Télécharger Tails 4.18

Cette section contient des instructions simplifiées :

• Pour Windows avec Gpg4win
• Pour macOS avec GPGTools
• Pour Tails
• En utilisant la ligne de commande

Pour Windows avec Gpg4win

1. Téléchargez la signature OpenPGP pour l'image USB de Tails 4.18 signature OpenPGP pour l'image ISO de Tails 4.18 et sauvegardez-la dans le dossier où vous avez enregistré l'image.

2. Téléchargez la clé de signature de Tails et importez la dans Gpg4win.

   Voir la documentation de Gpg4win sur l'importation des clés (en anglais).

3. Vérifiez la signature de l'image que vous avez téléchargé.

   Voir la documentation de Gpg4win sur la vérification des signatures (en anglais).

   Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2021-04-20.

   Si l'avertissement suivant apparaît :

       Not enough information to check the signature validity.
       Signed on ... by tails@boum.org (Key ID: 0x58ACD84F
       The validity of the signature cannot be verified.
       

   Alors l'image est tout de même correctement signée par la clé que vous avez téléchargé. Pour supprimer cet avertissement vous devez authentifier la clé de signature via la toile de confiance OpenPGP.

Pour macOS en utilisant GPGTools

1. Téléchargez la signature OpenPGP pour l'image USB de Tails 4.18 signature OpenPGP pour l'image ISO de Tails 4.18 et sauvegardez-la dans le dossier où vous avez enregistré l'image.

2. Téléchargez la clé de signature de Tails et importez la dans GPGTools.

   Consulez la documentation de GPGTools sur l'importation de clés (en anglais).

3. Ouvrez Finder et naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.

4. Faites un contrôle-clic sur l'image et choisissez Services ▸ OpenPGP: Verify Signature of File.

Pour Tails

Tails est fourni avec la clé de signature de Tails déjà importée.

1. Téléchargez la signature OpenPGP pour l'image USB de Tails 4.18 signature OpenPGP pour l'image ISO de Tails 4.18 et sauvegardez-la dans le dossier où vous avez enregistré l'image.

2. Ouvrez le navigateur de fichier et naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.

3. Faites un clic droit (sur Mac, cliquez avec deux doigts) sur la signature puis sur Ouvrir avec Vérifier la signature.

4. La vérification de l'image démarre automatiquement :

   

5. Une fois la vérification terminée, vous devriez voir une notification informant que la signature est bonne :

   

   

   Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2021-04-20.

   Si à la place vous voyez une notification informant que la signature est valide mais pas de confiance :

   

   

   Alors l'image est tout de même correctement signée par la clé que vous avez téléchargé. Pour supprimer cet avertissement vous devez authentifier la clé de signature via la toile de confiance OpenPGP.

En ligne de commande

1. Téléchargez la signature OpenPGP pour l'image USB de Tails 4.18 signature OpenPGP pour l'image ISO de Tails 4.18 et sauvegardez-la dans le dossier où vous avez enregistré l'image.

2. Téléchargez la clé de signature de Tails et importez la dans GnuPGP.

   Pour importer la clé de signature de Tails dans GnuPGP, ouvrez un terminal et naviguez jusqu'au dossier où vous avez enregistré la clé de signature de Tails.

   Exécutez la commande :

   gpg --import tails-signing.key

3. Dans un terminal, naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.

4. Exécutez la commande :

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-4.18.img.sig tails-amd64-4.18.img

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-4.18.iso.sig tails-amd64-4.18.iso

   La sortie de cette commande devrait être :

   gpg: Signature made Mon 19 Apr 2021 03:30:01 PM UTC
   gpg:                using EDDSA key CD4D4351AFA6933F574A9AFB90B2B4BD7AED235F
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [full]
   gpg:                 aka "Tails developers <tails@boum.org>" [full]
   

   gpg: Signature made Mon 19 Apr 2021 03:29:51 PM UTC
   gpg:                using EDDSA key CD4D4351AFA6933F574A9AFB90B2B4BD7AED235F
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [full]
   gpg:                 aka "Tails developers <tails@boum.org>" [full]
   

   Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2021-04-20.

   Si la sortie inclut aussi :

   gpg: WARNING: This key is not certified with a trusted signature!
   gpg: There is no indication that the signature belongs to the owner.
   

   Alors l'image est tout de même correctement signée par la clé que vous avez téléchargé. Pour supprimer cet avertissement vous devez authentifier la clé de signature via la toile de confiance OpenPGP.

Les techniques de vérification que nous vous présentons (le système de vérification dans le navigateur, BitTorrent ou la vérification OpenPGP) dépendent toutes d'informations téléchargées de manière sécurisée via HTTPS depuis notre site web :

• La somme de contrôle pour la vérification dans le navigateur
• Le fichier Torrent pour BitTorrent
• La clé de signature de Tails pour la vérification OpenPGP

Il est possible que vous puissiez télécharger des informations malveillantes si notre site web est compromis ou si vous êtes victime d'une attaque de l'homme-du-milieu.

La vérification OpenPGP est la seule technique qui vous protège dans le cas où notre site web serait compromis ou si vous êtres victime d'une attaque de l'homme-du-milieu. Mais pour cela vous avez besoin d'authentifier la clé de signature de Tails avec la toile de confiance OpenPGP.

Un problème inhérent au standard HTTPS est le fait que la confiance accordée à un site web est définie par des autorités de certification : un ensemble fermé et hiérarchique d'entreprises et d'institutions gouvernementales approuvées par le fabricant de votre navigateur. La critique de ce modèle de confiance a été faite depuis longtemps et il a été montré de nombreuses fois qu'il était sujet à certaines attaques comme expliqué dans notre page d'avertissements.

Nous pensons plutôt que le dernier mot, lorsqu'il s'agit de faire confiance à un site web, doit revenir aux individus et que la construction de la confiance devrait être basée sur des relations humaines.

La toile de confiance OpenPGP est un modèle de confiance décentralisé basé sur les clés OpenPGP qui peut aider à résoudre ce problème. Voyons ça avec un exemple :

1. Vous êtes ami avec Alice et vous lui faites vraiment confiance quant à sa manière d'être sûre que les clés OpenPGP appartiennent vraiment à leurs propriétaires.
2. Alice a rencontré Bob, un développeur de Tails, lors d'une conférence et a certifié que la clé de Bob appartient réellement à Bob.
3. Bob est un développeur de Tails qui possède la clé de signature de Tails. Ainsi, Bob a certifié que la clé de signature de Tails appartient réellement à Tails.

Dans ce scénario, vous avez trouvé, à travers Alice et Bob, un chemin de confiance jusqu'à la clé de signature de Tails sans avoir besoin d'autorités de certification.

Se fier à la toile de confiance demande à la fois prudence et intelligence de la part des personnes l'utilisant. Les détails techniques sont au-delà de la portée de ce document.

Puisque la toile de confiance est basée sur des relations humaines et des interactions dans la vraie vie, le mieux serait d'entrer en contact avec des personnes s'y connaissant en OpenPGP et de construire des liens de confiance afin de vous frayer votre propre chemin de confiance jusqu'à la clé de signature de Tails.