section.
fr: Voici quelque concepts de base que vous devrez comprendre pour la suite de cette section.

en: A checksum is a method of taking a file and boiling it down to a reasonably short number that uniquely identifies the content of the file. This is a lot harder to do well than it might seem, and the most commonly used type of checksum, the MD5 sum, is in the process of being broken.
fr: Une somme de contrôle est une méthode permettant de prendre un fichier et de le réduire en un nombre suffisamment petit qui identifie son contenu de façon unique. C'est beaucoup plus compliqué qu'il n'y parait de faire ça bien, et le type de sommes de contrôle le plus fréquemment utilisé, MD5, est en passe d'être cassé.

en: Public key cryptography is based on pairs of keys, a public key and a private key. The public key is given out to the world; the private key must be kept a secret. Anyone possessing the public key can encrypt a message so that it can only be read by someone possessing the private key. It's also possible to use a private key to sign a file, not encrypt it. If a private key is used to sign a file, then anyone who has the public key can check that the file was signed by that key. No one who doesn't have the private key can forge such a signature.
fr: La cryptographie à clef publique est basée sur une paire de clefs: une publique et une privée. La clef publique est distribuée partout ; la clef privée doit être gardée secrète. Tous ceux qui possèdent la clef publique peuvent chiffrer un message qui ne pourra être lu que par un possesseur de la clef privée. La clef privée permet elle de signer un fichier, pas de le chiffrer. Si une clef privée est utilisée pour signer un fichier, alors tous ceux qui ont la clef publique peuvent vérifier que le fichier était signé par cette clef. Une personne ne possédant pas la clef privée ne peut pas contrefaire une telle signature.

en: These keys are quite long numbers (1024 to 2048 digits or longer), and to make them easier to work with they have a key id, which is a shorter, 8 or 16 digit number that can be used to refer to them.
fr: Ces clefs sont des nombres assez grands (de 1024 à 2048 chiffres, ou plus) et pour les rendre plus facile à utiliser, ils ont un identifiant de clef, plus court (un nombre de 8 ou 16 chiffres), qui peut être utilisé pour y référer.

en: <command>gpg</command> is the tool used in secure apt to sign files and check their signatures.
fr: <command>gpg</command> est l'outil utilisé par apt sécurisé pour signer les fichiers et vérifier leurs signatures.

en: <command>apt-key</command> is a program that is used to manage a keyring of gpg keys for secure apt. The keyring is kept in the file <filename>/etc/apt/trusted.gpg</filename> (not to be confused with the related but not very interesting <filename>/etc/apt/trustdb.gpg</filename>). <command>apt-key</command> can be used to show the keys in the keyring, and to add or remove a key.
fr: <command>apt-key</command> est un programme qui permet de gérer un trousseau de clefs GPG pour apt sécurisé. Le trousseau est gardé dans le fichier <filename>/etc/apt/trusted.gpg</filename> (à ne pas confondre avec le fichier <filename>/etc/apt/trustdb.gpg</filename> relatif, mais pas très intéressant). <command>apt-key</command> permet de montrer les clefs du trousseau, et d'ajouter ou enlever une clef.

en: <filename>Release</filename> checksums
fr: Sommes de contrôle de Release

en: A Debian archive contains a <filename>Release</filename> file, which is updated each time any of the packages in the archive change. Among other things, the <filename>Release</filename> file contains some MD5 sums of other files in the archive. An excerpt of an example <filename>Release</filename> file:
fr: Une archive Debian contient un fichier <filename>Release</filename>, qui est mis à jour à chaque fois qu'un paquet de l'archive est modifié. Entre autres, le fichier <filename>Release</filename> contient les sommes MD5 d'autres fichiers de l'archives. Exemple d'extrait de fichier <filename>Release</filename> :

en: The <filename>Release</filename> files also include SHA-1 checksums, which will be useful once MD5 sums become fully broken, however apt doesn't use them yet.
fr: Les fichiers <filename>Release</filename> contiennent aussi des sommes de contrôle SHA-1, ce qui sera utile quand les sommes de contrôle MD5 seront complètement cassées, toutefois, apt ne les utilise pas encore.

en: Now if we look inside a <filename>Packages</filename> file, we'll find more MD5 sums, one for each package listed in it. For example:
fr: Maintenant, à l'intérieur d'un fichier <filename>Packages</filename>, d'autres sommes de contrôle MD5 sont disponibles : une pour chaque paquet de la liste. Par exemple :

en: These two checksums can be used to verify that you have downloaded a correct copy of the <filename>Packages</filename> file, with a md5sum that matches the one in the <filename>Release</filename> file. And when it downloads an individual package, it can also check its md5sum against the content of the <filename>Packages</filename> file. If apt fails at either of these steps, it will abort.
fr: Ces deux sommes de contrôle permettent de vérifier que la copie du fichier <filename>Packages</filename> téléchargé est correcte, avec une somme de contrôle MD5 qui correspond à celle du fichier <filename>Release</filename>. Lorsqu'un paquet est téléchargé individuellement, la vérification de la somme de contrôle MD5 avec le contenu du fichier <filename>Packages</filename> est aussi possible. Si apt échoue à l'une de ces étapes, il abandonnera.

en: None of this is new in secure apt, but it does provide the foundation. Notice that so far there is one file that apt doesn't have a way to check: The Release file. Secure apt is all about making apt verify the <filename>Release</filename> file before it does anything else with it, and plugging this hole, so that there is a chain of verification from the package that you are going to install all the way back to the provider of the package.
fr: Rien de nouveau pour apt sécurisé, mais cela fournit les bases. Remarquez qu'un seul fichier n'a pas pu être vérifié par apt : le fichier <filename>Release</filename>. apt sécurisé a justement pour but de faire vérifier <filename>Release</filename> par apt avant de faire quoi que ce soit d'autre avec, et de combler ce trou, afin de rendre la chaîne de vérification complète, du paquet qui va être installé jusqu'au fournisseur du paquet.

en: Verification of the <filename>Release</filename> file
fr: Vérification du fichier Release

en: To verify the <filename>Release</filename> file, a gpg signature is added for the <filename>Release</filename> file. This is put in a file named <filename>Release.gpg</filename> that is shipped alongside the <filename>Release</filename> file. It looks something like this <footnote><para>Technically speaking, this is an ASCII-armored detached gpg signature.</para></footnote> , although only gpg actually looks at its contents normally:
fr: Pour vérifier le fichier <filename>Release</filename>, une signature gpg est ajoutée dans le fichier <filename>Release.gpg</filename>, distribué à ses côtés. Il ressemble à ceci<footnote><para>D'un point de vue technique, c'est une signature ASCII-armored détachée.</para></footnote>, bien que seul gpg accède à son contenu normalement :

en: Check of <filename>Release.gpg</filename> by <command>apt</command>
fr: Vérification du fichier Release.gpg par apt

en: Secure apt always downloads <filename>Release.gpg</filename> files when it's downloading <filename>Release</filename> files, and if it cannot download the <filename>Release.gpg</filename>, or if the signature is bad, it will complain, and will make note that the <filename>Packages</filename> files that the <filename>Release</filename> file points to, and all the packages listed therein, are from an untrusted source. Here's how it looks during an <command>apt-get update</command>:
fr: apt sécurisé télécharge les fichiers <filename>Release.gpg</filename> en même temps que les fichiers <filename>Release</filename>, et s'il ne peut pas télécharger <filename>Release.gpg</filename>, ou si la signature n'est pas correcte, il se plaindra, et fera remarquer que les fichiers <filename>Packages</filename> pointés par le fichier <filename>Release</filename>, et tous les paquets contenus dedans, ne proviennent pas d'une source de confiance. Voici à quoi cela ressemble lors d'un <command>apt-get update</command> :

en: 
    W: GPG error: http://ftp.us.debian.org testing Release: The following signatures
     couldn't be verified because the public key is not available: NO_PUBKEY 010908312D230C5F
fr: 
    W: Erreur de GPG : http://ftp.us.debian.org testing Release :
    Les signatures suivantes n'ont pas pu être vérifiées car la
    clé publique n'est pas disponible : NO_PUBKEY 010908312D230C5F

en: Note that the second half of the long number is the key id of the key that apt doesn't know about, in this case that's 2D230C5F.
fr: Remarquez que la seconde partie du grand nombre est l'identifiant de la clef qu'apt ne connaît pas, c'est-à-dire 2D230C5F ici.

en: If you ignore that warning and try to install a package later, apt will warn again:
fr: Si vous ignorez cet avertissement et essayez d'installer un paquet ensuite, apt avertira de nouveau :

en: 
    WARNING: The following packages cannot be authenticated!
      libglib-perl libgtk2-perl
    Install these packages without verification [y/N]?
fr: 
    ATTENTION : les paquets suivants n'ont pas été authentifiés.
      libglib-perl libgtk2-perl
    Faut-il installer ces paquets sans vérification (o/N) ?

en: If you say Y here you have no way to know if the file you're getting is the package you're supposed to install, or if it's something else entirely that somebody that can intercept the communication against the server<footnote><para>Or has poisoned your DNS, or is spoofing the server, or has replaced the file in the mirror you are using, etc.</para></footnote> has arranged for you, containing a nasty suprise.
fr: Si vous acceptez ici, vous n'avez aucun moyen de savoir si le fichier que vous obtenez est le paquet que vous voulez installer, ou s'il s'agit d'autre chose que quelqu'un pouvant intercepter la communication avec le serveur<footnote><para>Ou ayant empoisonné le DNS, ou usurpant le serveur, ou ayant remplacé le fichier sur le miroir utilisé, etc.</para></footnote> a préparé pour vous, avec une mauvaise surprise.

en: Note that you can disable these checks by running apt with --allow-unauthenticated.
fr: Remarquez que vous pouvez désactiver ces vérifications en exécutant apt avec --allow-unauthenticated.

en: It's also worth noting that newer versions of the Debian installer use the same signed <filename>Release</filename> file mechanism during their debootstrap of the Debian base system, before apt is available, and that the installer even uses this system to verify pieces of itself that it downloads from the net. Also, Debian does not currently sign the <filename>Release</filename> files on its CDs; apt can be configured to always trust packages from CDs so this is not a large problem.
fr: Remarquez également que les nouvelles versions de l'installateur Debian utilisent le même mécanisme de fichier <filename>Release</filename> lors du debootstrap du système de base Debian, avant qu'apt ne soit disponible, et que l'installateur utilise même ce système pour vérifier ses morceaux qu'il télécharge. Enfin, Debian ne signe pour l'instant pas les fichiers <filename>Release</filename> de ses CD ; apt peut être configuré pour faire toujours confiance aux fichiers des CD de sorte que ce ne soit pas un gros problème.

en: How to tell apt what to trust
fr: Comment expliquer à apt en quoi avoir confiance

en: So the security of the whole system depends on there being a <filename>Release.gpg</filename> file, which signs a <filename>Release</filename> file, and of <command>apt</command> checking that signature using gpg. To check the signature, it has to know the public key of the person who signed the file. These keys are kept in apt's own keyring (<filename>/etc/apt/trusted.gpg</filename>), and managing the keys is where secure apt comes in.
fr: La sécurité de l'intégralité du système dépend de l'existence d'un fichier <filename>Release.gpg</filename>, qui signe un fichier <filename>Release</filename> et de la vérification d'<command>apt</command> à l'aide de gpg. Pour vérifier la signature, il doit connaître la clef publique de la personne qui a signé le fichier. Ces clefs sont gardées dans le trousseau spécifique à apt (<filename>/etc/apt/trusted.gpg</filename>) et apt sécurisé arrive avec la gestion des clefs.

en: By default, Debian systems come preconfigured with the Debian archive key in the keyring.
fr: Par défaut, les systèmes Debian sont fournis préconfigurés avec la clef d'archive Debian du trousseau.

en: 
    # apt-key list
    /etc/apt/trusted.gpg
    --------------------
    pub   1024D/4F368D5D 2005-01-31 [expires: 2006-01-31]
    uid                  Debian Archive Automatic Signing Key (2005) &lt;ftpmaster@debian.org&gt;
fr: 
    # apt-key list
    /etc/apt/trusted.gpg
    --------------------
    pub   1024D/4F368D5D 2005-01-31 [expire: 2006-01-31]
    uid                  Debian Archive Automatic Signing Key (2005) &lt;ftpmaster@debian.org&gt;

en: Here 4F368D5D is the key id, and notice that this key was only valid for a one year period. Debian rotates these keys as a last line of defense against some sort of security breach breaking a key.
fr: Ici 4F368D5D est l'identifiant de clef, et remarquez que la clef n'est valable que pour une période d'un an. Debian permute ces clefs comme dernière ligne de défense contre une quelconque brèche de sécurité de cassage de clef.

en: That will make <command>apt</command> trust the official Debian archive, but if you add some other apt repository to <filename>/etc/apt/sources.list</filename>, you'll also have to give <command>apt</command> its key if you want apt to trust it. Once you have the key and have verified it, it's a simple matter of running <command>apt-key add</command> <replaceable>file</replaceable> to add it. Getting the key and verifying it are the trickier parts.
fr: <command>apt</command> aura ainsi confiance en l'archive Debian officielle, mais si vous ajoutez d'autres dépôts apt à <filename>/etc/apt/sources.list</filename>, il vous faudra également donner à <command>apt</command> sa clef si vous voulez qu'il ait confiance en ce dépôt. Une fois que vous possédez la clef et que vous l'avez vérifiée, il suffit d'exécuter <command>apt-key add fichier</command> pour l'ajouter. Obtenir la clef et la vérifier sont les parties les plus délicates.

en: Finding the key for a repository
fr: Trouver la clef d'un dépôt

en: The debian-archive-keyring package is used to distribute keys to <command>apt</command>. Upgrades to this package can add (or remove) gpg keys for the main Debian archive.
fr: Le paquet debian-archive-keyring est utilisé pour distribuer les clefs à <command>apt</command>. Les mises à niveau de ce paquet peuvent ajouter (ou retirer) des clefs gpg pour l'archive Debian principale.

en: For other archives, there is not yet a standard location where you can find the key for a given apt repository. There's a rough standard of putting the key up on the web page for the repository or as a file in the repository itself, but no real standard, so you might have to hunt for it.
fr: Pour les autres archives, il n'y a pas encore d'endroit normalisé pour trouver la clef d'un dépôt apt donné. La clef est souvent liée depuis la page web du dépôt ou placée dans le dépôt directement, mais il vous faudra parfois la chercher.

en: <command>gpg</command> itself has a standard way to distribute keys, using a keyserver that gpg can download a key from and add it to its keyring. For example:
fr: <command>gpg</command> a lui même un moyen normalisé de distribuer les clefs, utilisant un servent de clefs, d'où gpg peut télécharger une clef pour l'ajouter à son trousseau. Par exemple :

en: 
    $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requesting key 2D230C5F from hkp server pgpkeys.mit.edu
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006) &lt;ftpm
    aster@debian.org&gt;" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
fr: 
    $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requête de la clé 2D230C5F du serveur hkp pgpkeys.mit.edu
    gpg: clé 2D230C5F: clé publique « Debian Archive Automatic Signing Key (2006)
    &lt;ftpmaster@debian.org&gt; » importée
    gpg:        Quantité totale traitée: 1
    gpg:                       importée: 1

en: You can then export that key from your own keyring and feed it to <command>apt-key</command>:
fr: Vous pouvez alors exporter cette clef depuis votre propre trousseau et la fournir à <command>apt-key</command> :

en: 
    $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: no ultimately trusted keys found
    OK
fr: 
    $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: aucune clé de confiance ultime n'a été trouvée
    OK

en: The "gpg: no ultimately trusted keys found" warning means that gpg was not configured to ultimately trust a specific key. Trust settings are part of OpenPGPs Web-of-Trust which does not apply here. So there is no problem with this warning. In typical setups the user's own key is ultimately trusted.
fr: L'avertissement « gpg: aucune clé de confiance ultime n'a été trouvée » signifie que gpg n'était pas configuré pour faire confiance de façon ultime à une clef en particulier. Les réglages de confiance font partie du réseau de confiance d'OpenPGP qui ne s'applique pas ici. Cet avertissement n'est donc pas un problème ici. Dans les configurations typiques, seule la propre clef de l'utilisateur est de confiance ultime.

en: Safely adding a key
fr: Ajout de clef en sécurité

en: It's good to be paranoid in security, but verifying things from here is harder. <command>gpg</command> has the concept of a chain of trust, which can start at someone you're sure of, who signs someone's key, who signs some other key, etc., until you get to the archive key. If you're sufficiently paranoid you'll want to check that your archive key is signed by a key that you can trust, with a trust chain that goes back to someone you know personally. If you want to do this, visit a Debian conference or perhaps a local LUG for a key signing <footnote><para>Not all apt repository keys are signed at all by another key. Maybe the person setting up the repository doesn't have another key, or maybe they don't feel comfortable signing such a role key with their main key. For information on setting up a key for a repository see <xref linkend="check-non-debian-releases" />. </para></footnote>.
fr: Être paranoïaque est une bonne attitude en sécurité, mais vérifier les choses à partir d'ici est plus difficile. <command>gpg</command> connaît le concept de chaîne de confiance, qui peut commencer à partir de quelqu'un dont vous être sûr, qui signe la clef de quelqu'un, qui signe une autre clef, etc. jusqu'à atteindre la clef de l'archive. Si vous êtes suffisamment paranoïaque, vous voudrez vérifier que la clef de l'archive est signée par une clef en laquelle vous pouvez avoir confiance, avec une chaîne de confiance qui remonte jusqu'à quelqu'un que vous connaissez personnellement. Si vous voulez faire cela, rendez vous à une conférence Debian ou peut-être à un groupe (LUG) local pour une signature de clef <footnote><para>Toutes les clefs de dépôt apt ne sont pas encore signées par une autre clef. Peut-être que la personne qui a mis en place le dépôt n'a pas d'autre clef, ou peut-être que ça ne lui plaît pas de signer une telle clef de rôle avec sa clef principale. Pour des renseignements au sujet de la mise en place d'une clef de dépôt, consultez <xref linkend="check-non-debian-releases" />.</para></footnote>.

en: If you can't afford this level of paranoia, do whatever feels appropriate to you when adding a new apt source and a new key. Maybe you'll want to mail the person providing the key and verify it, or maybe you're willing to take your chances with downloading it and assuming you got the real thing. The important thing is that by reducing the problem to what archive keys to trust, secure apt lets you be as careful and secure as it suits you to be.
fr: Si vous ne pouvez pas vous permettre ce niveau de paranoïa, faites le nécessaire suffisant de votre point de vue quand vous ajoutez une nouvelle source apt et une nouvelle clef. Peut-être voudrez vous échanger un courrier électronique avec la personne fournissant la clef et la vérifier, ou peut-être préférerez vous tenter votre chance en téléchargeant la clef en supposant que c'est la bonne. Ce qui est important est qu'en réduisant le problème au niveau de confiance des clefs de l'archive, apt sécurisé vous laisse être aussi prudent et sécurisé que vous désirez l'être.

en: Verifying key integrity
fr: Vérification de l'intégrité des clefs

en: 
    $ GET http://ftp-master.debian.org/ziyi_key_2006.asc | gpg --import
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006)
      &lt;ftpmaster&amp;debian.org&gt;" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
    $ gpg --check-sigs --fingerprint 2D230C5F
    pub   1024D/2D230C5F 2006-01-03 [expires: 2007-02-07]
          Key fingerprint = 0847 50FC 01A6 D388 A643  D869 0109 0831 2D23 0C5F
    uid   Debian Archive Automatic Signing Key (2006) &lt;ftpmaster@debian.org&gt;
    sig!3        2D230C5F 2006-01-03  Debian Archive Automatic Signing Key
                                      (2006) &lt;ftpmaster@debian.org&gt;
    sig!         2A4E3EAA 2006-01-03  Anthony Towns &lt;aj@azure.humbug.org.au&gt;
    sig!         4F368D5D 2006-01-03  Debian Archive Automatic Signing Key
                                      (2005) &lt;ftpmaster@debian.org&gt;
    sig!         29982E5A 2006-01-04  Steve Langasek &lt;vorlon@dodds.net&gt;
    sig!         FD6645AB 2006-01-04  Ryan Murray &lt;rmurray@cyberhqz.com&gt;
    sig!         AB2A91F5 2006-01-04  James Troup &lt;james@nocrew.org&gt;
fr: 
    $ GET http://ftp-master.debian.org/keys/archive-key-6.0.asc | gpg --import
    gpg: clé 473041FA: clé publique « Debian Archive Automatic Signing Key (6.0/squeeze)
      &lt;ftpmaster@debian.org&gt; » importée
    gpg:        Quantité totale traitée: 1
    gpg:                       importée: 1  (RSA: 1)
    gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
      de confiance PGP
    gpg: profondeur: 0  valide:   1  signé:   0
    confiance: 0-. 0g. 0n. 0m. 0f. 1u
    $ gpg --check-sigs --fingerprint 473041FA
    pub   4096R/473041FA 2010-08-27 [expire: 2018-03-05]
        Empreinte de la clé = 9FED 2BCB DCD2 9CDF 7626  78CB AED4 B06F 4730 41FA
    uid                  Debian Archive Automatic Signing Key (6.0/squeeze) &lt;ftpmaster@debian.org&gt;
    sig!3        473041FA 2010-08-27  Debian Archive Automatic Signing Key (6.0/squeeze)
      &lt;ftpmaster@debian.org&gt;
    sig!         7E7B8AC9 2010-08-27  Joerg Jaspert &lt;joerg@debian.org&gt;
    sig!    P    B12525C4 2010-08-27  Joerg Jaspert &lt;joerg@debian.org&gt;
    sig!         D0EC0723 2010-08-27  Mark Hymers &lt;mhy@debian.org&gt;
    sig!         8AEA8FEE 2010-08-27  Stephen Gran &lt;steve@lobefin.net&gt;
    sig!         A3AE44A4 2010-08-28  Michael O'Connor (stew) &lt;stew@vireo.org&gt;
    sig!         00D8CD16 2010-08-28  Alexander Reichle-Schmehl &lt;alexander@reichle.schmehl.info&gt;
    sig!         CD15A883 2010-08-28  Alexander Schmehl (privat) &lt;alexander@schmehl.info&gt;
    sig!         672C8B12 2010-08-28  Alexander Reichle-Schmehl &lt;tolimar@debian.org&gt;
    sig!2        C4CF8EC3 2010-08-28  Torsten Werner &lt;twerner@debian.org&gt;
    sig!2        D628A5CA 2010-08-28  Torsten Werner &lt;mail.twerner@googlemail.com&gt;

en: 
    $ gpg --export -a 2D230C5F | sudo apt-key add -
    Ok
fr: 
    $ gpg --export -a 473041FA | sudo apt-key add -
    OK

en: Note that the key is signed with the previous archive key, so theoretically you can just build on your previous trust.
fr: Remarquez que la clef est signée par la clef de l'archive précédente, donc vous pouvez en théorie vous appuyer simplement sur votre confiance précédente.

en: Debian archive key yearly rotation
fr: Rotation annuelle de la clef de l'archive Debian

en: As mentioned above, the Debian archive signing key is changed each year, in January. Since secure apt is young, we don't have a great deal of experience with changing the key and there are still rough spots.
fr: Comme signalé précédemment, la clef de l'archive Debian est modifiée tous les ans, en janvier. Comme apt sécurisé est encore jeune, nous manquons encore d'expérience pour modifier la clef et des passages sont un peu abrupts.

en: In January 2006, a new key for 2006 was made and the <filename>Release</filename> file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <filename>Release</filename> file was signed by that as well. The intent was that apt would accept one signature or the other depending on the key it had, but apt turned out to be buggy and refused to trust the file unless it had both keys and was able to check both signatures. This was fixed in apt version 0.6.43.1. There was also confusion about how the key was distributed to users who already had systems using secure apt; initially it was uploaded to the web site with no announcement and no real way to verify it and users were forced to download it by hand.
fr: En janvier 2006, une nouvelle clef à été préparée pour 2006 et le fichier <filename>Release</filename> a commencé à être signé par cette clef, mais pour éviter de casser les systèmes qui utilisaient encore l'ancienne clef de 2005, le fichier <filename>Release</filename> était aussi signé par cette dernière. Le but était qu'apt accepte les deux signatures, indépendamment de la clef qu'il possède, mais à cause d'un bogue d'apt, il refusait de faire confiance au fichier s'il n'avait pas les deux clefs et n'était pas capable de vérifier les deux signatures. Cela a été corrigé dans la version 0.6.43.1 d'apt. Une confusion existait aussi sur la façon de distribuer la clef aux utilisateurs qui utilisaient déjà des systèmes avec apt sécurisé ; elle avait été envoyée sur le site web sans annonce et sans réel moyen de la vérifier, et les utilisateurs ont été obligés de la télécharger eux-mêmes.

en: In January 2006, a new key for 2006 was made and the Release file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <filename>Release</filename> file was signed by that as well. In order to prevent confusion on the best distribution mechanism for users who already have systems using secure apt, the debian-archive-keyring package was introduced, which manages apt keyring updates.
fr: En janvier 2006, une nouvelle clef à été préparée pour 2006 et le fichier <filename>Release</filename> a commencé à être signé par cette clef, mais pour éviter de casser les systèmes qui utilisaient encore l'ancienne clef de 2005, le fichier <filename>Release</filename> était aussi signé par cette dernière. Pour éviter les confusions sur le meilleur mécanisme de distribution pour les utilisateurs qui utilisent déjà des systèmes avec apt sécurisé, le paquet <application>debian-archive-keyring</application> a été  introduit, pour gérer les mises à jour du trousseau de clefs d'apt.

en: Known release checking problems
fr: Problèmes connus de vérification de la publication

en: One not so obvious problem is that if your clock is very far off, secure apt will not work. If it's set to a date in the past, such as 1999, apt will fail with an unhelpful message such as this:
fr: Un autre problème évident est que si l'horloge est très décalée, apt sécurisé ne fonctionnera pas. Si la date est configurée dans le passée, comme en 1999, apt échouera avec un message peu compréhensible comme :

en: 
    W: GPG error: http://archive.progeny.com sid Release: Unknown error executing gpg
fr: 
    W: GPG error: http://ftp.us.debian.org sid Release: Unknown error executing gpg

en: Although <command>apt-key</command> list will make the problem plain:
fr: Pourtant <command>apt-key</command> list expliquera le problème :

en: 
    gpg: key 2D230C5F was created 192324901 seconds in the future (time warp or clock problem)
    gpg: key 2D230C5F was created 192324901 seconds in the future (time warp or clock problem)
    pub   1024D/2D230C5F 2006-01-03
    uid                  Debian Archive Automatic Signing Key (2006) &lt;ftpmaster@debian.org&gt;
fr: 
    gpg: la clé 473041FA a été créée 367773259 secondes dans le futur (rupture
    spatio-temporelle ou problème d'horloge)
    pub   4096R/473041FA 2010-08-27 [expire: 2018-03-05]
    uid                  Debian Archive Automatic Signing Key (6.0/squeeze) &lt;ftpmaster@debian.org&gt;

en: If it's set to a date too far in the future, apt will treat the keys as expired.
fr: Si elle est configurée à une date trop dans le futur, apt considérera la clef expirée.

en: Another problem you may encouter if using testing or unstable is that if you have not run <command>apt-get update</command> lately and <command>apt-get install</command> a package, apt might complain that it cannot be authenticated (why does it do this?). <command>apt-get update</command> will fix this.
fr: Un autre problème que vous pourriez rencontrer en utilisant testing ou unstable, est que si vous n'avez pas exécuté <command>apt-get update</command> récemment et <command>apt-get install</command> un paquet, apt risque de se plaindre qu'il ne peut pas être authentifié. <command>apt-get update</command> corrigera cela.

en: Manual per distribution release check
fr: Vérification manuelle par version de distribution

en: In case you want to add now the additional security checks and don't want or cannot run the latest apt version<footnote><para>Either because you are using the stable, <emphasis>sarge</emphasis>, release or an older release or because you don't want to use the latest apt version, although we would really appreciate testing of it.</para></footnote> you can use the script below, provided by Anthony Towns. This script can automatically do some new security checks to allow the user to be sure that the software s/he's downloading matches the software Debian's distributing. This stops Debian developers from hacking into someone's system without the accountability provided by uploading to the main archive, or mirrors mirroring something almost, but not quite like Debian, or mirrors providing out of date copies of unstable with known security problems.
fr: Au cas où vous voudriez ajouter des vérifications de sécurité supplémentaires et que vous ne vouliez pas ou pouviez pas utiliser la dernière version d'apt<footnote><para>Soit parce que vous utilisez la version stable <emphasis>Sarge</emphasis> ou une version plus ancienne, soit parce que vous ne voulez pas utiliser la dernière version d'apt, bien que nous apprécierions qu'elle soit testée</para></footnote> vous pouvez utiliser le script ci-dessous fourni par Anthony Towns. Ce script peut automatiquement faire certaines nouvelles vérifications de sécurité qui permettent à l'utilisateur d'être sûr que le logiciel qu'il télécharge correspond à celui de la distribution de logiciels Debian. Cela empêche les développeurs Debian d'intégrer des nouveautés au système de quelqu'un en outrepassant les responsabilités qui incombent au chargement vers l'archive principale, ou encore cela empêche une duplication similaire mais pas exactement identique, ou pour finir cela empêche l'utilisation de miroirs fournissant des copies anciennes de la version unstable ou connaissant des problèmes de sécurité.

en: This sample code, renamed as <command>apt-check-sigs</command>, should be used in the following way:
fr: Ce code exemple, renommé en <command>apt-release-check</command>, devrait être utilisé de la manière suivante&nbsp;:

en: 
    # apt-get update
    # apt-check-sigs
    (...results...)
    # apt-get dist-upgrade
fr: 
    # apt-get update
    # apt-check-sigs
    (...résultats...)
    # apt-get dist-upgrade

en: First you need to:
fr: Avant tout, vous avez besoin de&nbsp;:

en: remove any <filename>/etc/apt/sources.list</filename> lines that don't use the normal "dists" structure, or change the script so that it works with them.
fr: retirer toutes les lignes de <filename>/etc/apt/sources.list</filename> qui n'utilisent pas la structure normale «&nbsp;dists&nbsp;» ou modifier le script afin qu'il fonctionne avec elles ;

en: be prepared to ignore the fact that Debian security updates don't have signed <filename>Release</filename> files, and that <filename>Sources</filename> files don't have appropriate checksums in the <filename>Release</filename> file (yet).
fr: être prêt à ignorer le fait que les mises à jour de sécurité Debian n'ont pas de fichiers <filename>Release</filename> signés et que les fichiers <filename>Sources</filename> n'ont pas (encore) les sommes de contrôle («&nbsp;checksums&nbsp;») appropriées dans le fichier <filename>Release</filename> ;

en: be prepared to check that the appropriate sources are signed by the appropriate keys.
fr: être prêt à vérifier que les sources appropriées soient signées par les clefs appropriées.

en: 
    #!/bin/bash
    
    # Copyright (c) 2001 Anthony Towns &lt;ajt@debian.org&gt;
    #
    # This program is free software; you can redistribute it and/or modify
    # it under the terms of the GNU General Public License as published by
    # the Free Software Foundation; either version 2 of the License, or
    # (at your option) any later version.
    #
    # This program is distributed in the hope that it will be useful,
    # but WITHOUT ANY WARRANTY; without even the implied warranty of
    # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    # GNU General Public License for more details.
    
    rm -rf /tmp/apt-release-check
    mkdir /tmp/apt-release-check || exit 1
    cd /tmp/apt-release-check
    
    &gt;OK
    &gt;MISSING
    &gt;NOCHECK
    &gt;BAD
    
    arch=`dpkg --print-installation-architecture`
    
    am_root () {
            [ `id -u` -eq 0 ]
    }
    
    get_md5sumsize () {
            cat "$1" | awk '/^MD5Sum:/,/^SHA1:/' | 
              MYARG="$2" perl -ne '@f = split /\s+/; if ($f[3] eq $ENV{"MYARG"}) {
    print "$f[1] $f[2]\n"; exit(0); }'
    }
    
    checkit () {
            local FILE="$1"
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
            Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
                            # No file, but not needed anyway
                            echo "OK"
                            return
                    fi
                    echo "$FILE" &gt;&gt;MISSING
                    echo "MISSING $Y"
                    return
            fi
            if [ "$Y" = "" ]; then
                    echo "$FILE" &gt;&gt;NOCHECK
                    echo "NOCHECK"
                    return
            fi
            X="`md5sum &lt; /var/lib/apt/lists/$FILE | cut -d\  -f1` `wc -c &lt; /var/lib
    /apt/lists/$FILE`"
            X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" &gt;&gt;BAD
                    echo "BAD"
                    return
            fi
            echo "$FILE" &gt;&gt;OK
            echo "OK"
    }
    
    echo
    echo "Checking sources in /etc/apt/sources.list:"
    echo "~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~"
    echo
    (echo "You should take care to ensure that the distributions you're downloading
    "
    echo "are the ones you think you are downloading, and that they are as up to"
    echo "date as you would expect (testing and unstable should be no more than"
    echo "two or three days out of date, stable-updates no more than a few weeks"
    echo "or a month)."
    ) | fmt
    echo
    
    cat /etc/apt/sources.list | 
      sed 's/^ *//' | grep '^[^#]' |
      while read ty url dist comps; do
            if [ "${url%%:*}" = "http" -o "${url%%:*}" = "ftp" ]; then
                    baseurl="${url#*://}"
            else
                    continue
            fi
    
            echo "Source: ${ty} ${url} ${dist} ${comps}"
    
            rm -f Release Release.gpg
            lynx -reload -dump "${url}/dists/${dist}/Release" &gt;/dev/null 2&gt;&amp;1
            wget -q -O Release "${url}/dists/${dist}/Release"
    
            if ! grep -q '^' Release; then
                    echo "  * NO TOP-LEVEL Release FILE"
                    &gt;Release
            else
                    origline=`sed -n 's/^Origin: *//p' Release | head -1`
                    lablline=`sed -n 's/^Label: *//p' Release | head -1`
                    suitline=`sed -n 's/^Suite: *//p' Release | head -1`
                    codeline=`sed -n 's/^Codename: *//p' Release | head -1`
                    dateline=`grep "^Date:" Release | head -1`
                    dscrline=`grep "^Description:" Release | head -1`
                    echo "  o Origin: $origline/$lablline"
                    echo "  o Suite: $suitline/$codeline"
                    echo "  o $dateline"
                    echo "  o $dscrline"
    
                    if [ "${dist%%/*}" != "$suitline" -a "${dist%%/*}" != "$codeline" ]; then
                            echo "  * WARNING: asked for $dist, got $suitline/$codeline"
                    fi
    
                    lynx -reload -dump "${url}/dists/${dist}/Release.gpg" &gt;/dev/null 2&gt;&amp;1
                    wget -q -O Release.gpg "${url}/dists/${dist}/Release.gpg"
    
                    gpgv --status-fd 3 Release.gpg Release 3&gt;&amp;1 &gt;/dev/null 2&gt;&amp;1 | sed -n "s/^\[GNUPG:\] //p" | (okay=0; err=""; while read gpgcode rest; do
                            if [ "$gpgcode" = "GOODSIG" ]; then
                                if [ "$err" != "" ]; then
                                    echo "  * Signed by ${err# } key: ${rest#* }"
                                else
                                    echo "  o Signed by: ${rest#* }"
                                    okay=1
                                fi
                                err=""
                            elif [ "$gpgcode" = "BADSIG" ]; then
                                echo "  * BAD SIGNATURE BY: ${rest#* }"
                                err=""
                            elif [ "$gpgcode" = "ERRSIG" ]; then
                                echo "  * COULDN'T CHECK SIGNATURE BY KEYID: ${rest %% *}"
                                err=""
                            elif [ "$gpgcode" = "SIGREVOKED" ]; then
                                err="$err REVOKED"
                            elif [ "$gpgcode" = "SIGEXPIRED" ]; then
                                err="$err EXPIRED"
                            fi
                        done
                        if [ "$okay" != 1 ]; then
                            echo "  * NO VALID SIGNATURE"
                            &gt;Release
                        fi)
            fi
            okaycomps=""
            for comp in $comps; do
                    if [ "$ty" = "deb" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Release" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Packages" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Packages")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * PROBLEMS WITH $comp ($X, $Y)"
                            fi
                    elif [ "$ty" = "deb-src" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Release" | sed 's,//*,_,g'`" "${comp}/source/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Sources" | sed 's,//*,_,g'`" "${comp}/source/Sources")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * PROBLEMS WITH component $comp ($X, $Y)"
                            fi
                    fi
            done
            [ "$okaycomps" = "" ] || echo "  o Okay:$okaycomps"
            echo
      done
    
    echo "Results"
    echo "~~~~~~~"
    echo
    
    allokay=true
    
    cd /tmp/apt-release-check
    diff &lt;(cat BAD MISSING NOCHECK OK | sort) &lt;(cd /var/lib/apt/lists &amp;&amp; find . -type f -maxdepth 1 | sed 's,^\./,,g' | grep '_' | sort) | sed -n 's/^&gt; //p' &gt;UNVALIDATED
    
    cd /tmp/apt-release-check
    if grep -q ^ UNVALIDATED; then
        allokay=false
        (echo "The following files in /var/lib/apt/lists have not been validated."
        echo "This could turn out to be a harmless indication that this script"
        echo "is buggy or out of date, or it could let trojaned packages get onto"
        echo "your system."
        ) | fmt
        echo
        sed 's/^/    /' &lt; UNVALIDATED
        echo
    fi
    
    if grep -q ^ BAD; then
        allokay=false
        (echo "The contents of the following files in /var/lib/apt/lists does not"
        echo "match what was expected. This may mean these sources are out of date,"
        echo "that the archive is having problems, or that someone is actively"
        echo "using your mirror to distribute trojans."
        if am_root; then 
            echo "The files have been renamed to have the extension .FAILED and"
            echo "will be ignored by apt."
            cat BAD | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' &lt; BAD
        echo
    fi
    
    if grep -q ^ MISSING; then
        allokay=false
        (echo "The following files from /var/lib/apt/lists were missing. This"
        echo "may cause you to miss out on updates to some vulnerable packages."
        ) | fmt
        echo
        sed 's/^/    /' &gt; MISSING
        echo
    fi
    
    if grep -q ^ NOCHECK; then
        allokay=false
        (echo "The contents of the following files in /var/lib/apt/lists could not"
        echo "be validated due to the lack of a signed Release file, or the lack"
        echo "of an appropriate entry in a signed Release file. This probably"
        echo "means that the maintainers of these sources are slack, but may mean"
        echo "these sources are being actively used to distribute trojans."
        if am_root; then 
            echo "The files have been renamed to have the extension .FAILED and"
            echo "will be ignored by apt."
            cat NOCHECK | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' &gt; NOCHECK
        echo
    fi
    
    if $allokay; then
        echo 'Everything seems okay!'
        echo
    fi
    
    rm -rf /tmp/apt-release-check
fr: 
    #!/bin/bash
    
    # Copyright (c) 2001 Anthony Towns &lt;ajt@debian.org&gt;
    #
    # This program is free software; you can redistribute it and/or modify
    # it under the terms of the GNU General Public License as published by
    # the Free Software Foundation; either version 2 of the License, or
    # (at your option) any later version.
    #
    # This program is distributed in the hope that it will be useful,
    # but WITHOUT ANY WARRANTY; without even the implied warranty of
    # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    # GNU General Public License for more details.
    
    rm -rf /tmp/apt-release-check
    mkdir /tmp/apt-release-check || exit 1
    cd /tmp/apt-release-check
    
    >OK
    >MISSING
    >NOCHECK
    >BAD
    
    arch=`dpkg --print-installation-architecture`
    
    am_root () {
            [ `id -u` -eq 0 ]
    }
    
    get_md5sumsize () {
            cat "$1" | awk '/^MD5Sum:/,/^SHA1:/' | 
              MYARG="$2" perl -ne '@f = split /\s+/; if ($f[3] eq $ENV{"MYARG"}) { 
    print "$f[1] $f[2]\n"; exit(0); }'
    }
    
    checkit () {
            local FILE="$1"
            local LOOKUP="$2"
    
            Y="`get_md5sumsize Release "$LOOKUP"`"
            Y="`echo "$Y" | sed 's/^ *//;s/  */ /g'`"
    
            if [ ! -e "/var/lib/apt/lists/$FILE" ]; then
                    if [ "$Y" = "" ]; then
                            # No file, but not needed anyway
                            echo "Succès"
                            return
                    fi
                    echo "$FILE" >>MISSING
                    echo "$Y manquant"
                    return
            fi
            if [ "$Y" = "" ]; then
                    echo "$FILE" >>NOCHECK
                    echo "Pas de vérification"
                    return
            fi
            X="`md5sum &#60; /var/lib/apt/lists/$FILE | cut -d\  -f1` `wc -c &#60; /var/lib
    /apt/lists/$FILE`"
            X="`echo "$X" | sed 's/^ *//;s/  */ /g'`"
            if [ "$X" != "$Y" ]; then
                    echo "$FILE" >>BAD
                    echo "Problème"
                    return
            fi
            echo "$FILE" >>OK
            echo "Succès"
    }
    
    echo
    echo "Vérification des sources dans /etc/apt/sources.list :"
    echo "~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~"
    echo
    (echo "Vous devriez vous assurer que les distributions que vous téléchargez"
    echo "sont bien celles que vous pensez télécharger, et qu'elle sont aussi à"
    echo "jour que vous pourriez l'espérer (testing et unstable ne devraient pas"
    echo "être désynchronisées de plus d'un jour ou deux, stable-updates pas plus"
    echo "de quelques semaines ou un mois)."
    ) | fmt
    echo
    
    cat /etc/apt/sources.list | 
      sed 's/^ *//' | grep '^[^#]' |
      while read ty url dist comps; do
            if [ "${url%%:*}" = "http" -o "${url%%:*}" = "ftp" ]; then
                    baseurl="${url#*://}"
            else
                    continue
            fi
    
            echo "Source : ${ty} ${url} ${dist} ${comps}"
    
            rm -f Release Release.gpg
            lynx -reload -dump "${url}/dists/${dist}/Release" >/dev/null 2&#62;1
            wget -q -O Release "${url}/dists/${dist}/Release"
    
            if ! grep -q '^' Release; then
                    echo "  * Pas de fichier Release au premier niveau"
                    >Release
            else
                    origline=`sed -n 's/^Origin: *//p' Release | head -1`
                    lablline=`sed -n 's/^Label: *//p' Release | head -1`
                    suitline=`sed -n 's/^Suite: *//p' Release | head -1`
                    codeline=`sed -n 's/^Codename: *//p' Release | head -1`
                    dateline=`grep "^Date:" Release | head -1`
                    dscrline=`grep "^Description:" Release | head -1`
                    echo "  o Origine : $origline/$lablline"
                    echo "  o Suite : $suitline/$codeline"
                    echo "  o $dateline"
                    echo "  o $dscrline"
    
                    if [ "${dist%%/*}" != "$suitline" -a "${dist%%/*}" != "$codeline" ]; then
                            echo "  * Attention : $dist était demandée, $suitline/$codeline a été obtenue"
                    fi
    
                    lynx -reload -dump "${url}/dists/${dist}/Release.gpg" &#62; /dev/null 2&#62;&#38;1
                    wget -q -O Release.gpg "${url}/dists/${dist}/Release.gpg"
    
                    gpgv --status-fd 3 Release.gpg Release 3&#62;&#38;1 >/dev/null 2&#62;&#38;1 | sed -n "s/^\[GNUPG:\] //p" | (okay=0; err=""; while read gpgcode rest; do
                            if [ "$gpgcode" = "GOODSIG" ]; then
                                if [ "$err" != "" ]; then
                                    echo "  * Signé par ${err# } clef : ${rest#* }"
                                else
                                    echo "  o Signé par : ${rest#* }"
                                    okay=1
                                fi
                                err=""
                            elif [ "$gpgcode" = "BADSIG" ]; then
                                echo "  * Mauvaise signature par : ${rest#* }"
                                err=""
                            elif [ "$gpgcode" = "ERRSIG" ]; then
                                echo "  * Impossible de vérifier la signature par identifiant de clef : ${rest %% *}"
                                err=""
                            elif [ "$gpgcode" = "SIGREVOKED" ]; then
                                err="$err Révoquée"
                            elif [ "$gpgcode" = "SIGEXPIRED" ]; then
                                err="$err Expirée"
                            fi
                        done
                        if [ "$okay" != 1 ]; then
                            echo "  * Pas de signature valable"
                            &#62;Release
                        fi)
            fi
            okaycomps=""
            for comp in $comps; do
                    if [ "$ty" = "deb" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Release" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/binary-${arch}/Packages" | sed 's,//*,_,g'`" "${comp}/binary-${arch}/Packages")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * Problèmes avec $comp ($X, $Y)"
                            fi
                    elif [ "$ty" = "deb-src" ]; then
                            X=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Release" | sed 's,//*,_,g'`" "${comp}/source/Release")
                            Y=$(checkit "`echo "${baseurl}/dists/${dist}/${comp}/source/Sources" | sed 's,//*,_,g'`" "${comp}/source/Sources")
                            if [ "$X $Y" = "OK OK" ]; then
                                    okaycomps="$okaycomps $comp"
                            else
                                    echo "  * Problèmes avec le composant $comp ($X, $Y)"
                            fi
                    fi
            done
            [ "$okaycomps" = "" ] || echo "  o Okay:$okaycomps"
            echo
      done
    
    echo "Résultat"
    echo "~~~~~~~~"
    echo
    
    allokay=true
    
    cd /tmp/apt-release-check
    diff &#60;(cat BAD MISSING NOCHECK OK | sort) &#60;(cd /var/lib/apt/lists &#38;&#38; find . -type f -maxdepth 1 | sed 's,^\./,,g' | grep '_' | sort) | sed -n 's/^&#62; //p' >UNVALIDATED
    
    cd /tmp/apt-release-check
    if grep -q ^ UNVALIDATED; then
        allokay=false
        (echo "Les fichiers suivants de /var/lib/apt/lists n'ont pas été validés."
        echo "Cela peut soit être une simple indication inoffensive que ce script"
        echo "est bogué ou pas à jour, soit un indicateur de porte ouverte aux"
        echo "paquets de type chevaux de Troie sur le système."
        ) | fmt
        echo
        sed 's/^/    /' &#60; UNVALIDATED
        echo
    fi
    
    if grep -q ^ BAD; then
        allokay=false
        (echo "Les contenus des fichiers suivants de /var/lib/apt/lists ne"
        echo "correspondent pas à ce qui était attendu. Cela peut signifier que"
        echo "ces sources ne sont pas à jour, qu'il y a un problème d'archive,"
        echo "ou que quelqu'un est en train d'utiliser le miroir pour distribuer"
        echo "des chevaux de Troie."
        if am_root; then 
            echo "Les fichiers ont été renommés avec l'extension .FAILED et"
            echo "seront ignorés par apt."
            cat BAD | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' &#60; BAD
        echo
    fi
    
    if grep -q ^ MISSING; then
        allokay=false
        (echo "Les fichiers suivants de /var/lib/apt/lists manquaient. Cela"
        echo "pourrait vous faire manquer des mises à jours de paquets vulnérables."
        ) | fmt
        echo
        sed 's/^/    /' &#60; MISSING
        echo
    fi
    
    if grep -q ^ NOCHECK; then
        allokay=false
        (echo "Les contenus des fichiers suivants de /var/lib/apt/lists n'ont pas"
        echo "pu être validés à cause d'un manque de fichier Release signé, ou"
        echo "d'un manque d'entrée appropriée dans un fichier Release signé. Cela"
        echo "signifie probablement que les mainteneurs de ces sources sont"
        echo "négligents, mais pourrait signifier que ces sources sont en cours"
        echo "d'utilisation pour distribuer des chevaux de Troie."
        if am_root; then 
            echo "Les fichiers ont été renommés avec l'extension .FAILED et"
            echo "seront ignorés par apt."
            cat NOCHECK | while read a; do
                mv /var/lib/apt/lists/$a /var/lib/apt/lists/${a}.FAILED
            done
        fi) | fmt
        echo
        sed 's/^/    /' &#60; NOCHECK
        echo
    fi
    
    if $allokay; then
        echo 'Tout semble se passer correctement !'
        echo
    fi
    
    rm -rf /tmp/apt-release-check

en: You might need to apply the following patch for <emphasis>sid</emphasis> since <command>md5sum</command> adds an '-' after the sum when the input is stdin:
fr: Vous pourriez devoir ajouter le correctif suivant pour <emphasis>Sid</emphasis> car <command>md5sum</command> ajoute un « - » après la somme quand l'entrée provient de l'entrée standard :

en: Release check of non Debian sources
fr: Vérification de distribution pour les sources non Debian

en: Notice that, when using the latest apt version (with <emphasis>secure apt</emphasis>) no extra effort should be required on your part unless you use non-Debian sources, in which case an extra confirmation step will be required by apt-get. This is avoided by providing <filename>Release</filename> and <filename>Release.gpg</filename> files in the non-Debian sources. The <filename>Release</filename> file can be generated with <command>apt-ftparchive</command> (available in <package>apt-utils</package> 0.5.0 and later), the <filename>Release.gpg</filename> is just a detached signature. To generate both follow this simple procedure:
fr: Notez que, lors de l'utilisation de la dernière version d'apt (avec apt sécurisé), aucun effort supplémentaire ne devrait être nécessaire de votre part sauf si vous utilisez des sources non Debian, auquel cas une étape de confirmation supplémentaire sera imposée par apt-get. C'est évité en fournissant les fichiers <filename>Release</filename> et <filename>Release.gpg</filename> dans les sources non Debian. Le fichier <filename>Release</filename> peut être généré avec <command>apt-ftparchive</command> (disponible dans <application>apt-utils</application>&nbsp;0.5.0 et ultérieur), le fichier <filename>Release.gpg</filename> est simplement une signature détachée. Pour générer les deux fichiers, suivez cette procédure simple&nbsp;:

en: 
    $ rm -f dists/unstable/Release
    $ apt-ftparchive release dists/unstable &gt; dists/unstable/Release
    $ gpg --sign -ba -o dists/unstable/Release.gpg dists/unstable/Release
fr: 
    $ rm -f dists/unstable/Release
    $ apt-ftparchive release dists/unstable > dists/unstable/Release
    $ gpg --sign -ba -o dists/unstable/Release.gpg dists/unstable/Release

en: Alternative per-package signing scheme
fr: Schéma alternatif de signature par paquet

en: The additional scheme of signing each and every packages allows packages to be checked when they are no longer referenced by an existing <filename>Packages</filename> file, and also third-party packages where no <filename>Packages</filename> ever existed for them can be also used in Debian but will not be default scheme.
fr: Le schéma supplémentaire de signature de chacun des paquets permet aux paquets d'être vérifiés quand ils ne sont plus référencés par un fichier <filename>Packages</filename> existant, et également pour les paquets de tierce partie dont aucun <filename>Packages</filename> n'a jamais existé, pour qu'ils puissent être utilisés dans Debian, mais ce ne sera pas le schéma par défaut.

en: This package signing scheme can be implemented using <package>debsig-verify</package> and <package>debsigs</package>. These two packages can sign and verify embedded signatures in the .deb itself. Debian already has the capability to do this now, but there is no feature plan to implement the policy or other tools since the archive signing scheme is prefered. These tools are available for users and archive administrators that would rather use this scheme instead.
fr: Ce schéma de signature des paquets peut être implémenté en utilisant <application>debsig-verify</application> et <application>debsigs</application>. Ces deux paquets peuvent signer et vérifier des signatures intégrées au .deb lui-même. Debian a déjà la capacité de faire cela actuellement, mais il n'y a aucun projet de mettre en place une charte ou d'autres outils puisque la signature de l'archive est préférée. Ces outils sont disponibles aux utilisateurs et aux administrateurs d'archive qui pourraient préférer utiliser ce schéma.

en: NOTE: Currently <filename>/etc/dpkg/dpkg.cfg</filename> ships with "no-debsig" as per default.
fr: Note&nbsp;: actuellement, <filename>/etc/dpkg/dpkg.cfg</filename> est livré avec «&nbsp;no-debsig&nbsp;» par défaut.

en: NOTE2: Signatures from developers are currently stripped when they enter off the package archive since the currently preferred method is release checks as described previously.
fr: Seconde note : les signatures des développeurs sont actuellement enlevées lors de l'entrée du paquet dans l'archive car la méthode actuellement préférée est par vérification de distribution comme décrit précédemment.
