Télécharger Tails 3.13

Cette section contient des instructions simplifiées :

• Pour Windows avec Gpg4win
• Pour macOS avec GPGTools
• Pour Tails
• En utilisant la ligne de commande

Pour Windows avec Gpg4win

Voir la documentation de Gpg4win sur la vérification des signatures (en anglais).

Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2019-03-19.

Si l'avertissement suivant apparaît :

Not enough information to check the signature validity.
Signed on ... by tails@boum.org (Key ID: 0x58ACD84F
The validity of the signature cannot be verified.

Alors l'image est tout de même correctement signée par la clé que vous avez téléchargé. Pour supprimer cet avertissement vous devez authentifier la clé de signature via la toile de confiance OpenPGP.

Pour macOS en utilisant GPGTools

1. Ouvrez Finder et naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.
2. Faites un clic droit sur l'image puis sur Services ▸ OpenPGP: Verify Signature of File.

Pour Tails

1. Ouvrez le navigateur de fichier et naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.
2. Faites un clic droit sur la signature puis sur Ouvrir avec Vérifier la signature.
3. La vérification de l'image démarre automatiquement :

   

4. Une fois la vérification terminée, vous devriez voir une notification informant que la signature est bonne :

   

   

   Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2019-03-19.

En ligne de commande

1. Ouvrez un terminal et naviguez jusqu'au dossier où vous avez enregistré l'image et la signature.

2. Exécutez la commande :

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-3.13.img.sig tails-amd64-3.13.img

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-3.13.iso.sig tails-amd64-3.13.iso

   La sortie de cette commande devrait être :

   gpg: Signature made Tue Mar 19 00:08:59 2019 UTC
   gpg:                using RSA key FE029CB4AAD4788E1D7828E8A8B0F4E45B1B50E2
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [unknown]
   gpg:                 aka "Tails developers <tails@boum.org>" [unknown]
   

   gpg: Signature made Tue Mar 19 00:08:29 2019 UTC
   gpg:                using RSA key FE029CB4AAD4788E1D7828E8A8B0F4E45B1B50E2
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [unknown]
   gpg:                 aka "Tails developers <tails@boum.org>" [unknown]
   

   Vérifiez que la date de la signature soit au maximum plus ancienne de cinq jours que la date de la dernière version : 2019-03-19.

   Si la sortie inclut aussi :

   gpg: WARNING: This key is not certified with a trusted signature!
   gpg: There is no indication that the signature belongs to the owner.
   

   Alors l'image est tout de même correctement signée par la clé que vous avez téléchargé. Pour supprimer cet avertissement vous devez authentifier la clé de signature via la toile de confiance OpenPGP.

Les techniques de vérification que nous vous présentons (le module complémentaire pour Firefox, BitTorrent et la vérification OpenPGP) dépendent toutes d'informations téléchargées de manière sécurisée via HTTPS depuis notre site web :

• La somme de contrôle pour l'extension Firefox
• Le fichier Torrent pour BitTorrent
• La clé de signature de Tails pour la vérification OpenPGP

Il est possible que vous puissiez télécharger des informations malveillantes si notre site web est compromis ou si vous êtes victime d'une attaque de l'homme-du-milieu.

La vérification OpenPGP est la seule technique qui vous protège dans le cas où notre site web serait compromis ou si vous êtres victime d'une attaque de l'homme-du-milieu. Mais pour cela vous avez besoin d'authentifier la clé de signature de Tails avec la toile de confiance OpenPGP.

Un problème inhérent au standard HTTPS est le fait que la confiance accordée à un site web est définie par des autorités de certification : un ensemble fermé et hiérarchique d'entreprises et d'institutions gouvernementales approuvées par le fabricant de votre navigateur. La critique de ce modèle de confiance a été faite depuis longtemps et il a été montré de nombreuses fois qu'il était sujet à certaines attaques comme expliqué dans notre page d'avertissements.

Nous pensons plutôt que le dernier mot, lorsqu'il s'agit de faire confiance à un site web, doit revenir aux individus et que la construction de la confiance devrait être basée sur des relations humaines.

La toile de confiance OpenPGP est un modèle de confiance décentralisé basé sur les clés OpenPGP qui peut aider à résoudre ce problème. Voyons ça avec un exemple :

1. Vous êtes ami avec Alice et vous lui faites vraiment confiance quant à sa manière d'être sûre que les clés OpenPGP appartiennent vraiment à leurs propriétaires.
2. Alice a rencontré Bob, un développeur de Tails, lors d'une conférence et a certifié que la clé de Bob appartient réellement à Bob.
3. Bob est un développeur de Tails qui possède la clé de signature de Tails. Ainsi, Bob a certifié que la clé de signature de Tails appartient réellement à Tails.

Dans ce scénario, vous avez trouvé, à travers Alice et Bob, un chemin de confiance jusqu'à la clé de signature de Tails sans avoir besoin d'autorités de certification.

Se fier à la toile de confiance demande à la fois prudence et intelligence de la part des personnes l'utilisant. Les détails techniques sont au-delà de la portée de ce document.

Puisque la toile de confiance est basée sur des relations humaines et des interactions dans la vraie vie, le mieux serait d'entrer en contact avec des personnes s'y connaissant en OpenPGP et de construire des liens de confiance afin de vous frayer votre propre chemin de confiance jusqu'à la clé de signature de Tails.

Vous pourriez commencer par prendre contact avec un Groupe d'utilisateurs Linux, une organisation proposant des formations à propos de Tails ou d'autres amis de Tails proches de chez vous et échanger à propos de leurs pratiques d'OpenPGP.